KI-VO: Aufbau eines KI-Managementsystems in 6 Schritten

Die KI-Verordnung (KI-VO) macht KI-Governance für Unternehmen zu einer dauerhaften Managementaufgabe. Organisationen müssen KI-Systeme erfassen, Risiken bewerten, Verantwortlichkeiten definieren und ihre Compliance nachweisen können.

Ein KI-Managementsystem (AI Management System, AIMS) schafft dafür einen strukturierten Rahmen. Dieser Leitfaden zeigt in sechs Schritten, wie Unternehmen ein KI-Managementsystem aufbauen und dabei KI-VO, ISO/IEC 42001 sowie die deutschen Besonderheiten rund um KI-MIG und Bundesnetzagentur berücksichtigen können.

Was ist ein KI-Managementsystem?

Ein KI-Managementsystem steuert den gesamten Lebenszyklus von KI-Systemen. Im Sinne von ISO/IEC 42001 verbindet ein AIMS Governance, Risikomanagement, Kontrollen und Nachweisführung.

Zu den wichtigsten Aufgaben gehören:

• KI-Systeme und Use Cases zentral erfassen,
• Rollen und Verantwortlichkeiten festlegen,
• regulatorische und operative Risiken bewerten,
• Kontrollen und Maßnahmen umsetzen,
• Änderungen und Vorfälle nachverfolgen,
• Compliance-Nachweise strukturiert bereitstellen.

Dabei sollte KI-Governance mit bestehenden Prozessen für DSGVO, Informationssicherheit, Data Governance und Lieferantenmanagement verbunden werden.

Warum Unternehmen ein AIMS brauchen

KI wird häufig dezentral eingesetzt: in Fachbereichen, SaaS-Anwendungen, Data-Teams oder Pilotprojekten. Dadurch können Systeme produktiv genutzt werden, obwohl Risiken, Datenquellen oder regulatorische Verantwortlichkeiten noch nicht vollständig geprüft wurden.

Die KI-VO verfolgt zudem einen risikobasierten Ansatz. Welche Pflichten gelten, hängt vom Einsatz des Systems und von der Rolle des Unternehmens ab.

Ein KI-Managementsystem macht diese Komplexität steuerbar und ermöglicht es, Bewertungen, Kontrollen und Nachweise für neue KI-Projekte wiederzuverwenden.

KI-Managementsystem in 6 Schritten aufbauen

1. KI-Governance definieren

Zunächst muss festgelegt werden, welche Organisationseinheiten, KI-Systeme und Prozesse unter die KI-Governance fallen.

Unternehmen sollten klar bestimmen:

• wer Risiken bewertet,
• wer Systeme freigibt,
• wer Entscheidungen trifft,
• und wer bei Vorfällen oder Problemen zuständig ist.

Beteiligt sind typischerweise Management, Legal, Datenschutz, Informationssicherheit, IT, Einkauf und Fachbereiche.

Bestehende Data-, Privacy- oder Compliance-Gremien lassen sich häufig sinnvoll um KI-Governance erweitern.

2. KI-Systeme kartieren und dokumentieren

Ohne vollständiges Inventar gibt es keine belastbare KI-Governance.

Ein zentrales Register für KI-Systeme und Use Cases sollte unter anderem folgende Informationen enthalten:

• Zweck und Einsatzbereich,
• verantwortlicher Fachbereich,
• Anbieter,
• Risikokategorie,
• Rolle nach KI-VO,
• verwendete Daten,
• betroffene Personen,
• technische Abhängigkeiten.

Das Register sollte möglichst mit bestehenden Informationen aus Datenschutz, IT-Asset-Management oder Lieferantenmanagement verbunden werden.

So entsteht ein lebendes KI-Inventar statt einer statischen Liste.

3. Risiken bewerten und steuern

Nach der Inventarisierung wird geprüft, ob ein System unter die KI-VO fällt und welcher Risikokategorie es zuzuordnen ist.

Zusätzlich zur regulatorischen Klassifizierung sollten Unternehmen weitere Risiken bewerten, etwa:

• Grundrechts- und Datenschutzrisiken,
• technische und operative Risiken,
• Datenqualitäts- und Diskriminierungsrisiken,
• Sicherheits- und Lieferantenrisiken,
• Reputationsrisiken.

Je nach Einsatz können auch eine Datenschutz-Folgenabschätzung (DSFA) oder eine Grundrechte-Folgenabschätzung (FRIA) erforderlich sein.

Ein AIMS ermöglicht es, vorhandene Informationen für mehrere Bewertungen wiederzuverwenden.

4. Pflichten der KI-VO operationalisieren

Regulatorische Anforderungen müssen in konkrete Prozesse übersetzt werden.

Je nach Rolle und Risikokategorie können unter anderem Anforderungen an folgende Bereiche gelten:

• Risikomanagement,
• Data Governance,
• technische Dokumentation,
• Transparenz,
• menschliche Aufsicht,
• Robustheit und Cybersicherheit.

Ein KI-Managementsystem verbindet diese Anforderungen mit Verantwortlichen, Fristen, Nachweisen und Freigaben.

Gap-Analysen und interne Audits zeigen, welche Anforderungen erfüllt sind und wo noch Maßnahmen notwendig sind.

5. Monitoring und Vorfälle steuern

KI-Compliance endet nicht mit dem Go-live. Modelle, Datenquellen, Anbieter und Nutzungskontexte verändern sich.

Ein AIMS sollte deshalb kontinuierliches Monitoring ermöglichen, darunter:

• Leistungs- und Risikokontrollen,
• Erkennung und Dokumentation von Vorfällen,
• Änderungs- und Versionsmanagement,
• Aktualisierung von Risikoanalysen,
• Nachverfolgung von Korrekturmaßnahmen.

Für Audits ist eine vollständige Historie wichtig: Wer hat wann welche Bewertung vorgenommen und welche Maßnahmen wurden umgesetzt?

So entsteht Traceability über den gesamten Lebenszyklus.

6. Compliance nachweisen

Unternehmen müssen ihre Compliance nicht nur umsetzen, sondern auch belegen können.

Technische Dokumentationen, Risikobewertungen, DSFA, Verträge und Freigaben liegen in vielen Organisationen über verschiedene Tools und Ordner verteilt.

Ein AIMS zentralisiert diese Nachweise und verknüpft sie mit dem jeweiligen KI-System.

Damit können Unternehmen schneller auf:

• interne Audits,
• Kundenanfragen,
• Management-Reviews,
• Zertifizierungen,
• und regulatorische Kontrollen

reagieren.

KI-VO in Deutschland: KI-MIG und Bundesnetzagentur

Für deutsche Unternehmen ist zusätzlich das KI-Marktüberwachungs-und-Innovationsförderungsgesetz (KI-MIG) relevant.

Es ergänzt die europäische KI-VO um nationale Zuständigkeiten und Strukturen. Die Bundesnetzagentur übernimmt dabei eine zentrale Rolle bei der Koordinierung und Umsetzung der KI-VO in Deutschland sowie wichtige Aufgaben der Marktüberwachung.

Für Unternehmen bedeutet das: Die interne KI-Governance sollte festlegen, wer bei Behördenanfragen oder Prüfungen zuständig ist und wie erforderliche Nachweise bereitgestellt werden.

Ein strukturiertes KI-Managementsystem unterstützt genau diese Fähigkeit.

Wichtige Fristen der KI-VO

Für die Planung der KI-Governance sind insbesondere folgende Meilensteine relevant:

• 1. August 2024: Inkrafttreten der KI-VO
• 2. Februar 2025: erste Verbote und Anforderungen zur KI-Kompetenz
• 2. August 2025: weitere Governance-Regeln und Anforderungen an GPAI-Modelle
• 29. Juli 2026: Inkrafttreten des deutschen KI-MIG
• 2. August 2026: breite Anwendung weiterer Vorschriften der KI-VO
• 2027 und 2028: weitere Anforderungen für bestimmte Hochrisiko-KI-Systeme

Unternehmen sollten die Übergangsfristen nutzen, um Governance, Inventar, Risikomanagement und Nachweisführung frühzeitig zu stabilisieren.

Vorteile eines KI-Managementsystems

Ein AIMS ist mehr als ein Compliance-Instrument. Es hilft Unternehmen dabei,

• doppelte Bewertungen zu reduzieren,
• KI-Projekte schneller zu qualifizieren,
• Risiken frühzeitig zu erkennen,
• Verantwortlichkeiten eindeutig zuzuordnen,
• regulatorische Änderungen strukturiert umzusetzen,
• und KI kontrolliert zu skalieren.

Damit wird KI-Governance von einer Dokumentationsaufgabe zu einem kontinuierlichen Managementprozess.

KI-Governance mit Dastra

Dastra verbindet KI-Governance, Data Governance und Privacy in einer gemeinsamen Data-&-AI-Compliance-Plattform.

Im Mittelpunkt stehen drei Fähigkeiten:

• Sichtbarkeit: zentrales Register für KI-Systeme und Use Cases
• Traceability: strukturierte Nachweise zu Bewertungen, Entscheidungen, Kontrollen und Vorfällen
• Workflows: wiederholbare Prozesse mit Verantwortlichkeiten, Fristen und Reviews

So können Unternehmen KI-Compliance dauerhaft steuern und gleichzeitig eine skalierbare und verantwortungsvolle Nutzung von KI unterstützen.

Whitepaper herunterladen

Der vollständige Leitfaden „KI-VO: Aufbau eines KI-Managementsystems in 6 Schritten“ zeigt den praktischen Weg von Governance und Inventarisierung über Risikomanagement bis zu Monitoring und auditfähiger Nachweisführung.