KI-Governance & Compliance - compliance-net - Partners for compliance and advisory

EU AI Act | ISO/IEC 42001 | KI-Risikomanagement | IDW PS 861

Wir unterstützen Sie dabei, KI-Anwendungen kontrolliert einzuführen und weiterzuentwickeln – von Standortbestimmung, KI-Inventar und Klassifizierung über Governance, Risiko- und Freigabeprozesse bis zu Prüfung, Auditvorbereitung und rollenbezogener KI-Kompetenz. Bestehende GRC-, Datenschutz- und Informationssicherheitsstrukturen können dabei gezielt genutzt und verbunden werden.

Artikel

Wobei wir unsere Kunden unterstützen

Typische Ausgangs-situationen

Unser
Vorgehensmodell

Klar beauftragbare
Einstiegspaket

Anschlussfähig
an das CN-
Leistungsportfo

Präambel

KI-Anwendungen entwickeln sich zu unternehmensweiten Governance-Themen. Ohne klare Verantwortlichkeiten, angemessene Kontrollen und einen belastbaren Überblick über eingesetzte Systeme lassen sich Risiken und Handlungsbedarf nur schwer einordnen.

compliance-net unterstützt bei KI-Inventar und Klassifizierung, Governance-Modell, Risiko-, Kontroll- und Freigabeprozessen sowie projektbegleitender Prüfung und Auditvorbereitung. Bestehende GRC-, Datenschutz- und Informationssicherheitsstrukturen können dabei möglichst sinnvoll eingebunden werden.

Lassen Sie uns Ihre KI-Ausgangslage gemeinsam einordnen.

Nicht jede Ausgangslage erfordert sofort ein umfangreiches Governance-Projekt. Häufig schafft bereits eine fokussierte Standortbestimmung Transparenz darüber, welche KI-Anwendungen relevant sind, wo Handlungsdruck besteht und welche Maßnahmen sinnvoll priorisiert werden können.

In einem unverbindlichen Erstgespräch können Ziele, Handlungsdruck, bestehende Strukturen und ein sinnvoller Projektzuschnitt besprochen werden.

KI-Governance in bestehende Managementsysteme integrieren

Künstliche Intelligenz ist in vielen Unternehmen längst im Einsatz. Mitarbeitende nutzen generative KI, Fachbereiche führen spezialisierte Anwendungen ein und Softwareanbieter integrieren KI-Funktionen in bestehende Produkte. Damit wächst die Zahl relevanter Use Cases häufig schneller als die dazugehörigen Governance-, Risiko- und Kontrollstrukturen.

Die zentrale Managementfrage lautet deshalb häufig nicht mehr, ob KI eingesetzt wird, sondern wo, wofür, mit welchen Daten, durch welche Anbieter und unter wessen Verantwortung.

Genau hier setzt KI-Governance an.

KI ist nicht nur ein Technologiethema. Datenschutz, Informationssicherheit, Compliance, Risikomanagement, Third Party Risk, IKS und regulatorische Anforderungen greifen ineinander. Governance soll die sinnvolle Nutzung von KI ermöglichen, ohne eine zusätzliche Parallelorganisation aufzubauen.

compliance-net unterstützt bei Standortbestimmung, Zielbild, Governance, Prozessen und Kontrollen. Im Mittelpunkt stehen angemessene Strukturen und nachvollziehbare Entscheidungen, die zur Organisation und zum Risikoprofil passen können.

Transparenz schaffen und KI-Nutzung einordnen

Eine belastbare Governance setzt voraus, dass bekannt ist, welche KI-Systeme, KI-gestützten Funktionen und relevanten Use Cases im Unternehmen tatsächlich eingesetzt oder geplant werden.

Gemeinsam kann ein KI-Inventar aufgebaut werden, das Anwendungen, Use Cases, Verantwortlichkeiten, Anbieter, Datenbezug und Verwendungszwecke strukturiert erfasst. Dabei sind nicht nur eigenständig beschaffte KI-Systeme relevant, sondern auch eingebettete KI-Funktionen bestehender Software, Cloud-Dienste und dezentrale Lösungen in Fachbereichen.

Auf dieser Grundlage können Systeme und Anwendungsfälle klassifiziert und hinsichtlich regulatorischer, datenschutzrechtlicher, sicherheitsbezogener, operativer und gegebenenfalls drittrisikospezifischer Relevanz eingeordnet werden.

Das Ergebnis dient als Entscheidungsgrundlage: Wo besteht Handlungsbedarf? Was hat Priorität? Welche Freigaben, Kontrollen oder Nachweise sind angemessen – und wo können vorhandene Prozesse weitergenutzt werden?

Recht, Standards und Prüfungsanforderungen zusammenführen

Mit dem EU AI Act besteht ein verbindlicher europäischer Rechtsrahmen für den Einsatz und die Bereitstellung von Künstlicher Intelligenz. Die Verordnung gilt seit dem 2. August 2026 grundsätzlich; einzelne Regelungsbereiche haben abweichende Anwendungszeitpunkte. Nach der konsolidierten Fassung gelten zentrale Pflichten für bestimmte Hochrisiko-KI-Systeme nach Anhang III ab dem 2. Dezember 2027 und für bestimmte produktbezogene Hochrisiko-KI-Systeme nach Anhang I ab dem 2. August 2028. Konsolidierter EU AI Act auf EUR-Lex

Für Unternehmen bedeutet das vor allem: Eine pauschale „AI-Act-Checkliste“ reicht nicht aus. Entscheidend sind Rolle, Anwendungsfall, Risikoeinordnung und konkrete Nutzung. Erst daraus lässt sich ableiten, welche gesetzlichen, organisatorischen und technischen Anforderungen tatsächlich relevant sind.

Art. 4 EU AI Act verlangt Maßnahmen zur Förderung der KI-Kompetenz von Mitarbeitenden und weiteren mit Betrieb oder Nutzung befassten Personen. Umfang und Ausgestaltung sind rollen- und kontextbezogen. Art. 4 EU AI Act auf EUR-Lex

Neben dem gesetzlichen Rahmen können etablierte Management-, Risiko- und Prüfungsansätze die praktische Ausgestaltung unterstützen. Je nach Ausgangssituation und Zielsetzung können insbesondere folgende Referenzen sinnvoll einbezogen werden:

Referenz	Schwerpunkt	Nutzen für die Governance
ISO/IEC 42001:2023	AI Management System (AIMS)	Managementsystem, Rollen, Prozesse, Ziele, Risiken, Kontrollen und kontinuierliche Verbesserung
ISO/IEC 23894:2023	KI-Risikomanagement	Strukturierte Integration KI-spezifischer Risiken in bestehende Risikomanagementprozesse
ISO/IEC 42005:2025	AI System Impact Assessment	Systematische Bewertung und Dokumentation möglicher Auswirkungen von KI-Systemen
ISO/IEC 38507:2022	Governance der KI-Nutzung	Orientierung für Leitungsgremien und Management zur verantwortlichen Steuerung des KI-Einsatzes
IDW PS 861 (03.2023)	Prüfung von KI-Systemen	Prüfungsrahmen und Kriterien für standardisierte Prüfungen von KI-Systemen außerhalb der Abschlussprüfung
IDW AdvH 6.003 (01.2026)	Einführung generativer KI	Praxisorientierung zu strategischen, organisatorischen, technischen und Governance-Fragen bei der Einführung von GenAI

Wichtiger hierbei zu berücksichtigender Sachverhalt ist, dass die ISO/IEC 42001 – Konformität nicht automatisch EU-AI-Act-Konformität bedeutet. Eine Konformitätsvermutung entsteht für harmonisierte europäische Normen erst nach entsprechender Referenzierung im EU-Amtsblatt; die Normungsarbeiten laufen weiter. EU-Kommission: Standardisation of the AI Act

Ziel ist nicht, möglichst viele Frameworks parallel einzuführen, sondern regulatorische, normative und prüfungsbezogene Anforderungen in ein angemessenes und steuerbares Governance- und Kontrollmodell zu überführen. Vorhandene GRC-, Informationssicherheits-, Datenschutz-, IKS-, Revisions- und Third-Party-Risk-Strukturen können genutzt werden. KI-Governance sollte möglichst sinnvoll in die bestehende Governance integriert werden.

Prüfungsfähigkeit von Anfang an mitdenken

Eine dokumentierte KI-Richtlinie allein reicht dafür nicht aus. Verantwortlichkeiten, Risikobewertungen, Freigaben, Kontrollen und Nachweise müssen nachvollziehbar ausgestaltet und in den tatsächlichen Abläufen verankert sein.

Readiness Assessments und Auditvorbereitung können Prüfungsanforderungen frühzeitig berücksichtigen. IDW PS 861 kann als fachliche Referenz für Kriterien und Prüfungslogik dienen. Formelle Prüfungsurteile nach IDW Standards bleiben befugten Wirtschaftsprüfern bzw. Prüfungsgesellschaften vorbehalten; compliance-net kann die organisatorische und dokumentarische Vorbereitung unterstützen.

Damit kann KI-Governance zu einem nachvollziehbaren und prüfbaren Bestandteil der Unternehmensorganisation werden – mit klaren Schnittstellen zu Management, Fachbereichen und Kontrollfunktionen.

Angemessene Governance statt Parallelorganisation

Ziel ist nicht möglichst viel Governance, sondern eine zur tatsächlichen KI-Nutzung angemessene Steuerung. Entscheidend ist in dieser Hinsicht, dass Verantwortlichkeiten klar sind, Prozesse angewendet werden und wesentliche Risiken, Freigaben und Nachweise nachvollziehbar gesteuert werden.

Dafür sind insbesondere praktische Fragen zu beantworten:

Wer darf neue KI-Anwendungen einführen?

Wer bewertet die damit verbundenen Orga- / Sec.-Risiken?

Wann müssen Datenschutz oder Informationssicherheit eingebunden werden?

Wie werden externe KI-Anbieter beurteilt?

Welche Anwendungen oder Use Cases benötigen eine vertiefte Bewertung?

Wie werden Umsetzung, Wirksamkeit und notwendige Weiterentwicklung überprüft?

Aus diesen Fragen kann ein Steuerungs- und Kontrollsystem entstehen, das im Tagesgeschäft anwendbar, für Managemententscheidungen nachvollziehbar und an Revision bzw. Prüfung anschlussfähig ist.

Wobei wir unsere Kunden unterstützen

KI-Inventar, Klassifizierung und Governance-Modell

Wir unterstützen bei der strukturierten Erfassung eingesetzter und geplanter KI-Systeme und Use Cases. Anwendungen, Verantwortlichkeiten, Anbieter, Datenbezug und Verwendungszwecke können in einem KI-Inventar dokumentiert und nach relevanten Kriterien klassifiziert werden.

EU-AI-Act-Assessment und regulatorische Einordnung

Wir unterstützen Sie dabei, Ihre Rolle und die regulatorische Relevanz einzelner Systeme und Use Cases zu bestimmen, Handlungsfelder zu identifizieren und erforderliche Maßnahmen abzuleiten.

KI-Governance und AI Management System

Wir unterstützen bei der Entwicklung oder Weiterentwicklung eines angemessenen Governance-Modells für KI. Die ISO/IEC 42001 kann dabei als Referenz für ein Artificial Intelligence Management System (AIMS) genutzt und mit bestehenden GRC-, ISMS-, Datenschutz- und Kontrollstrukturen verbunden werden.

KI-Richtlinien, Rollen und Nutzungsregeln

Wir unterstützen bei praxistauglichen Vorgaben für Beschaffung, Freigabe und Nutzung von KI sowie bei Rollen, Verantwortlichkeiten und Eskalationswegen – beispielsweise für generative KI, externe KI-Dienste und eingebettete KI-Funktionen.

Risiko-, Kontroll- und Freigabeprozesse für KI

Wir unterstützen bei einem strukturierten Ansatz zur Identifikation, Bewertung, Behandlung und Überwachung KI-spezifischer Risiken sowie bei angemessenen Freigabe- und Kontrollprozessen. Die ISO/IEC 23894 und vorhandene Risiko-, IKS-, ISMS- oder Datenschutzprozesse können dabei einbezogen werden.

Datenschutz, Informationssicherheit und Prozessintegration

Wir unterstützen dabei, KI-bezogene Anforderungen in bestehende Datenschutz-, Informationssicherheits-, Compliance-, IKS- und Prozessstrukturen einzubinden. Ziel sind klare Schnittstellen statt paralleler Prüf- und Freigabewege.

AI Impact Assessments

Für relevante KI-Anwendungen unterstützen wir bei der strukturierten Bewertung möglicher Auswirkungen und Risiken. Je nach Anwendungsfall können regulatorische Anforderungen sowie etablierte Ansätze wie ISO/IEC 42005 berücksichtigt und in bestehende Bewertungs- und Freigabeprozesse integriert werden.

Third Party Risk und externe KI-Anbieter

Wir unterstützen bei der strukturierten Bewertung externer KI-Anbieter und KI-Funktionen in Dienstleisterlösungen. Je nach Kontext können Verantwortlichkeiten, Datenverarbeitung, Informationssicherheit, Vertrags- und SLA-Strukturen, Leistungsüberwachung, Exit-Aspekte und erforderliche Nachweise betrachtet werden.

Projektbegleitende Prüfung und Auditvorbereitung

Wir unterstützen bei Standortbestimmungen, Readiness Assessments, projektbegleitender Qualitätssicherung und Auditvorbereitung. Für KI-Systeme kann IDW PS 861 als fachliche Referenz berücksichtigt werden; für interne Prüfungsprogramme können risikoorientierte Kriterien und Nachweise strukturiert werden. Ein formelles Prüfungsurteil nach IDW Standards bleibt entsprechend befugten Wirtschaftsprüfern bzw. Prüfungsgesellschaften vorbehalten.

KI-Kompetenz, Workshops und Wissenstransfer

Wir unterstützen bei einem rollen- und kontextbezogenen Ansatz zur Förderung der KI-Kompetenz nach Art. 4 EU AI Act. Über Management-Workshops, Inhouse-Schulungen und zielgruppenspezifische Awareness- und Praxistrainings kann Wissen in der Organisation verankert werden.

Typische Ausgangssituationen

„Wir wissen nicht vollständig, wo bei uns bereits KI eingesetzt wird.“

Fachbereiche nutzen unterschiedliche Tools oder KI-Funktionen, während eine zentrale Übersicht, Klassifizierung oder klare Verantwortlichkeit fehlt.

„Wir führen KI ein oder skalieren sie – aber Governance und Freigaben wachsen nicht mit.“

Nutzungsregeln existieren teilweise bereits, Verantwortlichkeiten, Bewertungsmaßstäbe, Freigabeprozesse und Kontrollen sind jedoch noch nicht durchgängig definiert.

„Wir müssen wissen, was der EU AI Act konkret für uns bedeutet.“

Die regulatorischen Anforderungen sind bekannt, aber es fehlt die Übersetzung auf die eigenen Systeme, Rollen und Prozesse.

„IT, Datenschutz, Informationssicherheit und Compliance bewerten KI unterschiedlich.“

Fachbereiche und Kontrollfunktionen arbeiten mit unterschiedlichen Bewertungsmaßstäben. Es fehlt ein gemeinsamer, risikoorientierter Governance- und Freigabeprozess.

„Kunden, Revision oder Prüfer erwarten nachvollziehbare Nachweise zu unserer KI-Governance.“

Richtlinien und Prozesse sind vorhanden oder im Aufbau, aber Kontrolldokumentation, Nachweise, Audit-Readiness oder ein konsistentes Prüfprogramm fehlen noch.

„Wir nutzen externe KI-Anbieter – aber Provider- und Drittrisiken sind noch nicht konsistent eingebunden.“

Beschaffung, Datenschutz, Informationssicherheit, Vertragssteuerung und Fachbereich betrachten den Anbieter jeweils separat; ein integrierter Bewertungs- und Überwachungsprozess fehlt.

Unser Vorgehensmodell

a. Verstehen

Ziele, Rahmenbedingungen, Risiken, vorhandene KI-Nutzung und bestehende Strukturen aufnehmen. Dazu gehören auch relevante Managementsysteme, Rollen und laufende Vorhaben.

b. Einordnen

KI-Systeme und Use Cases klassifizieren, Rollen und Anforderungen bewerten, Prioritäten ableiten und Handlungsoptionen transparent machen.

c. Umsetzen

Governance-Modell, Verantwortlichkeiten, Risiko-, Kontroll- und Freigabeprozesse, Richtlinien und Nachweise gemeinsam ausgestalten und in bestehende Strukturen integrieren.

d. Verankern

Umsetzungsstand und Wirksamkeit prüfen, Audit-Readiness verbessern, Wissen übertragen und die weitere Entwicklung der KI-Governance vorbereiten.

Klar beauftragbare Einstiegspakete

Statt KI-Governance ausschließlich als ein großes Beratungsprodukt zu verkaufen, kann compliance-net daraus klar beauftragbare Einstiegspakete entwickeln. Dadurch erkennt ein Interessent schneller, was er konkret beauftragen kann.

KI-Governance Standortbestimmung / Quick Check

Fokussierte Standortbestimmung zu KI-Nutzung, vorhandenen Strukturen, Governance-Reifegrad, regulatorischer Relevanz und prioritären Handlungsfeldern.

KI-Inventar, Klassifizierung & EU AI Act Assessment

Strukturierte Erfassung und Klassifizierung relevanter KI-Systeme und Use Cases, Rollenbestimmung, Risikoeinordnung und Ableitung priorisierter regulatorischer und organisatorischer Maßnahmen.

KI-Governance, Risiko-, Kontroll- & Freigabeprozesse

Aufbau bzw. Integration von Rollen, Richtlinien, Risiko-, Kontroll- und Freigabeprozessen, Nachweisen und Schnittstellen zu bestehenden GRC-, Datenschutz- und Informationssicherheitsstrukturen.

KI-Governance Audit Readiness & Prüfungsunterstützung

Bewertung bestehender Strukturen, Kontrollen und Nachweise, projektbegleitende Qualitätssicherung, Vorbereitung auf interne oder externe Prüfungen sowie Unterstützung bei risikoorientierten Prüfungsansätzen.

Anschlussfähig an das CN-Leistungsportfolio

Die KI-Leistung knüpft an bestehende unsere Kompetenzfelder an: Audit, GRC, Informationssicherheit, Third Party Risk, Datenschutz, Transformation & Daten sowie Akademie. Dadurch können fachliche, technische und Compliance-Perspektiven verbunden werden. Der Ansatz verbindet Managementberatung, Prüfungserfahrung und operative Umsetzungsbegleitung.

Je nach Ausgangslage reicht die Unterstützung von der Standortbestimmung bis zu Umsetzungsbegleitung, Auditvorbereitung und Wissenstransfer. Die Beratung erfolgt unabhängig von Software- oder Produktanbietern und kann auf vorhandene Managementsysteme aufsetzen.

So entsteht kein separates KI-Regelwerk für den Aktenschrank, sondern ein steuerbarer Rahmen, der die kontrollierte Einführung und Nutzung von KI unterstützen kann.

Fachliche Quellen und weiterführende Verweise

Die folgenden Primärquellen eignen sich sowohl zur internen fachlichen Absicherung als auch – selektiv – für Verlinkungen aus weiterführenden Website-Inhalten oder Fachbeiträgen:

compliance-net GmbH – Leistungsportfolio, Stand Juli 2026 – interne Positionierungs- und Leistungsreferenz; insbesondere 07 · AI Governance & Sustainability sowie angrenzende Kompetenzfelder Audit, GRC, Informationssicherheit, Third Party Risk, Datenschutz, Transformation & Daten und Akademie.
compliance-net – Unternehmenswebsite – Bestehende Positionierung und Leistungsumfeld.
EUR-Lex – Konsolidierter EU AI Act (Stand 27.07.2026) – Rechtsgrundlage einschließlich aktueller Anwendungszeitpunkte.
EUR-Lex – Verordnung (EU) 2026/1744 – Änderungen der Anwendungszeitpunkte insbesondere für bestimmte Hochrisiko-KI-Systeme.
Europäische Kommission – Standardisation of the AI Act – Aktueller Stand der harmonisierten europäischen Normung zum AI Act.
ISO/IEC 42001:2023 – AI management systems – Anforderungen an ein Artificial Intelligence Management System (AIMS).
ISO/IEC 23894:2023 – AI risk management – Leitlinien für das Management KI-spezifischer Risiken.
ISO/IEC 42005:2025 – AI system impact assessment – Leitlinien für strukturierte Impact Assessments von KI-Systemen.
ISO/IEC 38507:2022 – Governance implications of AI – Governance-Leitlinien für Leitungsgremien und Management beim Einsatz von KI.
ISO – Übersicht relevanter KI-Standards – Überblick über veröffentlichte und weitere ISO/IEC-Standards rund um KI.
IDW PS 861 (03.2023) – Prüfung von KI-Systemen – IDW-Prüfungsstandard für Prüfungen von KI-Systemen außerhalb der Abschlussprüfung.
IDW AdvH 6.003 (01.2026) – Einführung generativer Künstlicher Intelligenz im Unternehmen – Praxisorientierung zur strukturierten und verantwortungsvollen Einführung generativer KI.
IDW PS 980 (09.2022) – Prüfung von Compliance Management Systemen – Relevanter Anschlussstandard, wenn KI-Compliance in ein bestehendes Compliance Management System integriert wird.

zurück zur Übersicht