KI-Risikobewertung im Unternehmen: Checkliste für Geschäftsführer und IT
Checkliste zur Bewertung von KI-Risiken im Unternehmen: Tools, Daten, Zugriffe, Lieferanten und Compliance. Prüfen Sie, wo Ihr Unternehmen anfällig ist.
KI-Risikobewertung ist eine systematische Überprüfung, wo und wie Ihr Unternehmen künstliche Intelligenz einsetzt, welche Daten dabei verarbeitet werden und was im Falle von Missbrauch oder Fehlern passieren würde. Für Geschäftsführer ist dies die Antwort auf eine einfache Frage: "Hilft die KI in unserem Unternehmen – oder schafft sie Risiken, von denen wir nichts wissen?"
TL;DR — Wichtigste Erkenntnisse
- Die meisten Unternehmen nutzen bereits KI, haben aber keinen Überblick darüber.
- Die Bewertung umfasst fünf Bereiche: Tools, Daten, Zugriffe, Lieferanten und Compliance.
- Das Ergebnis ist eine Liste prioritärer Maßnahmen, nicht nur ein Bericht.
- Verknüpfen Sie die Bewertung mit NIS2 und der bestehenden Cyber-Risikobewertung.
Checkliste in 5 Bereichen
| Bereich | Schlüsselfrage | Rote Flagge |
|---|---|---|
| Tools | Welche KI-Tools werden verwendet? | Unbekannt / private Konten |
| Daten | Welche Daten fließen in die KI? | Personenbezogene Daten in kostenlosen Tools |
| Zugriffe | Was sieht und darf die KI? | Copilot mit übermäßigen Berechtigungen |
| Lieferanten | Wer verarbeitet Daten und wo? | Keine Verträge zur Auftragsverarbeitung |
| Compliance | KI-Gesetz, DSGVO, NIS2? | Keine Richtlinien oder Schulungen |
Ablauf der Bewertung
- Interviews mit der Geschäftsführung und Schlüsselabteilungen.
- Technische Überprüfung: Firewall, Entra ID, Microsoft 365 Berechtigungen.
- Bewertung von Wahrscheinlichkeit und Auswirkung für jedes Risiko.
- Priorisierter Maßnahmenplan (Sofortmaßnahmen in 30 Tagen, mittelfristig in 90).
- Präsentation vor der Geschäftsführung und Überwachung der Umsetzung.
Schnellmaßnahmen mit der größten Wirkung
- Ein genehmigtes Business-KI-Tool für alle Mitarbeiter.
- MFA und bedingter Zugriff.
- Beschränkung von Einwilligungen für Drittanbieter-Apps.
- Kurze KI-Richtlinie und Schulungen.
- Verfahren zur Überprüfung von Überweisungen gegen Deepfake-Betrug.
Häufig gestellte Fragen
- Wie lange dauert eine KI-Risikobewertung?
- Für kleine oder mittlere Unternehmen in der Regel einige Tage, einschließlich technischer Prüfung und Bericht.
- Benötigen wir eine Bewertung, wenn wir KI kaum nutzen?
- Ja — oft stellt sich heraus, dass Mitarbeiter KI häufiger nutzen, als die Geschäftsführung denkt.
- Was erhalten wir als Ergebnis?
- Eine Bestandsaufnahme, eine Risikobewertung und einen konkreten Maßnahmenplan mit Prioritäten.
Verwandte Beiträge
Business Continuity Plan: Was ein BCP für KMU enthalten muss
Was tun wir, wenn morgen früh gar nichts mehr geht? Ein BCP auf zehn Seiten.
IT-SupportIT-Infrastruktur-Dokumentation: Was enthalten sein muss und warum
Was nicht dokumentiert ist, existiert nicht. Der Mindestumfang der Dokumentation für jedes Unternehmen.
CybersicherheitZwei-Faktor-Authentifizierung: Implementierung ohne Widerstand der Belegschaft
MFA stoppt die große Mehrheit der Angriffe mit gestohlenen Passwörtern. So führen Sie sie schnell und ohne Beschwerden ein.