KI-Risiken dokumentieren: Vorlage für ein Risikoregister

Das Problem

Sie haben bei der KI-Einführung vieles bedacht: Datenschutz, Fehler der KI, Abhängigkeit vom Anbieter, Widerstand im Team. Das steckt in Köpfen, in Mails und in Sitzungsnotizen. Wenn die Geschäftsleitung fragt, welche Risiken bekannt sind und was dagegen getan wird, müssen Sie lange suchen.

Das ist nicht nur lästig. Ohne Übersicht gehen Risiken verloren, Massnahmen werden vergessen, und niemand weiss, wer sich um was kümmert. Bei einem Vorfall fehlt der Nachweis, dass man das Thema ernst genommen hat.

Ein Risikoregister löst das. Es ist keine komplizierte Software, sondern eine Tabelle, in der jedes Risiko mit Bewertung, Massnahme und Verantwortlichem steht. Sie dient als Gedächtnis des Projekts und als Grundlage für Entscheide.

So lösen Sie es mit KI – Schritt für Schritt

1. Sammeln Sie Risiken. Treffen Sie sich mit zwei bis drei Personen und fragen Sie: Was könnte bei KI schiefgehen? Technisch, rechtlich, menschlich, finanziell. Alles notieren, noch nicht bewerten.
2. Fassen Sie zusammen. Fassen Sie Ähnliches zusammen. Zehn bis fünfzehn Risiken genügen für den Start.
3. Beschreiben Sie jedes Risiko in einem Satz. «Mitarbeitende geben Kundendaten in ein nicht freigegebenes Werkzeug ein.» Konkrete Sätze sind besser als Stichworte wie «Datenschutz».
4. Bewerten Sie Wahrscheinlichkeit und Schaden. Einfach mit drei Stufen: gering, mittel, hoch. Multiplizieren Sie beide Stufen oder ordnen Sie sie in ein einfaches Raster ein.
5. Legen Sie Massnahmen fest. Was verringert die Wahrscheinlichkeit oder den Schaden? Zum Beispiel Regel, Schulung, Zugriffsbeschränkung, Prüfschritt.
6. Bestimmen Sie Verantwortliche und Termine. Jede Massnahme erhält einen Namen und ein Datum. Siehe Verantwortlichkeiten-Matrix.
7. Lassen Sie die KI ein Entwurfsregister erstellen. Mit dem Auftrag unten erhalten Sie eine Tabelle zum Anpassen.
8. Überprüfen Sie das Register regelmässig. Zweimal im Jahr und nach jedem Vorfall oder neuen Werkzeug. Streichen Sie Erledigtes, ergänzen Sie Neues.

Vorlage zum Kopieren

Geben Sie keine vertraulichen Angaben ein, beschreiben Sie Ihren Betrieb allgemein.

Erstelle ein Entwurfs-Risikoregister für den Einsatz von KI in einem Schweizer Betrieb ([Branche], [Anzahl] Mitarbeitende). Geplanter Einsatz: [z. B. Texte, E-Mails und Zusammenfassungen im Büro und Kundendienst].
Erstelle eine Tabelle mit den Spalten: Nr., Risiko (ein Satz), Kategorie (Datenschutz, Qualität, Recht, Technik, Personal, Kosten, Abhängigkeit), Wahrscheinlichkeit (gering/mittel/hoch), Schaden (gering/mittel/hoch), Massnahme, Verantwortliche Rolle, Termin, Status.
Liste mindestens zwölf typische Risiken, jeweils mit einer möglichen Massnahme. Lass die Spalten Wahrscheinlichkeit und Schaden leer, wir bewerten sie selbst. Verwende einfache Sprache und die Anrede «Sie». Gib keine Zahlen oder Studien an und nimm keine rechtliche Beurteilung vor.

Streichen Sie, was nicht zu Ihrem Betrieb passt, und ergänzen Sie, was typisch für Sie ist.

Beispielzeilen für ein Register

Worauf Sie achten müssen

• Vollständigkeit ist unmöglich: Sie finden nie alle Risiken. Ein gutes Register ist ehrlich, was es nicht abdeckt, und wird durch Erfahrungen ergänzt.
• Bewertung bleibt Einschätzung: Wahrscheinlichkeit und Schaden sind Schätzungen, keine Messwerte. Notieren Sie, wie Sie zu den Einschätzungen kamen.
• Rechtliche Risiken: Datenschutz, Urheberrecht und Pflichten aus dem EU AI Act sind Themen, bei denen Sie Fachleute beiziehen sollten. Das Register ersetzt keine Rechtsprüfung.
• Vertraulichkeit: Das Register enthält sensible Informationen über Schwächen. Begrenzen Sie den Zugriff.
• Massnahmen umsetzen: Ein Risiko, das nur aufgeschrieben wird, ist nicht gelöst. Prüfen Sie regelmässig, ob Massnahmen erledigt sind.
• Verbindung zum Inventar: Welche Anwendungen es gibt, zeigt das KI-Inventar. Pro Anwendung können eigene Risiken hinzukommen.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Privatschule in Zug nutzt KI für Elternbriefe, Stundenpläne und Lehrmittelplanung.

Vorher: Die Schulleitung hat das Gefühl, «es sei alles geregelt». Als die Aufsichtsperson der Trägerschaft nach den bekannten Risiken fragt, gibt es keine Übersicht. Zwei Lehrpersonen hatten Schülerdaten in ein privates Konto eingegeben, aber das wurde nur mündlich besprochen.

Nachher: Die Schule erstellt mit der KI ein Entwurfsregister und bewertet es zusammen im Team. Zwölf Risiken werden festgehalten, drei davon als hoch eingestuft. Für jedes gibt es Massnahmen und Verantwortliche. Nach sechs Monaten wird das Register durchgesehen, zwei Risiken sind erledigt, drei neue kommen hinzu.

So hilft Ihnen Alpasana

Die KI-Beratung und digitale Transformation von Alpasana unterstützt Sie, KI-Potenziale und Vorhaben zu analysieren und zu priorisieren sowie einen Umsetzungsplan zu erstellen. Bei der Integration von KI-Agenten gehören Einsatzregeln und Skalierung zum beschriebenen Vorgehen.

Projekte werden individuell offeriert. Rechtliche Prüfungen sind nicht Bestandteil dieser Beschreibung.

Häufige Fragen

Muss ein KMU ein Risikoregister führen?

Eine allgemeine gesetzliche Pflicht für KMU zu einem KI-Risikoregister kennen wir nicht. Je nach Branche, Auftraggebenden oder EU-Bezug können aber Anforderungen bestehen. Klären Sie das im Einzelfall.

Wie viele Risiken sollen im Register stehen?

Zehn bis fünfzehn reichen zum Start. Wichtiger als die Anzahl ist, dass Sie die wesentlichen kennen und Massnahmen umsetzen.

Wer soll das Register führen?

Eine Person mit Überblick, zum Beispiel die Projektleitung oder die KI-verantwortliche Person. Die Bewertung machen mehrere Personen gemeinsam.

Was ist der Unterschied zwischen Risikoregister und Inventar?

Das Inventar listet auf, welche KI-Anwendungen im Betrieb genutzt werden. Das Risikoregister beschreibt, was bei diesen Anwendungen schiefgehen kann und was dagegen getan wird. Beide ergänzen sich.