Capstone: Deine KI-Risikobewertung

🔄 Kurzer Rueckblick: In 7 Lektionen hast du alle Werkzeuge kennengelernt: Risikoklassen, Entscheidungsbaum, Hochrisiko-Check, DSFA, Massnahmen und Monitoring. Jetzt setzen wir alles zusammen.

Du hast jetzt das vollstaendige Werkzeug-Set. In dieser Lektion bringst du alles in einen Gesamtprozess — mit einer Praxis-Uebung, die du direkt auf dein Unternehmen anwenden kannst.

Kurs-Rueckblick: Dein Werkzeug-Set

Lektion	Werkzeug	Ergebnis
1	Warum Risikobewertung	Verstaendnis fuer Kosten und Nutzen
2	Risikoklassen-System	Die vier Klassen und ihre Grauzonen
3	Entscheidungsbaum	5-Schritte-Klassifizierung fuer jedes System
4	Hochrisiko-Check	Praxis-Szenarien aus vier Bereichen
5	DSFA fuer KI	6-Schritte-Vorlage mit KI-Dimensionen
6	Massnahmen	4 Strategien + Massnahmenplan
7	Monitoring	KPIs, Trigger, Eskalationsprozess

Der Gesamtprozess: 6 Phasen

Phase 1: Inventar (Woche 1-2)

Ziel: Alle KI-Systeme erfassen — offiziell und Schatten-KI.

Fuenf Informationsquellen nutzen:

IT-Abteilung: Lizenzierte und beschaffte Systeme
Fachabteilungen: Welche KI-Tools werden tatsaechlich genutzt?
Einkauf: KI-bezogene Rechnungen und Vertraege
Netzwerk-Logs: Welche KI-Dienste werden aufgerufen?
Mitarbeiter-Befragung: Welche Tools nutzt ihr privat fuer die Arbeit?

Phase 2: Klassifizierung (Woche 3-4)

Ziel: Jedes System im Entscheidungsbaum durchlaufen.

Fuer jedes System: Art. 5 → Art. 6 Abs. 1 → Anhang III → Art. 50 → Minimal. Ergebnis dokumentieren.

Phase 3: Risikobewertung (Woche 5-10)

Ziel: Hochrisiko-Systeme vollstaendig bewerten, DSFA erstellen.

Sechs Dimensionen pro Hochrisiko-System:

Regulatorisch — Welche Pflichten gelten?
Datenschutz — DSFA nach Art. 35 DSGVO
Erklaerbarkeit — Black-Box oder nachvollziehbar?
Bias — Diskriminierungsrisiko
Dynamik — Veraenderung durch Updates/Drift
Operationell — Verfuegbarkeit, menschliche Aufsicht

Phase 4: Massnahmen (Woche 11-16)

Ziel: Fuer jedes identifizierte Risiko eine Strategie und konkrete Massnahme.

Vermeiden → Reduzieren → Uebertragen → Akzeptieren. Massnahmenplan mit KPIs, Verantwortlichen und Fristen.

Phase 5: Umsetzung (Woche 17-26)

Ziel: Massnahmen implementieren, testen, dokumentieren.

Priorisierung: Kritische und hohe Risiken zuerst. Technische und organisatorische Massnahmen parallel. Wirksamkeit nach Umsetzung pruefen.

Phase 6: Monitoring (ab Woche 27, fortlaufend)

Ziel: Risiken laufend ueberwachen, bei Veraenderungen neu bewerten.

Quartalsweise KPI-Messung + anlassbezogen bei Triggern. Eskalationsprozess aktiv. Dokumentation vollstaendig.

Praxis-Uebung: Deine KI-Risikobewertung

Erstelle eine vollstaendige KI-Risikobewertung fuer mein Unternehmen:

UNTERNEHMENSPROFIL:
Branche: [z.B. Mittelstand Maschinenbau]
Mitarbeiterzahl: [Anzahl]
Betriebsrat: [ja/nein]
DSB: [intern/extern/keiner]
Budget fuer KI-Compliance: [EUR]

KI-SYSTEME:
1. [Tool: Einsatzzweck, Nutzer, Daten, Anbieter]
2. [Tool: Einsatzzweck, Nutzer, Daten, Anbieter]
3. [Tool: Einsatzzweck, Nutzer, Daten, Anbieter]

ERSTELLE:
1. KI-Inventar mit vollstaendiger Dokumentation
2. Risikoklassifizierung (Entscheidungsbaum pro System)
3. 6-Dimensionen-Risikobewertung (fuer Hochrisiko-Systeme)
4. DSFA (fuer Systeme mit DSFA-Pflicht)
5. Massnahmenplan mit KPIs und Fristen
6. Monitoring-Dashboard mit 5 KPIs
7. Eskalationsprozess (3 Stufen)
8. Priorisierter Zeitplan (6 Phasen)

Risikobewertungs-Checkliste (Gesamt)

Phase 1 — Inventar:

Alle offiziellen KI-Systeme erfasst
Schatten-KI identifiziert und kanalisiert
KI-Inventar vollstaendig dokumentiert (12 Felder pro System)

Phase 2 — Klassifizierung:

Entscheidungsbaum fuer jedes System durchlaufen
Risikoklasse dokumentiert und begruendet
Art. 6 Abs. 3 Ausnahmen geprueft und dokumentiert

Phase 3 — Risikobewertung:

6-Dimensionen-Bewertung fuer Hochrisiko-Systeme
DSFA erstellt (Art. 35 DSGVO)
Risikomatrix ausgefuellt (Eintritt × Schwere)

Phase 4 — Massnahmen:

Strategie pro Risiko gewaehlt (Vermeiden/Reduzieren/Uebertragen/Akzeptieren)
Massnahmenplan mit KPIs, Verantwortlichen und Fristen
Geschaeftsleitungs-Freigabe fuer akzeptierte Restrisiken

Phase 5 — Umsetzung:

Kritische Massnahmen vor Inbetriebnahme umgesetzt
Wirksamkeit geprueft (KPIs im Zielbereich?)
Dokumentation vollstaendig

Phase 6 — Monitoring:

5 KPIs definiert und messbar
Monitoring-Dashboard eingerichtet
Trigger fuer Neubewertung definiert
Eskalationsprozess implementiert
Review-Zyklen im Kalender

Key Takeaways

6 Phasen: Inventar → Klassifizierung → Risikobewertung → Massnahmen → Umsetzung → Monitoring
Der erste Schritt ist immer das KI-Inventar — ohne es keine sinnvolle Bewertung
6 Dimensionen fuer Hochrisiko: Regulatorisch, Datenschutz, Erklaerbarkeit, Bias, Dynamik, Operationell
Priorisiere nach Risikoklasse: Hochrisiko zuerst, dann begrenzt, dann minimal
Die Risikobewertung ist kein Einmal-Projekt — quartalsweises Monitoring haelt sie aktuell

Du hast jetzt den vollstaendigen Prozess: Vom KI-Inventar bis zum laufenden Monitoring. Der naechste Schritt? Heute noch mit Phase 1 anfangen — das KI-Inventar erstellen.