KI-Risikobewertung und Folgenabschätzung nach ISO 42001
KI-Risiken und Auswirkungen strukturiert bewerten: Kriterien, Betroffene, Kontrollen, Human Oversight und nachvollziehbare Nachweise.
Eine KI-Risikobewertung betrachtet mögliche Ereignisse und Unsicherheiten für die Organisation. Eine Folgenabschätzung erweitert den Blick auf Menschen, Gruppen und Gesellschaft. Für ISO 42001 sollten beide Perspektiven nachvollziehbar mit Use Case, Daten, Stakeholdern, Kontrollen, Verantwortlichen und Reviewentscheidungen verbunden werden.
Risiko und Auswirkung unterscheiden
| Perspektive | Beispielfrage |
|---|---|
| Organisationsrisiko | Welche finanziellen, rechtlichen, Sicherheits- oder Reputationsfolgen drohen? |
| Auswirkung auf Personen | Kann ein Output Chancen, Rechte, Zugang oder Behandlung einer Person beeinflussen? |
| Gesellschaftliche Wirkung | Können Skalierung, Verzerrung oder Fehlanreize größere Gruppen betreffen? |
| Technische Unsicherheit | Wie robust, erklärbar und überwachbar ist das System im vorgesehenen Kontext? |
Bewertung in acht Schritten
- Use Case und beabsichtigten Zweck beschreiben
- Betroffene Stakeholder und mögliche Fehlanwendung erfassen
- Datenquellen, Modell, Lieferant und Abhängigkeiten dokumentieren
- Szenarien für Fehler, Bias, Datenschutz, Sicherheit und Übervertrauen formulieren
- Wahrscheinlichkeit, Ausmaß, Dauer und Umkehrbarkeit bewerten
- Bestehende Kontrollen und Human Oversight beurteilen
- Maßnahmen, Owner, Akzeptanz und Restrisiko festlegen
- Tests, Monitoring und Reviewtrigger definieren
Praktisches Beispiel
Bei einer KI-gestützten Vorauswahl von Bewerbungen genügt es nicht, nur die Modellgenauigkeit zu prüfen. Relevant sind Datenrepräsentativität, mögliche Benachteiligung, Erklärbarkeit, menschliche Überprüfung, Beschwerdemöglichkeit, Lieferantenänderungen und die Frage, ob Nutzer dem System unangemessen viel Gewicht geben.
Die Maßnahmen können Daten- und Fairnesstests, Vier-Augen-Freigabe, Ausschluss bestimmter Merkmale, protokollierte Overrides, regelmäßige Stichproben und klare Eskalationswege umfassen.
Wann neu bewertet werden muss
- Änderung von Zweck, Nutzergruppe oder Entscheidungskontext
- Neues Modell, neue Version oder wesentliche Lieferantenänderung
- Neue Datenquellen oder veränderte Trainingsdaten
- Vorfälle, Beschwerden, auffällige Monitoringwerte
- Neue rechtliche oder vertragliche Anforderungen
Wie Sternberg Consulting unterstützt
Wir strukturieren KI-Inventar, Risiken, Rollen, Nachweise und interne Prüfungen zu einem pragmatischen AIMS. Mehr zur ISO-42001-Beratung.
Häufig gestellte Fragen
Ist eine Datenschutz-Folgenabschätzung dasselbe?
Nein. Sie kann relevant sein, deckt aber nicht automatisch alle KI-spezifischen Auswirkungen und Organisationsrisiken ab.
Braucht jeder kleine Use Case eine lange Analyse?
Die Tiefe sollte risikobasiert sein. Auch einfache Tools benötigen aber eine dokumentierte Einordnung.
Wer entscheidet über Risikoakzeptanz?
Eine befugte Rolle mit ausreichendem Fach- und Geschäftskontext; bei hohen Auswirkungen sollte die Entscheidung eskaliert werden.