Check: Auf welchem AIMS-Reifegrad steht Ihre Organisation?

Die Frage "Sind wir compliant?" lässt sich nicht sinnvoll mit Ja oder Nein beantworten. Die belastbarere Frage lautet: Wie reif ist unser Umgang mit KI — reproduzierbar, dokumentiert, gesteuert? Genau das misst ein AIMS-Reifegrad: das AI-Management-System nach ISO 42001, bewertet entlang der Reifegradlogik von CMMI v3. Dieser Check führt Sie über fünf Stufen-Gates. Jedes Gate ist eine Schwelle: Sie erreichen eine Stufe nur, wenn alle Kriterien der Stufe und aller darunterliegenden Stufen erfüllt sind. Er richtet sich an Governance-, Compliance- und Risikoverantwortliche, die vor der Priorisierung von Maßnahmen wissen müssen, wo sie tatsächlich stehen — nicht, wo sie sich fühlen.

Vorbereitung

Halten Sie folgende Informationen bereit:

• Ein möglichst vollständiges Verzeichnis der in Ihrer Organisation eingesetzten KI-Systeme — inklusive der Systeme, die niemand offiziell eingeführt hat.
• Die Information, ob es eine benannte, verantwortliche Rolle für KI-Governance gibt und wo sie organisatorisch aufgehängt ist.
• Ihre bestehende Dokumentationslage: Richtlinien, Risikobewertungen, Freigabeprotokolle, Lieferantenunterlagen.
• Eine ehrliche Einschätzung, ob Prozesse geschrieben oder tatsächlich gelebt sind. Diese Unterscheidung entscheidet über den größten Teil des Ergebnisses.

Der Check

Gate 1 → Stufe 2 (Managed): Wissen Sie, welche KI-Systeme im Einsatz sind?

• Existiert ein aktuell gepflegtes Inventar aller KI-Systeme, inklusive eingebetteter Funktionen in eingekaufter Software?
• Ist jedem System eine verantwortliche Person zugeordnet?
• Ist für jedes System dokumentiert, welche Rolle Ihre Organisation einnimmt — Provider, Deployer, Importer oder Distributor?
• Ist eine Risikoeinstufung je System hinterlegt, auch wenn nur grob?

Alle vier Punkte erfüllt → weiter zu Gate 2. Mindestens einer offen → Ergebnis: Stufe 1 (Initial). Springen Sie zur Auswertung.

Gate 2 → Stufe 3 (Defined): Sind Ihre KI-Prozesse organisationsweit definiert?

• Gibt es eine verabschiedete KI-Richtlinie, die für alle Bereiche gilt — nicht nur für ein Pilotteam?
• Existiert ein definierter Freigabeprozess, den ein neues KI-System durchlaufen muss, bevor es produktiv geht?
• Sind Risikomanagement, Daten-Governance und menschliche Aufsicht als Verfahren beschrieben und einer Rolle zugewiesen?
• Werden Lieferanten und Modellanbieter strukturiert abgefragt, statt anlassbezogen?
• Gibt es einen definierten Weg, auf dem Vorfälle gemeldet und bearbeitet werden?

Alle fünf Punkte erfüllt → weiter zu Gate 3. Mindestens einer offen → Ergebnis: Stufe 2 (Managed). Springen Sie zur Auswertung.

Gate 3 → Stufe 4 (Quantitatively Managed): Steuern Sie mit Daten statt mit Meinungen?

• Sind Kennzahlen definiert, an denen Sie die Wirksamkeit Ihrer KI-Governance messen — und werden sie regelmäßig erhoben?
• Liegen Nachweise als Evidenz vor: nachvollziehbar, mit Zeitstempel, verknüpft mit dem System, auf das sie sich beziehen?
• Können Sie eine Frage wie "Auf welcher Grundlage wurde dieses System freigegeben?" ohne Rekonstruktionsarbeit beantworten?
• Werden Abweichungen von Zielwerten systematisch aufgegriffen, nicht nur berichtet?

Alle vier Punkte erfüllt → weiter zu Gate 4. Mindestens einer offen → Ergebnis: Stufe 3 (Defined). Springen Sie zur Auswertung.

Gate 4 → Stufe 5 (Optimizing): Verbessert sich das System aus sich selbst heraus?

• Fließen Erkenntnisse aus Vorfällen, Audits und Post-Market-Monitoring nachweislich in geänderte Verfahren zurück?
• Werden Änderungen an Modellen, Prompts oder Schwellenwerten kontrolliert eingeführt und in ihrer Wirkung gemessen?
• Passen Sie Ihr AIMS proaktiv an regulatorische Entwicklungen an, statt reaktiv nach Prüfungen?

Alle drei Punkte erfüllt → Ergebnis: Stufe 5 (Optimizing). Mindestens einer offen → Ergebnis: Stufe 4 (Quantitatively Managed).

Auswertung

Stufe 1 — Initial. KI wird eingesetzt, aber nicht gesteuert. Ergebnisse hängen an einzelnen Personen. Das eigentliche Risiko ist hier nicht die Regulierung, sondern die fehlende Sichtbarkeit: Sie können nicht absichern, was Sie nicht kennen. Erste Priorität ist das Inventar, nicht die Richtlinie.

Stufe 2 — Managed. Sie kennen Ihre Systeme und haben Verantwortlichkeiten geklärt. Die Steuerung ist jedoch fallweise: Was in einem Bereich gut läuft, ist in einem anderen nicht vorhanden. Der Sprung auf Stufe 3 ist Standardisierungsarbeit.

Stufe 3 — Defined. Ihre Verfahren sind organisationsweit definiert und wiederholbar. Das ist das Niveau, auf dem eine Zertifizierung nach ISO 42001 realistisch angegangen werden kann. Was typischerweise fehlt, ist die Nachweisfähigkeit: Verfahren existieren, aber ihre Einhaltung ist im Einzelfall aufwendig zu belegen.

Stufe 4 — Quantitatively Managed. Sie steuern über Kennzahlen und können Nachweise ohne Sonderaufwand vorlegen. Das ist die Schwelle, ab der "audit-ready" mehr ist als eine Selbstbeschreibung.

Stufe 5 — Optimizing. Ihr AIMS lernt. Änderungen werden kontrolliert eingeführt und in ihrer Wirkung gemessen; Regulierung wird antizipiert statt abgearbeitet.

Nächste Schritte

• Stufe 1 oder 2: Beginnen Sie mit Vollständigkeit statt mit Tiefe. Ein grobes, aber vollständiges Inventar bringt mehr als eine perfekte Bewertung von drei Systemen. Klären Sie anschließend je System Ihre Rolle — dafür gibt es den Check zur Rolle.
• Stufe 3: Arbeiten Sie an Nachweisbarkeit. Vorlagen für Risikomanagement, technische Dokumentation und Post-Market-Monitoring finden Sie im Compliance-Toolkit auf ki-hochrisiko.de.
• Alle Stufen: Setzen Sie das Enforcement-Datum 02.12.2027 als Fixpunkt in Ihre Planung und rechnen Sie rückwärts. Den regulatorischen Gesamtrahmen ordnet der Leitfaden auf eu-ai-verordnung.de ein.

Was dieser Check NICHT leistet

Dieser Self-Check ist eine strukturierte Standortbestimmung, keine Rechtsberatung und keine Zertifizierungsaussage. Ein erreichter Reifegrad in diesem Fragebogen ist kein Nachweis der Konformität mit ISO 42001 und kein Ersatz für ein Audit durch eine akkreditierte Stelle. Reifegrade sind außerdem organisationsweit selten einheitlich: Einzelne Bereiche können deutlich weiter sein als der Gesamtstand. Nutzen Sie das Ergebnis, um Prioritäten zu setzen und das Gespräch mit Auditoren und Fachleuten vorzubereiten — nicht als Zeugnis.

Wenn dieser Check Sie zur Erkenntnis bringt, dass strukturierte Trust-Infrastructure nötig ist: AEGIRA AI Navigator deckt diese Self-Assessments operativ ab — aegira.ai.