Revisionen – intern wie extern – haben den KI-Einsatz entdeckt. Für Pensionskassen, Vermögensverwalter und Versicherer ist er inzwischen ein benanntes Prüffeld. Die gute Nachricht: Die Fragen sind vorhersehbar. Die schlechte: Die meisten Unternehmen können sie nicht aus dem Stand beantworten.
1. Welche KI-Werkzeuge sind im Einsatz?
Nicht die, die eingekauft wurden – die, die benutzt werden. Browser-Erweiterungen, Chat-Werkzeuge mit Privatkonto, Assistenten in Office-Produkten, die per Update kamen. Ein ehrliches Inventar ist der erste Befund und meist der unangenehmste.
2. Welche Daten dürfen hinein?
Gibt es eine Richtlinie, die Datenklassen und Werkzeuge verbindet – „Kundendaten nur in Werkzeuge mit Auftragsverarbeitungsvertrag und EU/CH-Standort“? Und wird sie technisch durchgesetzt, oder ist sie ein PDF im Intranet?
3. Wer ist Auftragsverarbeiter, und wo?
Jeder KI-Dienst, der Eingaben verarbeitet, ist ein Empfänger im Sinne des Datenschutzes. Vertrag, Standort, Löschfristen, Trainingsausschluss – das muss dokumentiert sein, bevor der erste Prompt geschrieben wird.
4. Lassen sich Aufrufe nachvollziehen?
Wer hat wann welches Modell mit welchen Daten benutzt? Bei Unternehmenslizenzen ist das protokollierbar, bei Privatkonten nicht. Ohne Protokoll gibt es im Zweifel keine Entlastung.
5. Wer prüft die Ergebnisse?
Ein Modell, das Kundenbriefe, Code oder Anlageempfehlungen vorschlägt, braucht einen Menschen, der sie vor der Wirkung sieht. Die Revision fragt nach dem Prozess, nicht nach der Absicht.
6. Wer entscheidet über neue Dienste?
Ein Freigabeprozess für KI-Werkzeuge – wer beantragt, wer prüft, wer entscheidet, wie lange es dauert. Wenn er länger als zwei Wochen dauert, wird er umgangen. Wenn es ihn nicht gibt, auch.
Was wir daraus machen
Unser KI-Audit folgt genau diesen Fragen. Das Ergebnis ist kein Verbotskatalog, sondern ein Bericht mit Ampel je Prüffeld und ein Maßnahmenplan, der die Lücken in der richtigen Reihenfolge schließt: erst Inventar und Richtlinie, dann Technik, dann Schulung. Wer das vor der Revision macht, beantwortet die Fragen – statt sie gestellt zu bekommen.