KI-Audit. Bestanden mit Vorlauf, nicht im Sprint.

Vier zentrale Auditarten: (1) Internes AIMS-Audit nach ISO 42001 Clause 9.2 — jährlich verpflichtend, durch interne Auditoren mit dokumentierter Unabhängigkeit. (2) ISO-42001-Zertifizierungsaudit — durch akkreditierte Zertifizierungsstelle, Stage 1 + Stage 2 alle 3 Jahre, plus jährliche Überwachungsaudits. (3) AI-Act-Konformitätsbewertung — für Hochrisiko-KI: interne Kontrolle nach Art. 43 + Anhang VI, oder Drittbewertung durch notifizierte Stelle (Anhang VII). (4) Behördliche Marktüberwachungsprüfung — durch nationale Aufsicht (in Deutschland voraussichtlich BNetzA), anlassbezogen oder stichprobenartig.

Die zehn typischen Prüfbereiche: (1) KI-Inventar — Vollständigkeit, Aktualität, Shadow AI. (2) Klassifizierung — Begründung pro System, Art.-6(3)-Ausnahmen. (3) Risikomanagementsystem (Art. 9) — methodisch, dokumentiert, gelebt. (4) Daten-Governance (Art. 10) — Herkunft, Qualität, Bias-Tests. (5) Technische Dokumentation (Art. 11 + Anhang IV) — 9 Pflicht-Abschnitte. (6) Logging (Art. 12) — automatische Aufzeichnung. (7) Transparenz (Art. 13, 50) — Gebrauchsanweisung, Kennzeichnung. (8) Menschliche Aufsicht (Art. 14) — operativ, nicht nur in Policy. (9) KI-Kompetenz (Art. 4) — Schulungsnachweise. (10) Post-Market-Monitoring (Art. 72) — Telemetrie, Vorfälle.

Für Erstaudits (ISO 42001 Stage 1 + 2 oder erste behördliche Prüfung) realistisch 60-90 Tage. Wenn AIMS und Anhang-IV-Dokumentation bereits 6-12 Monate operativ sind: 30-45 Tage genügen. Wenn Sie reaktiv aus einem Notfall heraus auditieren — z.B. nach Vorfallsmeldung — werden 60 Tage knapp. Faustregel: Audit-Vorbereitung kostet typischerweise 0,3-0,7 FTE-Monate je nach Reifegrad. Mit Matproof reduziert sich der Aufwand um 50-70 %, weil Inventar, Klassifizierung und Dokumentation kontinuierlich gepflegt sind.

Aus den ersten Wellen 2024-2025: (1) KI-Inventar unvollständig — Shadow AI, alte Modellversionen. (2) Klassifizierung ohne Begründung — „Wir sehen das nicht als Hochrisiko“ reicht nicht. (3) Risikomanagementsystem nur als Excel — keine Iteration sichtbar. (4) Anhang-IV-Lücken — Trainingsdaten-Herkunft, Foundation-Model-Dependencies. (5) Aufsicht in Policy, nicht in Praxis — Logs zeigen keine Overrides. (6) KI-Kompetenz-Schulungsnachweise undatiert. (7) Modellkarten fehlen oder generisch. (8) Post-Market-Monitoring nur als Plan. (9) Vorfall-Meldekette nicht definiert. (10) Management-Review-Protokolle ohne KI-Entscheidungen.

Internes Audit ist Pflicht (ISO 42001 Clause 9.2), externe Beratung ist optional. Sinnvoll, externe Unterstützung zu holen für: (1) erstes ISO-42001-Audit oder erste AI-Act-Konformitätsbewertung — unabhängiger Blick, (2) komplexe Klassifizierungsfragen (Art. 6(3) Ausnahme), (3) Foundation-Model-Lieferantenrisikoanalyse, (4) öffentliche Akteure mit Grundrechte-Folgenabschätzungspflicht. Wichtig: interne Auditoren brauchen dokumentierte Unabhängigkeit vom auditierten Bereich. Mitarbeiter des KI-Teams können nicht ihr eigenes System auditieren.

Ablauf typischer Marktüberwachungsprüfung: (1) Ankündigung mit 1-4 Wochen Frist (Eilfälle ohne Frist). (2) Anforderung der Anhang-IV-Dokumentation, EU-Konformitätserklärung, Statement of Applicability (bei ISO 42001) plus spezifischer Nachweise. (3) Optional: Vor-Ort-Inspektion mit Interviews und Stichproben. (4) Schriftliches Audit-Memo mit Findings und Fristen. (5) Bei Verstößen: Anordnungen (Rückruf, Korrektur), Bußgeldverfahren nach Art. 99. Empfehlung: Kommunikationsleitfaden vorbereiten, eskalations-fähigen Compliance-Lead benennen, dokumentationsbereit sein.

Ja — interne Audits sind nicht nur erlaubt, sondern verpflichtend (ISO 42001 Clause 9.2). Voraussetzungen: (1) Interne Auditoren mit dokumentierter Kompetenz — ISO-Audit-Schulung plus KI-spezifisches Wissen. (2) Unabhängigkeit vom auditierten Bereich. (3) Auditprogramm (jährlich, alle Annex-A-Bereiche werden im Drei-Jahres-Zyklus geprüft). (4) Audit-Plan, -Bericht und Follow-up dokumentiert. Externe Zertifizierung können Sie nicht selbst erteilen — dafür ist eine akkreditierte Stelle nötig. Aber: ein starkes internes Audit-Programm ist die beste Vorbereitung auf jedes externe Audit.