VEREINBAREN SIE EIN GESPRÄCH

KI-Governance

So erstellen Sie einen KI-Prüfpfad: Die 7-stufige KI-Beweiskette™

  • Mein lieber Cortez
  • 6. Oktober 2026
Wie man einen KI-Prüfpfad erstellt | KI-Beweiskette™

Wie man einen KI-Prüfpfad erstellt: Die 7-stufige KI-Beweiskette™ für kleine Unternehmen

Eine KI-Richtlinie legt fest, was geschehen soll. Ein Prüfprotokoll belegt, was tatsächlich geschehen ist.

Kurze Antwort: Ein KI-Audit-Trail ist eine Sammlung von Aufzeichnungen, die es Außenstehenden ermöglicht, nachzuvollziehen, wie ein KI-System genehmigt wurde, welche Daten es verwendet, wie es getestet wurde, wer es implementiert hat und wie es sich seitdem verhalten hat. Die AI Evidence Chain™ ist das siebenstufige Framework von RaaSify.AI zum Aufbau dieses Audit-Trails: Geschäftsabsicht, Daten, Entwicklung, Validierung, Bereitstellung, Überwachung und Reaktion auf Sicherheitsvorfälle.

Die meisten Leitfäden zu KI-Audit-Trails richten sich an Unternehmen mit einem Plattformteam. Sie behandeln unveränderliche Protokollspeicher, kryptografische Hashes und Korrelations-IDs. Das ist hilfreich für die Entwicklung von KI-Produkten. Einem Unternehmen mit 40 Mitarbeitern, das Microsoft Copilot, ChatGPT und die KI-Funktionen seiner HR- und CRM-Software nutzt, hilft das jedoch nicht.

Dieser Leitfaden richtet sich an dieses Unternehmen. Er behandelt die Fragen von Prüfern, Aufsichtsbehörden und Kunden, die sieben Prüfphasen, die typischen Schwachstellen von Prüfprotokollen und wie Sie überprüfen können, ob Ihre Protokolle einer kritischen Prüfung standhalten würden.

Was ist ein KI-Audit-Trail?

Ein KI-Audit-Trail ist ein dokumentierter Nachweis, der während der gesamten Lebensdauer eines KI-Systems aufbewahrt wird und fünf Fragen beantwortet:

  • Was leistet das System, und warum nutzen wir es?
  • Welche Daten werden eingegeben und dürfen wir sie verwenden?
  • Wie wurde es konfiguriert und getestet, bevor es in Gebrauch genommen wurde?
  • Wer hat es genehmigt und wer ist für die Überprüfung seiner Ergebnisse verantwortlich?
  • Was ist seitdem geschehen, insbesondere wann ist es schiefgegangen?

Ein Audit-Trail ist umfassender als ein Protokoll. Ein Protokoll zeichnet Ereignisse innerhalb des Systems auf. Ein Audit-Trail erfasst zusätzlich die damit verbundenen menschlichen Entscheidungen: die Genehmigung, die Testfreigabe, die monatliche Überprüfung und die Nachverfolgung von Vorfällen.

Ein Unternehmen kann über vollständige Protokolle verfügen und trotzdem keine Prüfspur haben, weil niemand nachweisen kann, wer entschieden hat, dass das System einsatzfähig ist.

Warum reicht eine KI-Strategie nicht aus?

Eine Richtlinie ist eine Absichtserklärung. Aufsichtsbehörden, Prüfer und Kunden überprüfen, ob die Richtlinie auch eingehalten wurde.

Die Frage lautet üblicherweise so: „Zeigen Sie mir, wie dieses KI-System Entscheidungen trifft, und beweisen Sie, dass Sie es überwachen.“ Ein Richtliniendokument kann diese Frage nicht beantworten. Eine datierte Genehmigung, ein Testprotokoll und dreimonatige Prüfnotizen hingegen schon.

Drei Gruppen stellen diese Frage:

  • Regulierungsbehörden. Der EU-KI-Gesetzentwurf schreibt für risikoreiche KI-Systeme technische Dokumentation, Aufzeichnungen, menschliche Aufsicht und Überwachung vor. Für eigenständige risikoreiche Systeme gelten diese Verpflichtungen ab dem 2. Dezember 2027, nachdem der Digitale Omnibus zur KI den Stichtag vom 2. August 2026 verschoben hat.
  • Wirtschaftsprüfer. ISO/IEC 42001 ist ein Managementsystemstandard. Die Zertifizierung basiert auf dokumentierten Informationen, internen Audits und Managementbewertungen, nicht allein auf der Richtlinie.
  • Kunden. Größere Kunden und Partner fragen zunehmend nach der Art und Weise, wie Sie KI-Systeme steuern, bevor sie einen Vertrag unterzeichnen. Eine überzeugende Antwort erfordert konkrete Nachweise.

Die zusätzliche Zeit ist keine Pause. Sie ist das Zeitfenster, um Beweise zu sammeln, bevor jemand danach fragt.

Was ist die AI Evidence Chain™?

Die AI Evidence Chain™ ist ein siebenstufiges KI-Governance-Framework, das von Dr. Ma Cherie Cortez, Gründerin von RaaSify.AI, entwickelt wurde. Es schafft eine nachvollziehbare Dokumentation über den gesamten Lebenszyklus eines KI-Systems, sodass jede KI-gestützte Entscheidung gegenüber einer Regulierungsbehörde, einem Wirtschaftsprüfer oder einem Aufsichtsrat begründet werden kann.

Es wird als Kette bezeichnet, weil jede Stufe von der vorhergehenden abhängt. Ein Überwachungsbericht ist wenig wert, wenn niemand nachweisen kann, wofür das System ursprünglich zugelassen wurde. Ein fehlendes Glied lässt die Kette abreißen.

Die sieben Phasen sind:

  1. Geschäftliche Absicht. Warum jedes KI-System existiert, wofür es eingesetzt wird, wem es gehört und wer es genehmigt hat. Dies umfasst jedes im Einsatz befindliche System, einschließlich Schatten-KI und der KI-Funktionen in Software, für die Sie bereits bezahlen.
  2. Daten. Welche Daten speisen die einzelnen Systeme, woher stammen sie (ihre Datenprovenienz) und ob diese Nutzung rechtmäßig und angemessen ist.
  3. Bauen. Wie das System aufgebaut oder konfiguriert wurde und die Aufzeichnung dieser Konfiguration.
  4. Validierung. Wie das System vor der Inbetriebnahme auf Genauigkeit, Verzerrung und Sicherheit getestet wurde – mit Ergebnissen, die Sie vorzeigen können.
  5. Einsatz. Wer hat die Inbetriebnahme genehmigt, unter welchen Bedingungen und welche Schutzmechanismen und menschlichen Kontrollmechanismen waren vorhanden?
  6. Überwachung. Wie das Verhalten in der realen Welt nach dem Launch verfolgt wird und wer es auswertet.
  7. Reaktion auf den Vorfall. Was passiert, wenn das System ein Problem verursacht: Wer handelt, wem wird es mitgeteilt und was wird protokolliert?

Die meisten Organisationen können einige dieser Phasen im Gespräch beschreiben. Nur wenige können für alle sieben Belege vorlegen. Genau diese Lücke zwischen dem Wissen um Governance und dem Nachweis ihrer Wirksamkeit schließt ein Audit-Trail.

Wo brechen KI-Prüfprotokolle üblicherweise ab?

Jede Phase beantwortet eine Frage, die ein Wirtschaftsprüfer, eine Aufsichtsbehörde oder ein Kunde stellen kann. Die Tabelle zeigt die Frage und wie eine Lücke typischerweise in einem kleinen Unternehmen aussieht.

Die AI Evidence Chain™ ordnet jede Phase den relevanten Artikeln des EU-KI-Gesetzes, den ISO/IEC 42001-Klauseln und den Funktionen des NIST AI Risk Management Frameworks zu, sodass ein einziger Nachweis für alle drei Bereiche gilt. Diese detaillierte Zuordnung, angewendet auf Ihre eigenen Systeme, ist das Ergebnis des AI Evidence Chain™ Audits.

Wie erstellt man einen KI-gestützten Prüfpfad?

Sie erstellen einen KI-Prüfpfad System für System, indem Sie für jede der sieben Phasen nacheinander Nachweise erbringen. Im Überblick:

  1. Wähle ein System. Beginnen Sie mit dem KI-System, das Ihre Kunden oder Mitarbeiter am stärksten beeinflusst.
  2. Die geschäftliche Absicht protokollieren. Warum dieses System existiert, wem es gehört und wer es genehmigt hat.
  3. Verfolge die Daten. Was hineinkommt, woher es kommt und ob man es verwenden darf.
  4. Den Build dokumentieren. Wie das System konfiguriert ist und was sich seit der Markteinführung geändert hat.
  5. Bewahren Sie den Validierungsnachweis auf. Wie es getestet wurde, bevor sich die Menschen darauf verließen.
  6. Die Einsatzentscheidung protokollieren. Wer hat die Inbetriebnahme unter welchen Bedingungen genehmigt und wer überwacht die Ergebnisse?
  7. Überwachen und reagieren. Überprüfen Sie, wie sich das System in einem festgelegten Rhythmus verhält, und notieren Sie, was passiert, wenn etwas schiefgeht.

Wiederholen Sie den Vorgang für das nächste System. Was in jedem Schritt als ausreichender Nachweis gilt, hängt von der Risikostufe des Systems und den für Sie geltenden Regeln ab. Hier liegt der größte Ermessensspielraum.

Kann ein kleines Unternehmen ohne Compliance-Team einen KI-gestützten Prüfpfad aufbauen?

Ja. Ein kleines Unternehmen benötigt für den Start weder eine Compliance-Abteilung noch eine Protokollierungsplattform. Es braucht drei Dinge: einen benannten Verantwortlichen für jedes KI-System, einen zentralen Speicherort für die Protokolle und eine monatliche Überprüfung, die auch tatsächlich stattfindet. Diese KI-Governance-KPIs liefern der Überprüfung messbare Kriterien.

Bevor Sie irgendetwas entwickeln, ermitteln Sie Ihren aktuellen Stand. Nehmen Sie das KI-System, das Ihre Kunden oder Mitarbeiter am stärksten beeinflusst, und beantworten Sie sieben Fragen, eine pro Phase:

  1. Können Sie nennen, wer es genehmigt hat und warum das Unternehmen es verwendet?
  2. Wissen Sie, welche Daten darin enthalten sind und ob Sie diese Daten auf diese Weise verwenden dürfen?
  3. Könnten Sie zeigen, wie es heute konfiguriert ist und was sich seit der Markteinführung geändert hat?
  4. Gibt es Aufzeichnungen darüber, wie es getestet wurde, bevor man sich darauf verließ?
  5. Ist eine namentlich genannte Person für die Überprüfung der Ergebnisse verantwortlich?
  6. Hat jemand überprüft, wie es sich in den letzten drei Monaten verhalten hat?
  7. Falls es morgen zu Problemen kommt, weiß dann jeder, was zu tun ist und wo das protokolliert wird?

Jedes „Nein“ stellt ein fehlendes Glied in der Kette dar. Die meisten Unternehmen stoßen auf mehrere. Viele finden zudem mehr KI-Systeme vor als erwartet: Organisationen entdecken typischerweise 30–40 % mehr KI-Systeme als ursprünglich angenommen, sobald eine ordnungsgemäße Bestandsaufnahme durchgeführt wurde.

Woran erkennen Sie, dass Ihr KI-Audit-Trail funktioniert?

Führen Sie den Sechsmonatstest durch. Wählen Sie eine KI-gestützte Entscheidung von vor sechs Monaten aus und versuchen Sie, diese allein anhand der Aufzeichnungen zu rekonstruieren, ohne jemanden nach seinen Erinnerungen zu fragen.

Sie sollten nachweisen können, welches System verwendet wurde, wie es damals konfiguriert war, welche Daten es enthielt, wer die Nutzung genehmigt hat, wer die Ergebnisse überprüft hat und ob im Nachhinein Probleme aufgetreten sind. Jede Frage, die Sie anhand eines Datensatzes nicht beantworten können, stellt eine Unterbrechung dar.

Fünf Fehler, die die meisten Wanderwege zerstören:

  • Ein Werkzeug kaufen, bevor man die Inventur macht. Eine Protokollierungsplattform kann keine Systeme aufzeichnen, von denen niemand etwas weiß.
  • Beweise in Postfächern und Köpfen aufbewahren. Wenn die Genehmigung in der E-Mail einer einzelnen Person gespeichert ist, geht sie mit deren Ausscheiden verloren.
  • Es werden nur die bestandenen Tests gespeichert. Fehlgeschlagene Tests und die daraufhin erfolgten Korrekturen sind der stärkste Beweis dafür, dass die Validierung tatsächlich stattgefunden hat.
  • Die KI des Anbieters wird als dessen Problem betrachtet. Gemäß dem EU-KI-Gesetz hat ein Unternehmen, das ein Hochrisikosystem einsetzt, als Betreiber eigene Pflichten, darunter die menschliche Aufsicht, Überwachung und Protokollierung.
  • Ich mache es einmal. Eine Spur, die am Starttag endet, beweist, dass das System am Starttag gesteuert wurde.

Häufig gestellte Fragen

Was ist die AI Evidence Chain™?

Die AI Evidence Chain™ ist das siebenstufige Framework von RaaSify.AI zur Erstellung auditfähiger Nachweise für die KI-Governance. Die Stufen sind: Geschäftsabsicht, Daten, Entwicklung, Validierung, Bereitstellung, Überwachung und Reaktion auf Sicherheitsvorfälle. Es wurde von Dr. Ma Cherie Cortez entwickelt und ist eine eingetragene Marke (BOIP-Reg.-Nr. 1551399).

Worin besteht der Unterschied zwischen einem KI-Audit-Trail und einer KI-Protokollierung?

Die Protokollierung erfasst Vorgänge innerhalb eines Systems. Ein Prüfpfad dokumentiert darüber hinaus die getroffenen Entscheidungen: Warum wurde das System eingeführt? Wer hat es genehmigt? Wie wurde es getestet? Was wurde nach einem Vorfall unternommen? Protokolle sind ein Teil der Daten für die Überwachung. Sie stellen jedoch nicht den gesamten Prüfpfad dar.

Benötigt ein kleines Unternehmen ein KI-gestütztes Prüfprotokoll?

Ja, wenn KI Entscheidungen über Personen beeinflusst, beispielsweise bei der Einstellung von Mitarbeitern, der Kreditvergabe oder im Kundenservice, oder wenn ein Kunde, Investor, Partner oder Vorstandsmitglied fragt, wie Sie Ihre KI regulieren. Die rechtlichen Pflichten gemäß EU-KI-Gesetz hängen von der Risikostufe des jeweiligen Systems und davon ab, ob Sie Anbieter oder Anwender sind. Auch für weniger risikoreiche Tools ist es sinnvoll, grundlegende Protokolle zu führen, da Sie diese auf Nachfrage vorlegen können.

Wie lange sollten KI-Aufzeichnungen aufbewahrt werden?

Für Systeme mit hohem Risiko gemäß EU-KI-Gesetz müssen automatisch generierte Protokolle mindestens sechs Monate lang aufbewahrt werden (Artikel 19 für Anbieter, Artikel 26 Absatz 6 für Betreiber). Anbieter müssen die technische Dokumentation zehn Jahre lang aufbewahren (Artikel 18). Andere Gesetze, Verträge und Branchenvorschriften können längere Aufbewahrungsfristen vorschreiben. Da Protokolle häufig personenbezogene Daten enthalten, muss die Aufbewahrungsfrist auch den datenschutzrechtlichen Bestimmungen entsprechen.

Benötige ich Software, um einen KI-Prüfpfad zu erstellen?

Nein. Eine Tabellenkalkulation und ein gemeinsamer Ordner reichen für ein Unternehmen mit einigen wenigen KI-Tools völlig aus. Governance-Plattformen lohnen sich erst, wenn Sie viele Systeme, mehrere Teams oder selbstentwickelte Systeme haben. Entscheiden Sie sich erst nach der Bestandsaufnahme, wenn Sie wissen, was Sie alles haben.

Benötige ich einen Berater, um ein KI-gestütztes Prüfprotokoll zu erstellen?

Nicht immer. Wenn Sie einige wenige KI-Tools mit geringem Risiko einsetzen und jemand im Unternehmen Zeit hat, die Aufgabe zu übernehmen, können Sie selbstständig beginnen. Externe Unterstützung lohnt sich, wenn KI Entscheidungen über Personen beeinflusst, wenn ein Kunde, Prüfer oder eine Aufsichtsbehörde Nachweise verlangt, wenn eine Frist einzuhalten ist oder wenn intern niemand beurteilen kann, was als ausreichender Nachweis gilt. Eine Bewertung mit festgelegtem Umfang genügt in der Regel, um festzustellen, in welcher Situation Sie sich befinden.

Soll ich mich an der EU-KI-Gesetzgebung, ISO/IEC 42001 oder dem NIST AI RMF orientieren?

Sie erfüllen unterschiedliche Aufgaben. Der EU-KI-Act ist ein Gesetz für Organisationen, die KI-Systeme in der EU anbieten oder nutzen. ISO/IEC 42001 ist ein zertifizierbarer Managementsystemstandard. Das NIST AI RMF ist ein freiwilliges Rahmenwerk des US-amerikanischen National Institute of Standards and Technology. Die AI Evidence Chain™ ist mit allen drei Systemen kompatibel, sodass ein einziger Nachweis für alle relevanten Zwecke verwendet werden kann.

Wann gelten die Hochrisikoverpflichtungen des EU-KI-Gesetzes?

Eigenständige Hochrisikosysteme gemäß Anhang III müssen bis zum 2. Dezember 2027 die Anforderungen erfüllen. Hochrisiko-KI, die in regulierte Produkte gemäß Anhang I eingebettet ist, muss bis zum 2. August 2028 die Anforderungen erfüllen. Beide Termine wurden 2026 durch den Digitalen Omnibus zur KI verschoben. Die Verschiebung betrifft nicht verbotene Praktiken, allgemeine KI-Modellverpflichtungen oder die allgemeinen Transparenzregeln.

Wo sollten Sie anfangen?

Beginnen Sie mit dem Selbsttest mit sieben Fragen und dem Sechsmonatstest an einem System. Falls dabei Lücken auftauchen oder Sie die Lücken lieber von uns aufdecken lassen möchten, ist das die Aufgabe des AI Evidence Chain™ Audits.

Es handelt sich um eine vierwöchige, auf einen festgelegten Umfang beschränkte Bewertung Ihrer KI-Systeme anhand aller sieben Stufen, die dem EU-KI-Gesetz, ISO/IEC 42001 und dem NIST AI RMF zugeordnet sind. Sie erhalten eine vollständige KI-Inventarisierung, einen detaillierten Gap-Bericht für jede Stufe sowie einen priorisierten Maßnahmenplan. Im Anschluss besteht keine Verpflichtung zur Fortsetzung der Bewertung.

Wenn Sie bereits wissen, dass der Wanderweg bis zu einem bestimmten Termin gebaut werden muss, Der 90-Tage-Governance-Sprint erstellt es. Wenn es existiert und monatlich aktualisiert werden muss, handelt es sich um KI-Governance als Dienstleistung.

Buchen Sie Ihr Beratungsgespräch zur AI Evidence Chain™-Auditierung.

Über den Autor

Ma Cherie Cortez, PhD, ist Gründerin von RaaSify.AI und Entwicklerin der AI Evidence Chain™. Sie verfügt über 27 Jahre Erfahrung in globalen IT-Führungspositionen, unter anderem im Bereich KI-Governance für Unternehmen wie Philips, AB InBev, DLL und die Lloyds Banking Group. Diese Expertise setzt sie nun für kleine und mittelständische Unternehmen ein, die sich auf die EU-KI-Richtlinie und ISO/IEC 42001 vorbereiten. RaaSify.AI ist ein von EXIN zertifizierter Trainingspartner.

AI Evidence Chain™ ist eine eingetragene Marke von Ma Cherie Cortez, PhD. BOIP Reg. Nr. 1551399, eingetragen am 25. August 2026.

Quellen