KI-Risikomanagement: ein Lebenszyklus für NIST, ISO 42001 und den EU AI Act

Auf einen Blick

• KI-Risikomanagement ist ein einziger, verantwortlich geführter Lebenszyklus (identifizieren, bewerten, mindern, überwachen) und keine Sammlung nebeneinanderstehender Frameworks. Es bildet den operativen Kern jeder ernst gemeinten KI-Governance.
• Der NIST AI RMF, ISO/IEC 42001 samt ISO/IEC 23894 und Article 9 des EU AI Act münden in denselben Satz an Kontrollen, Verantwortlichen und Nachweisen, statt in drei getrennte Ordner.
• Für Anbieter von Hochrisiko-KI verlangt der EU AI Act ein Risikomanagementsystem, das über den gesamten Lebenszyklus fortlaufend und iterativ betrieben sowie systematisch überprüft wird.
• Die tragenden Artefakte sind ein KI-Inventar, ein Risikoregister, ein Kontroll-Mapping, eine Nachweissammlung und eine dokumentierte Freigabe des Restrisikos, also genau das, was eine benannte Stelle oder ein Prüfer einsieht.
• KI-Risiken verhalten sich anders als klassische IT- oder Unternehmensrisiken, weil sie aus Daten, Modellverhalten und gesellschaftlichen Auswirkungen entstehen und sich mit jeder Datenverschiebung verändern.

Was ist KI-Risikomanagement?

KI-Risikomanagement bezeichnet den strukturierten Prozess, mit dem eine Organisation die Risiken erkennt, bewertet, behandelt und überwacht, die aus der Entwicklung, der Beschaffung und dem Betrieb von KI-Systemen entstehen. Entscheidend ist das Wort „Prozess“. Gemeint ist kein einmaliges Audit kurz vor dem Go-live, sondern ein fortlaufender Kreislauf, der an ein konkretes System, seinen vorgesehenen Zweck und die betroffenen Personengruppen gebunden ist. Ein Modell, das gestern akzeptabel war, kann heute abweichen, weil sich die Eingabedaten, das Nutzerverhalten oder die rechtliche Lage geändert haben. Der Unterschied zum klassischen Cybersicherheitsrisiko liegt im Gegenstand. Informationssicherheit schützt die Vertraulichkeit, Integrität und Verfügbarkeit von Systemen und Daten gegen Angreifer. KI-Risikomanagement schließt diese Perspektive ein, geht aber darüber hinaus: Es befasst sich mit dem Verhalten eines statistischen Modells, das auch ohne jeden Angriff falsche, verzerrte oder diskriminierende Ergebnisse liefern kann. Ein Kreditscoring-Modell kann technisch vollkommen sicher betrieben werden und trotzdem eine Bevölkerungsgruppe systematisch benachteiligen. Genau dieser Bereich fällt in kein herkömmliches Sicherheitskonzept. Auch vom betrieblichen Unternehmensrisikomanagement unterscheidet sich die Disziplin. Enterprise Risk Management arbeitet mit relativ stabilen Risikokategorien wie Liquidität, Lieferkette oder Reputation. KI-Risiken sind dagegen datenabhängig, verändern sich schnell und lassen sich selten mit einer einzelnen Kennzahl erfassen. Die probabilistische Natur der Modelle bedeutet, dass Fehler nicht die Ausnahme, sondern eine kalkulierbare Eigenschaft des Systems sind. Wer KI verantwortungsvoll einsetzt, verbindet deshalb die Methodik der Risikomanagement-Compliance mit einem tiefen Verständnis dafür, wie Daten und Modelle tatsächlich zusammenwirken. Das Ziel ist nicht Risikofreiheit, sondern ein bewusst getroffenes und nachvollziehbar dokumentiertes Urteil darüber, welches Restrisiko die Organisation zu tragen bereit ist.

Warum KI-Risikomanagement jetzt zählt

Der unmittelbarste Treiber ist regulatorisch. Der EU AI Act verlangt in Article 9, dass Anbieter von Hochrisiko-KI ein Risikomanagementsystem einrichten, umsetzen, dokumentieren und aufrechterhalten, und zwar als kontinuierlichen, iterativen Prozess über den gesamten Lebenszyklus mit systematischer Überprüfung. Das ist keine Formalie für die Rechtsabteilung, sondern eine Betriebsanforderung, die in Rollen, Kontrollen und Nachweise übersetzt werden muss. Wer die Details des Geltungsbereichs und der Pflichten sortieren möchte, findet in unserem Praxisleitfaden zum EU AI Act den passenden Einstieg. Der zweite Treiber ist operativer Natur. KI wandert aus Pilotprojekten in produktive Prozesse, die Umsatz, Kundenbeziehungen und regulierte Entscheidungen berühren. Ein fehlerhaftes Sprachmodell in der Kundenkommunikation, ein driftendes Betrugserkennungsmodell oder ein voreingenommener Bewerberfilter erzeugen realen Schaden, oft bevor jemand ihn bemerkt. Die Fehler sind selten laut. Sie sammeln sich still an, bis eine Beschwerde, eine Prüfung oder ein Medienbericht sie sichtbar macht. Der dritte Treiber ist Sichtbarkeit. Viele Organisationen wissen schlicht nicht, wie viele KI-Systeme sie tatsächlich betreiben. Fachbereiche abonnieren Werkzeuge auf eigene Faust, Entwickler binden externe Modelle in Anwendungen ein, und Mitarbeitende nutzen generative Assistenten ohne Freigabe. Dieses Phänomen, für das sich der Begriff Schatten-KI etabliert hat, untergräbt jedes Risikomanagement an der Wurzel: Was nicht erfasst ist, kann nicht bewertet, gemindert oder gegenüber einer Aufsichtsbehörde wie dem BSI oder der BfDI belegt werden. Deutschland und die gesamte EU bewegen sich zudem auf ein Umfeld zu, in dem Nachweispflichten die Regel werden. Ein belastbares Programm zu haben, bevor die erste Anfrage eintrifft, ist deutlich günstiger, als es unter Zeitdruck nachträglich aufzubauen.

Die Hauptkategorien von KI-Risiken

Ein brauchbares Risikoregister ordnet Risiken nicht nach Bauchgefühl, sondern entlang klarer Kategorien, die sich im Betrieb wiederfinden. Vier Familien decken den größten Teil der Praxis ab. Jede von ihnen verlangt eigene Tests, eigene Kontrollen und eigene Verantwortliche, auch wenn sie am Ende in dasselbe Register fließen.

Datenrisiken

Am Anfang jeder Modellentscheidung stehen Daten, und dort entstehen die ersten Risiken. Mangelnde Datenqualität, fehlende oder unklare Herkunft (Provenienz), unzureichende Repräsentativität und veraltete Bestände führen dazu, dass ein Modell aus einer verzerrten Realität lernt. Hinzu kommen Datenschutzrisiken, wenn personenbezogene Daten ohne tragfähige Rechtsgrundlage verarbeitet werden, sowie Data Poisoning, bei dem Trainingsdaten gezielt manipuliert werden, um das Modellverhalten zu unterwandern. Für Systeme mit spürbaren Auswirkungen auf Personen ist eine strukturierte Folgenabschätzung der richtige Ort, um diese Risiken früh zu fassen. Wie sich Datenschutz-Folgenabschätzung, DPIA und Grundrechte-Folgenabschätzung unterscheiden, ordnet unser Beitrag zur Folgenabschätzung ein.

Modellrisiken

Auf der Modellebene stehen vier wiederkehrende Probleme im Vordergrund: Verzerrung (Bias), Drift, Halluzination und mangelnde Robustheit. Algorithmische Verzerrung entsteht, wenn ein Modell historische Ungleichheiten reproduziert oder verstärkt. Drift beschreibt den langsamen Genauigkeitsverfall, wenn sich die reale Datenverteilung vom Trainingsstand entfernt. Halluzination, also plausibel klingende, aber sachlich falsche Ausgaben, ist ein zentrales Risiko generativer Modelle und in regulierten Kontexten besonders heikel. Robustheit schließlich betrifft die Frage, wie stabil ein Modell auf ungewöhnliche oder grenzwertige Eingaben reagiert. Standardisierte LLM-Benchmarks helfen, diese Eigenschaften vergleichbar zu messen, ersetzen aber keine Tests am eigenen Anwendungsfall.

Betriebs- und Sicherheitsrisiken

Sobald ein Modell in Produktion läuft, wird es zum Angriffsziel und zum Betriebsfaktor. Gegnerische Angriffe reichen von manipulierten Eingaben über Prompt Injection bis zur Extraktion von Trainingsdaten oder Modellparametern. Das Rahmenwerk MITRE ATLAS katalogisiert diese Techniken gegen maschinelles Lernen systematisch und eignet sich gut als Prüfliste für das Security-Team. Hinzu kommen Missbrauchsrisiken, wenn ein System zweckentfremdet wird, sowie Verfügbarkeits- und Skalierungsrisiken, wenn ein Dienst unter Last ausfällt oder ein externer Modellanbieter abgeschaltet wird. Diese Kategorie ist die natürliche Brücke zwischen KI-Risikomanagement und klassischer Informationssicherheit, wie sie das BSI vertritt, und sollte nicht in einem Silo landen.

Ethische, rechtliche und grundrechtliche Risiken

Die vierte Familie ist am schwersten zu messen und zugleich die, auf die Regulierung am stärksten zielt. Diskriminierung, mangelnde Transparenz, fehlende menschliche Aufsicht und unklare Verantwortlichkeit können Grundrechte verletzen, selbst wenn das System technisch einwandfrei arbeitet. Ein Modell, dessen Entscheidungen niemand erklären kann, lässt sich weder anfechten noch sinnvoll überwachen. Deshalb gehört Erklärbarkeit von KI nicht in die Kür, sondern in die Pflicht: Sie ist die Voraussetzung dafür, dass menschliche Aufsicht mehr ist als ein leeres Kontrollkästchen.

Der Lebenszyklus des KI-Risikomanagements

Kategorien sagen, wonach man sucht. Der Lebenszyklus sagt, wie man es tut. Vier Phasen greifen ineinander und wiederholen sich, solange das System im Einsatz ist: identifizieren und einordnen, bewerten und messen, mindern und steuern, überwachen und überprüfen. Kein Schritt steht für sich, und keiner ist jemals endgültig abgeschlossen.

Identifizieren und einordnen

Bevor irgendein Risiko bewertet werden kann, muss das System selbst bekannt sein. Der erste Schritt ist deshalb ein vollständiges Inventar aller KI-Systeme mit ihrem vorgesehenen Zweck, ihrem Einsatzkontext, den verarbeiteten Datenarten und den betroffenen Personengruppen. Genau hier entscheidet sich, ob ein Programm trägt oder auf Sand gebaut ist: Ein System ohne Eintrag im Inventar existiert für das Risikomanagement nicht. Zur Einordnung gehört auch die rechtliche Klassifizierung, etwa ob ein System als Hochrisiko-KI gilt oder ob besondere Regeln für Modelle mit allgemeinem Verwendungszweck greifen. Diese Phase entspricht der Map-Funktion des NIST AI RMF und liefert den Kontext, ohne den jede spätere Bewertung ins Leere läuft.

Bewerten und messen

Steht der Kontext, folgt die Bewertung von Eintrittswahrscheinlichkeit und Schadensausmaß je identifiziertem Risiko. Hier trennt sich fundiertes Risikomanagement vom Wunschdenken: Die Bewertung stützt sich nicht auf Meinungen, sondern auf Tests und Kennzahlen. Dazu zählen Fairness-Metriken über verschiedene Personengruppen, Genauigkeits- und Robustheitstests, Red-Teaming gegen Missbrauch sowie die Prüfung auf Datenlecks. Jedes Ergebnis wird festgehalten, denn die Messung von heute ist der Vergleichsmaßstab für die Drift von morgen. Diese Phase deckt sich mit der Measure-Funktion des NIST AI RMF und mit der Analyse- und Bewertungsstufe von ISO/IEC 23894.

Mindern und steuern

Auf die Bewertung folgt die Behandlung. Für jedes relevante Risiko wird eine Kontrolle festgelegt: technische Maßnahmen wie Eingabefilter, Schwellenwerte oder Rückfalloptionen, organisatorische Maßnahmen wie eine Freigabepflicht vor dem Deployment, oder prozessuale Maßnahmen wie eine verpflichtende menschliche Prüfung bei folgenreichen Entscheidungen. Nach der Behandlung bleibt ein Restrisiko, und dieses muss ausdrücklich benannt, bewertet und von einer namentlich verantwortlichen Person freigegeben werden. Diese Restrisiko-Freigabe ist kein bürokratischer Zusatz, sondern das Herzstück der Nachweisführung. Sie belegt, dass jemand mit der nötigen Befugnis eine bewusste Entscheidung getroffen hat, und sie ist ohne saubere Auditierbarkeit wertlos, weil sie sonst später nicht belastbar rekonstruiert werden kann.

Überwachen und überprüfen

Ein freigegebenes System ist kein abgeschlossenes System. Modelle driften, Angreifer lernen dazu, und der Einsatzkontext verschiebt sich. Deshalb braucht jedes produktive System eine laufende Überwachung von Leistung, Drift und unerwartetem Verhalten, verbunden mit einem klar geregelten Prozess für Vorfälle. Fortlaufende Compliance-Überwachung von KI-Systemen macht aus punktuellen Prüfungen einen Dauerbetrieb. Wenn ein schwerwiegender Vorfall eintritt, greifen zudem Meldepflichten, deren Fristen und Adressaten unser Beitrag zur Meldung von KI-Vorfällen nach Artikel 73 des EU AI Act erläutert. Die Überwachung schließt den Kreis und speist neue Erkenntnisse zurück in die Identifikation.

Frameworks und Standards

Die gute Nachricht für jede Organisation lautet: Man muss das KI-Risikomanagement nicht neu erfinden. Drei etablierte Bezugsrahmen liefern gemeinsam eine vollständige Methodik, und sie widersprechen einander nicht, sondern beschreiben denselben Kreislauf aus unterschiedlichen Blickwinkeln. Der Fehler besteht darin, sie als konkurrierende Projekte zu behandeln. Richtig ist, sie in einen einzigen Kontrollsatz zu übersetzen. Wer das Zusammenspiel im Detail nachvollziehen will, findet in unserem Cross-Mapping von NIST, ISO 42001 und EU AI Act eine ausführliche Gegenüberstellung.

NIST AI RMF

Das NIST AI RMF in der Fassung 1.0 (2023) beschreibt vier Kernfunktionen: Govern, Map, Measure und Manage. Govern ist die übergreifende, dauerhafte Funktion, die Kultur, Rollen und Verantwortlichkeiten verankert, während die Teams in der Praxis bei Map beginnen, dann zu Measure übergehen und schließlich bei Manage landen. Das Rahmenwerk ist iterativ angelegt und läuft über den gesamten KI-Lebenszyklus. Es ist freiwillig, sektorunabhängig und eignet sich hervorragend als gemeinsame Sprache zwischen technischen und nichttechnischen Beteiligten. Die maßgeblichen Quellen sind das NIST AI 100-1 und das begleitende NIST AI RMF Playbook. Unser Praxisleitfaden zum NIST AI RMF übersetzt die vier Funktionen in konkrete Schritte.

ISO/IEC 42001 und ISO/IEC 23894

Die beiden ISO-Normen bilden ein Paar mit klarer Arbeitsteilung. ISO/IEC 42001 ist ein zertifizierbares KI-Managementsystem (AIMS) und beantwortet das „Was und Wo“: Es legt fest, welche Governance-Strukturen, Rollen und Prozesse eine Organisation braucht, und es lässt sich durch eine unabhängige Stelle prüfen. ISO/IEC 23894 beantwortet das „Wie“: Es ist die Leitlinie für den eigentlichen Risikoprozess mit Identifikation, Analyse, Bewertung und Behandlung über den Lebenszyklus hinweg. Wichtig zu verstehen ist, dass ISO/IEC 42001 die Methode aus ISO/IEC 23894 als seinen Risikoansatz importiert. Wer nach dem Managementsystem zertifiziert werden möchte, findet in unserer Erläuterung zu ISO 42001 die Struktur des Standards, dessen Fassung bei der ISO veröffentlicht ist.

EU AI Act, Article 9

Anders als die beiden anderen Rahmenwerke ist der EU AI Act kein freiwilliger Standard, sondern geltendes Recht. Article 9 schreibt für Hochrisiko-KI ein Risikomanagementsystem vor, das über den gesamten Lebenszyklus als kontinuierlicher, iterativer Prozess betrieben und systematisch überprüft wird. Der Artikel verlangt, Risiken für Gesundheit, Sicherheit und Grundrechte zu identifizieren, sie zu schätzen und zu bewerten, gezielte Maßnahmen zu ergreifen und das verbleibende Restrisiko so zu gestalten, dass es als akzeptabel beurteilt werden kann. Tests dienen dazu, die geeigneten Maßnahmen zu ermitteln. Ausdrücklich erlaubt der Artikel, dieses Risikomanagement mit Prozessen zu verbinden, die bereits nach anderem Unionsrecht bestehen. Der vollständige Wortlaut ist als Article 9 einsehbar.

Ein Programm, drei Bezugsrahmen

Die folgende Gegenüberstellung zeigt, dass alle drei Rahmenwerke denselben Programmschritten folgen. Genau darin liegt der praktische Nutzen: Man baut einen Kontrollsatz und erfüllt damit drei Anforderungen gleichzeitig.

Programmschritt	NIST AI RMF	ISO/IEC 42001 + 23894	EU AI Act Article 9
Governance und Verantwortung	Govern	Führungs- und Planungsklauseln	Dokumentiertes, gepflegtes Risikosystem
Identifizieren und einordnen	Map	23894 Risikoidentifikation	Risiken für Gesundheit, Sicherheit, Grundrechte identifizieren
Bewerten und messen	Measure	23894 Analyse und Bewertung	Risiken schätzen und bewerten, Tests
Behandeln und akzeptieren	Manage	23894 Behandlung; Anhang-A-Kontrollen	Maßnahmen ergreifen; Restrisiko akzeptabel
Überwachen und überprüfen	Govern und Manage	Bewertungs- und Verbesserungsklauseln	Fortlaufender Prozess, systematische Überprüfung

Ein KI-Risikomanagement-Programm aufbauen: Rollen, Artefakte, Kontrollen

Ein Framework auf dem Papier verändert nichts, solange es keine Zuständigen, keine verbindlichen Artefakte und keine gelebten Kontrollen gibt. Der Aufbau eines Programms beginnt deshalb bei den Rollen. Jedes KI-System braucht einen fachlichen Eigentümer, der für den Zweck und die akzeptierten Risiken einsteht, unterstützt von Data Science für die Modellprüfung, von der Informationssicherheit für die Angriffsfläche, von Datenschutz und Recht für Grundrechte und Rechtsgrundlagen sowie von einer Governance- oder Compliance-Funktion, die den Überblick behält. Ein Aufsichtsgremium oder Komitee entscheidet über strittige Fälle. Wie sich diese Verantwortlichkeiten in eine tragfähige Struktur gießen lassen, beschreibt unser Beitrag zum KI-Governance-Framework. Ebenso wichtig wie die Rollen sind die Artefakte, denn sie sind das, was ein Prüfer oder eine benannte Stelle tatsächlich einsieht. Fünf davon bilden das Rückgrat jedes ernsthaften Programms:

• Das KI-Inventar, ein aktuelles Verzeichnis aller Systeme mit Zweck, Kontext und Klassifizierung.
• Das Risikoregister, das jedes identifizierte Risiko mit Bewertung, Kontrolle und Status verknüpft.
• Das Kontroll-Mapping, das jede Kontrolle auf die Anforderungen von NIST AI RMF, ISO/IEC 42001 und Article 9 bezieht.
• Die Nachweissammlung mit Testergebnissen, Prüfprotokollen und Freigaben.
• Die dokumentierte Restrisiko-Freigabe mit Name, Datum und Begründung der verantwortlichen Person.

Zwischen diesen Artefakten stehen die Kontrollen, also die konkreten Maßnahmen, die aus einer Risikobewertung eine Handlung machen. Der entscheidende Gedanke ist, dass diese Elemente nicht als getrennte Dokumente in verschiedenen Abteilungen liegen dürfen, sondern als ein verbundenes System geführt werden. Ein Risiko im Register verweist auf eine Kontrolle, die Kontrolle verweist auf einen Nachweis, und der Nachweis stützt eine Freigabe. Wenn diese Kette lückenlos ist, wird aus einer Sammlung von Dateien ein prüfbares Programm, das eine Frage einer Aufsichtsbehörde in Minuten statt in Wochen beantwortet.

Häufige Fehler im KI-Risikomanagement

Der verbreitetste Fehler ist die Behandlung des Risikomanagements als einmaliges Projekt. Ein Team füllt vor dem Launch eine Bewertungstabelle aus, hakt die Aufgabe ab und kehrt nie zurück. Da Modelle driften und sich Kontexte verschieben, ist eine solche Momentaufnahme binnen Monaten überholt. Der zweite Fehler ist die Framework-Sammelei: Für den NIST AI RMF entsteht ein Ordner, für ISO/IEC 42001 ein weiterer, für den EU AI Act ein dritter, und niemand pflegt die Überschneidungen. Das Ergebnis ist dreifacher Aufwand bei lückenhafter Abdeckung. Der dritte Fehler ist ein unvollständiges Inventar. Solange Schatten-KI in Fachbereichen unbemerkt läuft, bleibt jede Risikobewertung Stückwerk, weil sie nur die bekannten Systeme abdeckt. Der vierte Fehler betrifft Modelle mit allgemeinem Verwendungszweck: Zugekaufte oder als Dienst bezogene Modelle werden gern als Blackbox behandelt, für die niemand Verantwortung übernimmt, obwohl die Pflichten rund um Allzweck-KI auch den Anwender treffen. Der fünfte Fehler ist die Fixierung auf die EU: Wer international tätig ist, unterliegt einem wachsenden Flickenteppich, von US-Bundesstaatengesetzen wie dem Colorado AI Act bis zu sektorspezifischen Vorgaben. Ein Programm, das nur auf ein einziges Regelwerk ausgelegt ist, muss bei jeder neuen Anforderung von vorn beginnen.

Wie AI Sigil KI-Risikomanagement operationalisiert

AI Sigil ist darauf ausgelegt, den beschriebenen Lebenszyklus als einen zusammenhängenden Betrieb zu führen, statt ihn auf verstreute Tabellen zu verteilen. Inventar, Risikoregister, Kontroll-Mapping, Nachweise und Restrisiko-Freigaben liegen als verbundene, dauerhafte Artefakte vor, die eine benannte Stelle oder ein Prüfer direkt einsehen kann. Ein einziger Kontrollsatz bedient NIST AI RMF, ISO/IEC 42001 und Article 9 zugleich, sodass ein Nachweis mehrere Anforderungen erfüllt. Für regulierte Branchen zählt genau diese Nachvollziehbarkeit. Warum eine integrierte Plattform gegenüber einer selbst zusammengesetzten Werkzeugkette Vorteile bietet, vertieft unser Vergleich zu KI-Governance-Tools.

Häufige Fragen

Was sind die vier Hauptarten von KI-Risiken? In der Praxis lassen sich KI-Risiken in vier Familien einteilen: Datenrisiken (Qualität, Herkunft, Datenschutz, Data Poisoning), Modellrisiken (Verzerrung, Drift, Halluzination, mangelnde Robustheit), Betriebs- und Sicherheitsrisiken (gegnerische Angriffe, Missbrauch, Verfügbarkeit) sowie ethische, rechtliche und grundrechtliche Risiken (Diskriminierung, fehlende Transparenz, unzureichende menschliche Aufsicht). Jede Familie verlangt eigene Tests und Kontrollen, doch alle fließen in dasselbe Risikoregister und werden über denselben Lebenszyklus gesteuert.

Wie wird KI im Risikomanagement selbst eingesetzt? KI dient zunehmend auch als Werkzeug im Risikomanagement, etwa zur Betrugserkennung, zur Anomalieerkennung in Transaktionen oder zur Auswertung großer Dokumentenmengen. Dabei gilt eine wichtige Unterscheidung: Ein KI-System, das Risiken bewertet, ist selbst ein KI-System und muss demselben Risikomanagement unterliegen, das es unterstützt. Ein Modell zur Risikobewertung ohne eigene Kontrollen zu betreiben, verlagert das Problem nur, statt es zu lösen.

Gibt es eine „30-Prozent-Regel“ im KI-Risikomanagement? Nein. Weder der NIST AI RMF noch ISO/IEC 42001 oder der EU AI Act kennen eine feste „30-Prozent-Regel“, und es existiert kein anerkannter Standard, der einen solchen Schwellenwert vorschreibt. Akzeptanzgrenzen für Restrisiken sind kontextabhängig und werden von der Organisation je nach Einsatzzweck, betroffenen Personen und rechtlichem Rahmen festgelegt. Eine pauschale Prozentzahl ersetzt weder die Bewertung im Einzelfall noch die dokumentierte Freigabe durch eine verantwortliche Person.

Worin unterscheidet sich KI-Risikomanagement von Cybersicherheitsrisiken? Cybersicherheit schützt die Vertraulichkeit, Integrität und Verfügbarkeit von Systemen gegen Angreifer. KI-Risikomanagement schließt diese Perspektive ein, befasst sich aber zusätzlich mit dem Verhalten des Modells: Ein KI-System kann ohne jeden Angriff verzerrte, falsche oder diskriminierende Ergebnisse liefern. Sicherheitsrisiken sind damit eine Teilmenge des KI-Risikos. Ein technisch perfekt abgesichertes Modell kann trotzdem Grundrechte verletzen, weshalb beide Disziplinen zusammenarbeiten, aber nicht deckungsgleich sind.

Welches Framework sollten wir für KI-Risikomanagement wählen? Die Frage ist meist falsch gestellt, denn die drei führenden Rahmenwerke ergänzen sich. Der NIST AI RMF liefert eine flexible gemeinsame Sprache, ISO/IEC 42001 mit ISO/IEC 23894 bietet ein zertifizierbares Managementsystem, und der EU AI Act legt für Hochrisiko-KI die verbindlichen Rechtspflichten fest. Sinnvoll ist, sie in einen einzigen Kontrollsatz zu übersetzen, statt drei getrennte Programme zu führen, wie es unser Cross-Mapping der Rahmenwerke zeigt. Welches Regelwerk verpflichtend ist, hängt von Ihrem Standort, Ihrem Sektor und dem Risikoprofil Ihrer Systeme ab.

Wer ist im Unternehmen für KI-Risikomanagement verantwortlich? Verantwortung ist geteilt, aber nicht diffus. Jedes System braucht einen fachlichen Eigentümer, der für Zweck und akzeptierte Risiken einsteht. Data Science prüft das Modell, die Informationssicherheit die Angriffsfläche, Datenschutz und Recht die Grundrechte, und eine Governance- oder Compliance-Funktion hält den Überblick. Die dokumentierte Freigabe des Restrisikos muss namentlich einer entscheidungsbefugten Person zugeordnet sein. Ohne diese klare Zuordnung entsteht ein Risikomanagement, für das sich am Ende niemand zuständig fühlt.

Fazit

KI-Risikomanagement gelingt nicht dadurch, dass man Frameworks sammelt, sondern dadurch, dass man einen einzigen, verantwortlich geführten Lebenszyklus betreibt: identifizieren, bewerten, mindern, überwachen. Der NIST AI RMF, ISO/IEC 42001 samt ISO/IEC 23894 und Article 9 des EU AI Act beschreiben denselben Kreislauf und lassen sich in einen gemeinsamen Kontrollsatz übersetzen, der dreifach zahlt. Was am Ende zählt, sind die dauerhaften Artefakte, ein aktuelles Inventar, ein gepflegtes Risikoregister, ein Kontroll-Mapping, belastbare Nachweise und eine dokumentierte Restrisiko-Freigabe, denn genau diese prüft eine Aufsichtsbehörde oder benannte Stelle. Wer sie als verbundenes System statt als verstreute Dokumente führt, macht aus Compliance einen Betriebszustand und verankert KI-Risikomanagement dauerhaft in seiner KI-Governance.