Kostenlose Vorlage
KI-Governance
Reifegradbewertung
Bewerten Sie Ihre Organisation über 5 Säulen und 25 Fragen. Identifizieren Sie Ihre Governance-Lücken und erstellen Sie eine priorisierte Verbesserungs-Roadmap. An ISO 42001 und EU AI Act ausgerichtet.
5 Säulen
Richtlinie, Risiko, Sicherheit, Compliance, Menschen
25 Fragen
je 4 Reifegrade
100 Punkte
gesamte Bewertungsskala
Kostenlos
nutzbar und anpassbar
Die 4-stufige Reifegradskala der KI-Governance
Jede der 25 Bewertungsfragen wird auf einer Skala von 1 bis 4 bewertet. Verwenden Sie diese Stufendefinitionen als Anker bei der Bewertung. Der entscheidende Test für Stufe 3 (Definiert) lautet: Ist dieser Prozess dokumentiert, genehmigt, konsistent befolgt, und können Sie einem Auditor Nachweise dafür vorlegen?
1 Punkt
Stufe 1, Initial
Ad hoc oder nicht vorhanden. Es existiert kein dokumentierter Prozess, keine Richtlinie und keine Kontrolle. Aktivität erfolgt reaktiv oder gar nicht.
2 Punkte
Stufe 2, In Entwicklung
Teilweise umgesetzt. Es wurden Anstrengungen unternommen, aber die Abdeckung ist unvollständig, über Teams hinweg uneinheitlich oder nicht formal genehmigt.
3 Punkte
Stufe 3, Definiert
Dokumentiert, genehmigt und in der gesamten Organisation konsistent befolgt. Nachweise sind verfügbar. Dies ist die Zielstufe für die regulatorische Basis-Compliance.
4 Punkte
Stufe 4, Optimiert
Kontinuierlich verbessert mit Kennzahlen, Automatisierung und Rückkopplungsschleifen. Best Practice. Die Kontrollen sind proaktiv statt reaktiv.
Die Bewertung
Klicken Sie auf jede Säule, um sie aufzuklappen. Bewerten Sie jede Frage mit 1 bis 4 und erfassen Sie die Nachweise, die Ihre Bewertung stützen.
Diese Säule bewertet den Reifegrad Ihres KI-Richtlinienrahmens, Ihrer Governance-Strategie und des Engagements der Führungsebene. Bewerten Sie jede Frage mit 1 bis 4 anhand der obigen Reifegrad-Definitionen. Maximale Säulenpunktzahl: 20 Punkte.
1.1 Richtlinie zur akzeptablen KI-Nutzung
Stufe 1Es existiert keine KI-Richtlinie. Mitarbeitende nutzen KI-Tools ohne formale Vorgaben.
Stufe 2Eine informelle KI-Richtlinie oder eine Reihe von Leitlinien existiert, wurde aber nicht formal genehmigt oder an alle Mitarbeitenden verteilt.
Stufe 3Eine formale Richtlinie zur akzeptablen KI-Nutzung ist genehmigt, an alle Mitarbeitenden verteilt und wird jährlich überprüft. Mitarbeitende unterzeichnen eine Kenntnisnahme.
Stufe 4Die Richtlinie wird dynamisch an regulatorische Änderungen, neue KI-Risiken und Mitarbeiter-Feedback angepasst. Die Compliance wird automatisch überwacht.
Punktzahl: _____ / 4
1.2 KI-Governance-Strategie
Stufe 1Keine definierte KI-Governance-Strategie. Governance erfolgt reaktiv.
Stufe 2Eine KI-Governance-Initiative existiert, es fehlt ihr jedoch an Sponsoring durch die Führungsebene, definierten Zielen oder einer Roadmap.
Stufe 3Eine dokumentierte KI-Governance-Strategie mit definierten Zielen, Sponsoring durch die Führungsebene und einer 12-Monats-Roadmap ist vorhanden.
Stufe 4Die KI-Governance-Strategie ist in die Unternehmensrisikostrategie integriert, wird vierteljährlich überprüft und mit messbaren Geschäftsergebnissen verknüpft.
Punktzahl: _____ / 4
1.3 KI-Governance-Ausschuss
Stufe 1Es existiert kein KI-Governance-Ausschuss oder gleichwertiges Gremium.
Stufe 2Eine informelle Gruppe erörtert KI-Risiken, hat aber keine formale Charta, Befugnis oder regelmäßige Frequenz.
Stufe 3Ein formal eingerichteter KI-Governance-Ausschuss mit definierter Mitgliedschaft, Entscheidungsbefugnis und monatlichen Sitzungen ist operativ.
Stufe 4Der Ausschuss berichtet an den Vorstand, verfügt über definierte KPIs, und seine Entscheidungen werden systematisch bis zur Umsetzung nachverfolgt.
Punktzahl: _____ / 4
1.4 KI-Tool-Inventar
Stufe 1Kein Inventar der genutzten KI-Tools. Shadow AI bleibt unentdeckt.
Stufe 2Ein Teilinventar existiert für IT-genehmigte Tools, aber Shadow AI wird nicht überwacht.
Stufe 3Ein vollständiges, gepflegtes KI-Tool-Inventar deckt alle zugelassenen Tools ab. Die Erkennung von Shadow AI ist vorhanden.
Stufe 4Das KI-Tool-Inventar ist in Echtzeit, automatisiert, enthält Nutzungsdaten und treibt das Risikoregister sowie Richtlinienaktualisierungen an.
Punktzahl: _____ / 4
1.5 KI-Beschaffungs- und Anbieterstandards
Stufe 1Keine KI-spezifischen Anforderungen in Beschaffungs- oder Anbietermanagementprozessen.
Stufe 2Einige KI-bezogene Fragen tauchen in der Anbieter-Due-Diligence auf, sind aber nicht standardisiert.
Stufe 3Ein standardisierter KI-Anbieter-Sicherheitsfragebogen ist für jede Beschaffung von KI-Tools erforderlich. Die KI-Richtlinien der Anbieter werden bewertet.
Stufe 4Das KI-Anbieterrisiko wird kontinuierlich überwacht. Anbieterverträge enthalten KI-Governance-SLAs, Auditrechte und Datenverarbeitungsbedingungen.
Punktzahl: _____ / 4
Gesamtpunktzahl Säule 1: _____ / 20 | ISO 42001 Klauseln 4–6 | 16–20 = Optimiert, 11–15 = Definiert, 6–10 = In Entwicklung, 1–5 = Initial
So führen Sie die Reifegradbewertung durch
Befolgen Sie diese fünf Schritte, um eine glaubwürdige, umsetzbare Reifegrad-Punktzahl und eine Governance-Verbesserungs-Roadmap zu erhalten, die Sie Ihrem Führungsteam vorlegen können.
1
Stellen Sie Ihr Bewertungsteam zusammen
Benennen Sie für jede Säule einen Verantwortlichen aus der jeweiligen Funktion: IT-Sicherheit (Säulen 1 und 2), Engineering/CTO (Säule 3), Recht/Compliance (Säule 4), HR/Menschen (Säule 5). Beziehen Sie einen neutralen Moderator ein, der die Gruppensitzung leitet.
2
Bewerten Sie jede Säule vor der Gruppensitzung unabhängig
Bitten Sie jeden Säulenverantwortlichen, seinen Bereich privat zu bewerten, um eine Ankerung zu vermeiden. Er sollte für jede Bewertung Nachweise dokumentieren, Sitzungsprotokolle, Richtlinien, Tool-Screenshots, nicht nur Behauptungen.
3
Führen Sie eine moderierte Gruppensitzung durch, um Konsensbewertungen zu vereinbaren
Halten Sie eine zweistündige Sitzung ab, um die individuellen Bewertungen abzugleichen. Konzentrieren Sie die Debatte auf Grenzfälle (insbesondere alles, was mit Stufe 2 bewertet wurde). Das Ziel ist eine ehrliche, durch Nachweise gestützte Basislinie, keine optimistische.
4
Identifizieren Sie Ihre 3 größten Lücken und erstellen Sie eine 90-Tage-Roadmap
Die am niedrigsten bewerteten Fragen stellen Ihr höchstes Governance-Risiko dar. Ordnen Sie jeder Lücke eine konkrete Abhilfemaßnahme, einen Verantwortlichen und eine Frist zu. Schnelle Erfolge (Verbesserungen von Stufe 1 auf Stufe 2) sollten im 90-Tage-Plan prominent vertreten sein.
5
Legen Sie es dem KI-Governance-Ausschuss vor und wiederholen Sie es jährlich
Teilen Sie das Reifegradprofil und die Roadmap mit Ihrem KI-Governance-Ausschuss und Ihrem Führungssponsor zur Genehmigung der Ressourcen. Planen Sie die nächste Bewertung in 12 Monaten und einen Zwischenstand zur Jahresmitte zu den 3 größten Lücken.
FAQ
Häufig gestellte Fragen
Was ist eine Reifegradbewertung der KI-Governance?
Eine Reifegradbewertung der KI-Governance beurteilt, wie systematisch eine Organisation KI-bezogene Risiken, Richtlinien und Verantwortungsstrukturen über zentrale Bereiche hinweg steuert. Sie erzeugt eine Reifegrad-Punktzahl für jeden Bereich auf einer Skala von 1 bis 4 (Initial, In Entwicklung, Definiert, Optimiert) und identifiziert die konkreten Lücken, die geschlossen werden müssen, um die nächste Reifegradstufe zu erreichen. Das Ergebnis dient dazu, KI-Governance-Investitionen zu priorisieren und Governance-Fortschritte gegenüber Vorständen, Auditoren und Regulierungsbehörden nachzuweisen.
Wie hängt die KI-Governance-Reife mit ISO 42001 zusammen?
ISO 42001 ist eine internationale Norm für KI-Managementsysteme, die Anforderungen an Governance, Risikomanagement und verantwortungsvolle KI-Praxis definiert. Eine Reifegradbewertung der KI-Governance lässt sich direkt der Klauselstruktur von ISO 42001 zuordnen: Säule 1 (Richtlinie und Strategie) entspricht den Klauseln 4 bis 6, Säule 2 (Risikomanagement) der Klausel 6, Säule 3 (Sicherheit und Technologie) der Klausel 8, Säule 4 (Compliance) den Klauseln 9 und 10, und Säule 5 (Menschen und Kultur) der Klausel 7. Organisationen, die eine ISO-42001-Zertifizierung anstreben, müssen über alle Säulen hinweg in der Regel mindestens Stufe 3 (Definiert) erreichen.
Was ist eine gute Reifegrad-Punktzahl der KI-Governance?
Bei einer Gesamtpunktzahl von 100: unter 40 weist auf eine initiale Reife mit erheblichen Governance-Lücken hin; 40 bis 60 weist auf eine sich entwickelnde Reife mit einigen vorhandenen Kontrollen hin; 60 bis 80 weist auf eine definierte Reife mit dokumentierten und umgesetzten Kontrollen hin, die für die meisten regulatorischen Basisanforderungen ausreicht; über 80 weist auf eine optimierte Reife mit kontinuierlicher Verbesserung und fortgeschrittener Überwachung hin. Für die Compliance mit dem EU AI Act bei risikoreichen KI-Systemen sollten Organisationen mindestens 65 anstreben. Für die ISO-42001-Zertifizierung sollten alle Säulenpunktzahlen Stufe 3 erreichen.
Wie oft sollten wir die Reifegradbewertung der KI-Governance wiederholen?
Führen Sie jährlich eine vollständige Reifegradbewertung als Teil Ihres Überprüfungszyklus des Governance-Programms durch. Führen Sie zur Jahresmitte einen leichteren Zwischenstand durch, der nur die am niedrigsten bewerteten Säulen abdeckt, um die Fortschritte gegenüber der Verbesserungs-Roadmap zu verfolgen. Lösen Sie eine außerplanmäßige Bewertung aus, wenn sich Ihre KI-Nutzung wesentlich ändert, zum Beispiel beim Einsatz eines neuen risikoreichen KI-Systems, bei einer bedeutenden regulatorischen Entwicklung oder bei einem KI-bezogenen Sicherheitsvorfall, der eine systematische Governance-Schwäche aufdeckt.
Erste Schritte
Leiten Sie KI-Sicherheitsprioritäten aus Ihrer Bewertung ab
Nutzen Sie die Bewertung, um Ihre nächsten Sicherheitsverbesserungen zu priorisieren. Aona hilft Sicherheitsteams, die KI-Nutzung von Mitarbeitenden zu erkennen und unterstützte Richtlinienkontrollen anzuwenden.
Verwandte Ressourcen