Entscheidungsregister für KI: Risiken, Kontrollen und Nachweise dokumentieren

Was ein Entscheidungsregister ist und wozu es dient

Ein KI-Entscheidungsregister ist eine strukturierte Historie wichtiger Entscheidungen über Entwurf, Konfiguration, Validierung, Einführung und Änderungen eines Systems. Sein Zweck besteht nicht darin, möglichst viele Dokumente anzuhäufen. Vielmehr soll sich nachvollziehen lassen, was entschieden wurde, aus welchen Gründen, wer die Entscheidung verantwortet hat, welche Kontrolle umgesetzt wurde und welche Nachweise belegen, dass diese Kontrolle überprüft worden ist. Erfasst werden können technische und organisatorische Entscheidungen – von der Wahl eines Schwellenwerts bis zur Festlegung, wer die Ausgaben des Systems prüft.

Das Register hilft, den Ablauf gegenüber internen Teams, Auditoren oder Behörden zu erläutern. Es ist jedoch für sich genommen kein Konformitätsnachweis. Ebenso wenig ersetzt es die technische Dokumentation, Betriebsprotokolle, Risikobewertungen oder rechtlichen Pflichten, die für eine bestimmte Organisation oder ein konkretes System gelten können. Der Leitfaden der spanischen Agentur für die Aufsicht über künstliche Intelligenz zu Aufzeichnungen behandelt Aufbewahrungspflichten für bestimmte Betreiber von Hochrisiko-KI-Systemen. Diese Pflichten dürfen nicht automatisch auf jedes KI-Werkzeug übertragen werden.

Legen Sie den Geltungsbereich von Anfang an fest. Geben Sie an, auf welches System und welche Version sich das Register bezieht, welche vorgesehenen Verwendungszwecke es abdeckt, wer es pflegt und welche Arten von Entscheidungen eingetragen werden müssen. Eine Änderung, die weder das Verhalten noch den Verwendungszweck beeinflusst, kann gegebenenfalls knapp dokumentiert werden. Änderungen an Daten, Schwellenwerten, Nutzergruppen oder menschlicher Aufsicht können dagegen eine umfassendere Bewertung erfordern. Umfang und Detailtiefe der Dokumentation sollten sich nach Auswirkungen und Kontext richten; sie sind keine allgemeingültige gesetzliche Vorgabe.

Praktische Felder zur Dokumentation jeder Entscheidung

Es gibt keinen Feldsatz, der für alle Systeme, Verwendungszwecke und Pflichten als universelles Minimum und zugleich als ausreichend gelten kann. Als praktische Grundlage sollte ein Eintrag das System und seine Version, das Datum, die verantwortliche Person, die getroffene Entscheidung, das ausschlaggebende Risiko oder den Bedarf, die zugehörige Kontrolle, verfügbare Nachweise und das Ergebnis der Überprüfung erkennen lassen. Angaben zum Status, zu Einschränkungen und zu einem Prüftermin oder Auslöser erleichtern die spätere Pflege.

Ein klarer Eintrag unterscheidet zwischen Risiko, Kontrolle und Nachweis. Das Risiko beschreibt einen möglichen Schaden in einem bestimmten Kontext. Die Kontrolle ist eine konkrete Maßnahme, mit der dieser Schaden verhindert, verringert oder erkannt werden soll. Der Nachweis zeigt, was mit welchem Ergebnis geprüft wurde. „Fehler bei der Klassifizierung“ ist zum Beispiel zu ungenau, wenn weder die betroffene Personengruppe noch der Verwendungszweck benannt werden. „Fälle mit geringer Konfidenz werden von einem Menschen geprüft“ beschreibt zwar eine Maßnahme, lässt aber noch offen, wie ein solcher Fall erkannt und wie die Prüfung belegt wird.

Verweisen Sie auf dauerhaft auffindbare Artefakte statt nur allgemeine Bezeichnungen zu nennen. Ein brauchbarer Verweis kann eine Kennung, Version, ein Datum, einen autorisierten internen Speicherort und die für die Aufbewahrung zuständige Person enthalten. Schützen Sie personenbezogene oder vertrauliche Daten durch geeignete Zugriffskontrollen und übernehmen Sie keine sensiblen Inhalte in das Register, die dort nicht erforderlich sind. Ist ein Nachweis nicht mehr verfügbar, halten Sie den Vorfall und die Maßnahmen zu seiner Wiederbeschaffung oder zur Wiederholung der Prüfung fest.

Risiken, Kontrollen und Prüfungen miteinander verknüpfen

Bilden Sie eine nachvollziehbare Kette: konkretes Risiko, Ziel der Risikominderung, umgesetzte Kontrolle, Prüfverfahren und Ergebnis. Jeder Zusammenhang sollte sich anhand einheitlicher Kennungen verfolgen lassen. Mindert eine Kontrolle mehrere Risiken, erfassen Sie jede Verbindung. Erfordert ein Risiko mehrere Maßnahmen, dokumentieren Sie jede Kontrolle sowie Abhängigkeiten zwischen ihnen. So verhindern Sie, dass eine Risikoliste von den technischen Arbeiten oder den Betriebsentscheidungen getrennt bleibt.

Die Nachweise müssen zur geprüften Konfiguration und zum vorgesehenen Einsatz passen. Ein Prüfbericht zu einer früheren Version kann als Hintergrundinformation dienen, belegt aber nicht automatisch die Wirksamkeit einer späteren Änderung. Geben Sie Umgebung, verwendete Daten oder Szenarien, Akzeptanzkriterien, Ergebnis und Einschränkungen an. Deckt eine Prüfung nicht alle realen Bedingungen ab, dokumentieren Sie diese Lücke sowie die zusätzliche Aufsicht oder Maßnahme, die deshalb angewendet wird.

Quantitative Prüfungen reichen nicht immer aus. Bei einer organisatorischen Maßnahme wie der menschlichen Prüfung können aktuelle Verfahren, Stichproben geprüfter Fälle, Eskalationsaufzeichnungen und Nachweise über die Unterweisung des Personals relevant sein. Die erforderliche Nachweistiefe richtet sich nach dem Risiko und der Aussage, die belegt werden soll. Eine algorithmische Prüfung kann dabei helfen, die Untersuchung von Risikominderungen und Kontrollen zu strukturieren. Eine allgemeine Empfehlung belegt jedoch für sich genommen weder die Umsetzung einer konkreten Maßnahme noch deren Wirksamkeit.

Prozess zur Erstellung und Pflege des Registers

Beginnen Sie mit einer Bestandsaufnahme der Systeme und Versionen. Legen Sie fest, wer Entscheidungen freigeben darf und wer die Nachweise pflegt. Vereinbaren Sie gemeinsame Konventionen zur Kennzeichnung von Risiken, Kontrollen und Artefakten. Jeder Eintrag braucht eine verantwortliche Person. Eine allgemeine Teambezeichnung oder ein Postfach ohne zugewiesene Funktion erschwert die Nachverfolgung. Bestimmen Sie außerdem, wer auf das Register zugreifen darf und wie Änderungen und Korrekturen verwaltet werden.

Halten Sie Entscheidungen fest, wenn sie getroffen werden, oder sobald die Nachweise geprüft sind – nicht erst Monate später vor einem Audit. Verknüpfen Sie jede relevante Änderung mit der betroffenen Version und bewahren Sie eine Historie auf, aus der hervorgeht, wann das Register aktualisiert wurde. Prüfen Sie bei einer Überarbeitung, ob das Risiko weiterhin besteht, die Kontrolle noch angewendet wird, der Nachweis zur aktuellen Version passt und bekannte Einschränkungen oder offene Maßnahmen weiterhin aktuell sind.

Für alle Systeme gibt es keine einheitliche Prüffrequenz, die als allgemeine Pflicht empfohlen werden könnte. Legen Sie regelmäßige Überprüfungen fest, deren Abstand dem Kontext angemessen ist, und ergänzen Sie anlassbezogene Prüfungen: bei einer neuen Version, Änderungen an Daten oder Anbietern, einer Anpassung des vorgesehenen Einsatzes, Vorfällen, unerwarteten Ergebnissen der Überwachung oder relevanten Rechtsänderungen. Wenn es keine Änderungen gab, halten Sie die Überprüfung und ihr Ergebnis trotzdem fest. So wirkt das Fehlen eines Eintrags nicht wie ein Versäumnis.

Kriterien für Auditierbarkeit und häufige Fehler

Ein auditierbares Register lässt sich verstehen, ohne auf die Erinnerung der Person angewiesen zu sein, die es angelegt hat. Jeder Eintrag sollte lesbar, datiert, einer verantwortlichen Person zugeordnet und mit Artefakten verknüpft sein, auf die berechtigte Personen zugreifen können. Vollständigkeit bedeutet nicht, alles aufzunehmen. Sie bedeutet, dass alle Informationen vorhanden sind, die zur Rekonstruktion der Entscheidung nötig sind, dass Lücken kenntlich gemacht werden und dass Aussagen nicht weiter reichen als die Nachweise.

Vermeiden Sie ungenaue Verben wie „überwachen“ oder „verbessern“, wenn nicht erläutert wird, wer die Maßnahme wann ausführt und wie ihre Durchführung geprüft wird. Stellen Sie auch eine Richtlinie, eine Folgenabschätzung oder ein angekreuztes Freigabefeld nicht als Wirksamkeitsnachweis dar. Solche Dokumente können relevant sein, belegen aber jeweils andere Sachverhalte. Der Leitfaden der spanischen Datenschutzbehörde zur Prüfung von Verarbeitungsvorgängen mit KI bietet einen institutionellen Rahmen für die Prüfung solcher Verarbeitungsvorgänge. Er macht eine Registervorlage jedoch nicht automatisch zu einer Konformitätsgarantie.

Wählen Sie vor einem Audit einige Entscheidungen aus und verfolgen Sie sie in beide Richtungen: vom Risiko über die Kontrolle bis zum Nachweis und umgekehrt von einer Prüfung zu der Entscheidung, für die sie herangezogen wird. Prüfen Sie, ob die Verknüpfungen noch funktionieren, die Versionen übereinstimmen, Verantwortliche benannt sind und Ausnahmen erklärt werden. Wird eine Lücke entdeckt, erfassen Sie sie als Feststellung mit Zuständigkeit und Nachverfolgung. Verbergen Sie sie nicht, indem Sie nachträglich unvollständige Nachweise ersetzen.

Praktische Kriterien für den Einstieg

Beginnen Sie mit einer kurzen Vorlage und erproben Sie sie an einer realen Entscheidung, bevor Sie daraus ein umfangreiches Formular machen. Wenn ein Feld nicht dazu beiträgt, eine Entscheidung zu identifizieren, zu erklären, zu prüfen oder zu pflegen, überlegen Sie, ob es ins Register gehört oder besser in einem verknüpften Artefakt dokumentiert wird. Die Struktur sollte es ermöglichen, die Kette von Risiko über Maßnahme bis zum Nachweis nachzuvollziehen, ohne technische Dokumentation oder Betriebsaufzeichnungen unnötig zu duplizieren.

Richten Sie Aufbewahrungsfristen, Zugriffsrechte und Detailtiefe nach den geltenden Pflichten, der Art der Daten und den Prüfanforderungen aus. Ziehen Sie für den konkreten Fall die aktuelle Rechtsdokumentation und einschlägige institutionelle Leitlinien heran: Die Pflichten können von der Rolle der Organisation, der Art des Systems und seinem Einsatz abhängen. Das Register hilft, Nachweise zu ordnen und zu erläutern. Es ersetzt weder eine rechtliche Prüfung noch belegt es für sich genommen die Konformität des Systems.

Ein Eintrag ist dann ausreichend, wenn eine andere berechtigte Person nachvollziehen kann, was entschieden wurde, welches Risiko adressiert wurde, welche Kontrolle zum Einsatz kam, welche Nachweise geprüft wurden, wo deren Grenzen liegen und wann eine erneute Prüfung ansteht. Fehlt eines dieser Elemente, benennen Sie die Unsicherheit und weisen Sie eine Maßnahme zu. Eine offen dokumentierte Lücke ist hilfreicher als eine unbelegte Behauptung der Wirksamkeit.

Weiter entdecken

Korrekturen und Transparenz

Wenn du falsche oder veraltete Angaben findest, sende uns die Seite und die zu prüfende Quelle.