Die Risikolandkarte: fünf Risiken, fünf Kontrollfragen

Die Risikolandkarte übersetzt KI-Risiken in prüfbare Fragen. Sie steht für sich: Die geprüften Bereiche müssen die Schulungsmodule nicht kennen, aber jedes Risiko hat dort seine Wurzel: das Eingaberisiko in K2 (Datenkategorien, Anonymisierung), das Ergebnisrisiko in K3 (Automation Bias, ungeprüfte Übernahme), das Prozessrisiko in K11 (Kontrollpunkte), das Kompetenzrisiko in Art. 4 der EU-KI-Verordnung (dokumentierte Schulung) und das Schattenrisiko wieder in K2 (freie Dienste ohne Vertrag).

Die Risikolandkarte (Ihr Mitnahme-Werkzeug, eine Seite):

• Eingaberisiko (unzulässige Daten) → Kontrollfrage: Welche Datenkategorien fließen ein, und wer hat das geprüft? Typische Nachweise: Richtlinie plus Stichprobe realer Chats, soweit die Betriebsvereinbarung das deckt.
• Ergebnisrisiko (ungeprüfte Ausgaben in Entscheidungen) → Wo ist die menschliche Prüfung, und ist sie wirksam oder Alibi? Typische Nachweise: Prüfvermerke; gefundene und korrigierte Fehler als Positivsignal.
• Prozessrisiko (Automatisierung ohne Kontrollpunkte) → Wo stoppt der Ablauf, wer gibt frei, was passiert bei Ablehnung? Typische Nachweise: dokumentierte Freigaben, Ablehnungspfade, Stichprobenquoten.
• Kompetenzrisiko (Nutzung ohne Befähigung) → Wer nutzt KI, und ist die Schulung nachweisbar? Typische Nachweise: Teilnahmedokumentation je Rolle.
• Schattenrisiko (Nutzung außerhalb freigegebener Systeme) → Wie wird Schatten-KI erkannt und adressiert? Typische Nachweise: Awareness-Signale, Meldewege, technische Indikatoren, mit Augenmaß und Mitbestimmung.

Ein Punkt ist kontraintuitiv und deshalb wichtig: das Positivsignal. Ein Bereich, der gefundene KI-Fehler dokumentiert, ist prüfungsseitig besser aufgestellt als einer, der „keine Fehler“ berichtet. Null-Fehler-Meldungen deuten auf ungeprüfte Übernahme hin, denn Sprachmodelle erzeugen prinzipbedingt auch fehlerhafte Ausgaben (K1, K3). Wo geprüft wird, wird gefunden.