Wie das Assessment tatsächlich funktioniert
Die meisten KI-Reifegrad-Tools verraten nicht, wie sie zu ihrer Zahl kommen. Diese Seite legt die Methode offen: fünf Lebenszyklusphasen nach ISO/IEC 42001, acht bewertete Dimensionen in zwei getrennten Scores, die Reifegrad-Anker und die Nachweisstufen, die bestimmen, was eine Antwort tatsächlich wert ist. Der Fragenkatalog bleibt vertraulich. Die Methode nicht.
Dies ist ein Readiness-Assessment, kein Compliance-Audit und keine Rechtsberatung. Eine Zertifizierung nach ISO/IEC 42001 kann nur eine nach ISO/IEC 42006 akkreditierte Zertifizierungsstelle erteilen. Diese Methode liefert einen Readiness-Score, ein Reifegradprofil und priorisierte Feststellungen — niemals eine Aussage, dass eine Organisation eine Norm oder Regulierung erfüllt oder nicht erfüllt.
Was ist ein KI-Readiness-Assessment?
Ein KI-Readiness-Assessment ist eine strukturierte Prüfung, wie eine Organisation KI einführt, steuert und beaufsichtigt. Es liefert zwei Scores, ein Reifegradprofil über acht Dimensionen und priorisierte Feststellungen — gemessen an ISO/IEC 42001, ISO/IEC 23894, dem NIST AI Risk Management Framework und der EU-KI-Verordnung.
Das Wort Readiness hat hier echtes Gewicht. Es ist kein Synonym für Compliance und kein Technologie-Audit. Es stellt eine engere und nützlichere Frage: Wenn morgen ein Kunde, ein Versicherer, ein Auditor oder eine Aufsichtsbehörde fragte, wie Sie KI nutzen und wer dafür verantwortlich ist — was könnten Sie tatsächlich vorlegen?
Zwei Organisationen können dieselben KI-Tools nutzen und sich in völlig unterschiedlichen Situationen befinden. Der Unterschied liegt selten in der Technologie. Er liegt darin, ob jemand verantwortlich ist, ob jemand sie stoppen könnte und ob irgendetwas schriftlich festgehalten ist.
Die fünf Phasen, zugeordnet zu ISO/IEC 42001
Governance ist ein Lebenszyklus, kein Dokument. Diese fünf Phasen sind die Abfolge, mit der ich arbeite, und jede entspricht bestimmten Abschnitten von ISO/IEC 42001 — so ist die Arbeit in jeder Phase eine, die eine Zertifizierungsstelle später anerkennt, statt Arbeit, die wiederholt werden muss.
Bewerten — die Ausgangslage bestimmen
- Die eingesetzten KI-Systeme erfassen, einschließlich kostenloser und informell eingeführter Tools.
- Die acht Dimensionen bewerten; Readiness- und Governance-Score ermitteln.
- Interessierte Parteien, Pflichten und Aufsichtsbehörden mit berechtigtem Interesse identifizieren.
- Ergebnis: bewertetes Profil, priorisierte Feststellungen, ein empfohlener nächster Schritt.
Festlegen — entscheiden, welches Risiko Sie tragen wollen
- Eine einzelne verantwortliche Person benennen, mit schriftlicher Befugnis, die Nutzung eines Tools zu stoppen.
- KI-Richtlinie, Risikoappetit und die Ziele festlegen, denen die Richtlinie dient.
- Das Freigabeverfahren definieren, das jedes neue KI-Tool durchlaufen muss, bevor es genutzt wird.
- Ergebnis: KI-Richtlinie, Erklärung zum Risikoappetit, verantwortliche Person, Freigabeverfahren.
Aufbauen — die Kontrollen einrichten
- KI-Systeminventar, Nachweise zur Datenherkunft und Prüfung der Lieferantenbedingungen.
- KI-Risikoregister; Folgenabschätzungen, wo KI-gestützte Entscheidungen Einzelpersonen betreffen.
- Erklärung zur Anwendbarkeit, Punkte menschlicher Aufsicht und dokumentierte Mitarbeiterschulung.
- Ergebnis: ein KI-Managementsystem, das im Betrieb existiert, nicht nur auf dem Papier.
Prüfen — unabhängig testen
- Internes Audit gegen die Norm, durchgeführt so, wie es ein Lead Auditor tun würde — oder durch Ihr eigenes, dafür geschultes Team.
- Nachweisprüfung: nicht „Gibt es eine Richtlinie?“, sondern „Können Sie den Nachweis vorlegen?“.
- Unterlagen zur Managementbewertung, damit KI zum festen Tagesordnungspunkt wird statt zur Reaktion auf Vorfälle.
- Ergebnis: unabhängiger Ergebnisbericht, Abweichungen nach Schweregrad eingestuft.
Verbessern — und auf Wunsch zertifizierungsreif werden
- Korrekturmaßnahmen abgeschlossen und nachgewiesen; Rückkopplung zu Phase 1 in einem festen Zyklus.
- Gap-Analyse gegen ISO/IEC 42001, bevor eine akkreditierte Zertifizierungsstelle beauftragt wird.
- Begleitung während der Prüfung durch die Zertifizierungsstelle — auf Ihrer Seite des Tisches.
- Ergebnis: ein System, das ein externes Audit besteht. Ich zertifiziere nicht und darf es auch nicht.
Was messen die acht Dimensionen?
Acht Dimensionen, getrennt bewertet und dann zu zwei Scores statt zu einem zusammengeführt. Eine einzige Mischzahl verdeckt genau das Profil, das am meisten zählt — eine Organisation, die KI schnell einführt, während ihre Governance stillsteht.
Readiness-Score
Kann diese Organisation Wert aus KI schöpfen — und weiß sie, was sie betreibt?
Governance-Score
Könnten Sie Rechenschaft darüber ablegen, wie KI hier genutzt wird?
Wenn KI-Ergebnisse einen Kunden oder eine Entscheidung erreichen, ohne dass ein Mensch sie prüfen oder übersteuern kann, hat diese Feststellung Vorrang vor dem gesamten Bewertungsmodell. Sie wird weiterverfolgt — unabhängig davon, wie gut die Organisation anderswo abschneidet.
Wie wird aus einem Score eine Stufe?
Jede Dimension wird bewertet, gewichtet und als Prozentsatz des erreichbaren Maximums ausgedrückt. Die beiden Scores werden dann einer von vier Stufen zugeordnet. Die Stufen sind absolut, nicht vergleichend — sie beschreiben Ihre Position gegenüber den Standards, nicht gegenüber anderen Organisationen.
Grundlegend
KI wird genutzt und ist im Grunde ungesteuert. Nichts ist schriftlich festgehalten, niemand ist verantwortlich. Der erste Schritt ist klein und naheliegend.
Im Aufbau
Bewusstsein ist vorhanden und einige Praktiken haben sich informell gebildet, doch kaum etwas würde einer Nachweisanforderung standhalten.
Etabliert
Verantwortlichkeit, Richtlinie und Aufzeichnungen existieren und werden weitgehend befolgt. Lücken sind punktuell, nicht systemisch.
Fortgeschritten
Das Managementsystem ist in Betrieb, wird zyklisch überprüft und liefert Nachweise auf Anfrage. Eine Zertifizierung ist ein realistisches Ziel.
Die Reifegradskala 0–4 mit einem ausgearbeiteten Beispiel
Jede Frage hat eine Ankerformulierung, sodass Bewerten bedeutet, eine Beschreibung zuzuordnen, statt einen Eindruck zu bilden. Hier ist der vollständige Ankersatz für eine Dimension — D3, Richtlinien & Aufsicht — so, wie er im Instrument tatsächlich formuliert ist.
| Stufe | Ankerformulierung — „Gibt es eine schriftliche Richtlinie dazu, wie KI hier genutzt werden darf?“ | Bedeutung |
|---|---|---|
| 0 | Nein. | Nicht vorhanden. Es gibt nichts, worauf man verweisen könnte. |
| 1 | Wir haben ungeschriebene Erwartungen. | Implizit. Die Praxis existiert in den Köpfen und geht mit den Menschen. |
| 2 | Es gibt etwas Schriftliches, aber es wird kaum genutzt. | Dokumentiert, aber wirkungslos. Scheitert an der ersten Frage zur Anwendung. |
| 3 | Ja — schriftlich, aktuell, und die Menschen halten sich daran. | In Betrieb. Die Obergrenze für jede Selbstauskunft. |
| 4 | In Betrieb und bei Prüfung nachgewiesen. | Nachgewiesen. Nur erreichbar, wenn das Artefakt vorgelegt und getestet wurde. |
Gewichtete Punkte — Verantwortung der Führung, Richtlinie, Freigabeverfahren, die Aufsichtsfrage, Auditierbarkeit, Genauigkeit, menschliche Prüfung und Umgang mit personenbezogenen Daten — zählen doppelt, weil ein Versagen in einem davon die Bedeutung jeder anderen Antwort verändert.
Warum ist eine Selbstbewertung unterhalb der höchsten Stufe gedeckelt?
Weil nichts geprüft wurde. Jede Antwort ohne Prüfung ist eine Behauptung, kein Nachweis — daher ist sie auf Stufe 3 von 4 begrenzt. Diese Deckelung ist gewollt und beschreibt ehrlich, welchen Mehrwert ein bezahltes Mandat bringt.
| Stufe | Bedeutung | Wie sie erreicht wird |
|---|---|---|
| E0 | Behauptet. Jemand hält es für zutreffend. | Jede Antwort ohne Prüfung. |
| E1 | Beschrieben. Die Praxis lässt sich schlüssig und konsistent erklären. | Geprüftes Assessment — die Antworten werden von einer Person gelesen und hinterfragt. Obergrenze der Selbstbewertung. |
| E2 | Dokumentiert. Das Artefakt existiert und wurde eingesehen. | Scan oder Audit — Richtlinien, Register, Aufzeichnungen und Lieferantenbedingungen werden geprüft. |
| E3 | In Betrieb. Die Kontrolle wurde getestet und funktioniert in der Praxis. | Vollständiges Audit — Stichproben, Walkthroughs und Tests an Live-Aufzeichnungen. |
Ein kostenloses Assessment wird anhand Ihrer Angaben bewertet. Ein bezahltes Mandat prüft die Nachweise hinter Ihren Antworten — deshalb ist bei einer Selbstbewertung kein Höchstwert möglich. Das ist, klar gesagt, der Unterschied, für den Sie bezahlen.
Auf welchen Standards baut das auf?
Die Methode stützt sich auf die unten genannten Standards und ist nach ISO/IEC 42001 strukturiert. Sie baut auf der Lead-Auditor- und Lead-Implementer-Methodik nach ISO/IEC 27001 auf, die ich besitze und anwende — erweitert um die KI-spezifischen Standards, die neuer sind und bei denen meine Position Anwendungswissen und praktische Erfahrung ist, keine erworbene Zertifizierung.
| Standard oder Regulierung | Wofür er dient | Wo er in dieser Methode greift |
|---|---|---|
| ISO/IEC 42001 | KI-Managementsysteme — die zertifizierbare Norm dafür, wie eine Organisation KI steuert. | Das Rückgrat. Alle fünf Phasen sind seinen Abschnitten zugeordnet; Erklärung zur Anwendbarkeit und Kontrollen aus Anhang A liegen in Phase 3. |
| ISO/IEC 23894 | Leitfaden zum KI-Risikomanagement, ausgerichtet an ISO 31000. | Risikoappetit in Phase 2 und KI-Risikoregister in Phase 3. |
| ISO/IEC 42005 | Leitfaden zur Folgenabschätzung von KI-Systemen. | Phase 3, wo KI-gestützte Entscheidungen Einzelpersonen direkt betreffen — Einstellung, Preisgestaltung, Kredit, Behandlung. |
| ISO/IEC 27001 | Informationssicherheitsmanagement — die erworbene Qualifikation, auf der diese Methode aufbaut. | Datengrundlagen, Lieferantenbedingungen, Zugriffe und die gesamte Auditdisziplin in Phase 4. |
| NIST AI RMF | Ein freiwilliges US-Framework: Govern, Map, Measure, Manage. | Gegenprüfung des Dimensionssatzes, insbesondere Messung und Monitoring. |
| EU AI Act | EU-Verordnung, risikobasiert nach Anwendungsfall, mit extraterritorialer Reichweite. | Anwendungsbereich und Risikoklasse je Anwendungsfall, ab Phase 1. |
| UK GDPR | Datenschutz, wo KI personenbezogene Daten verarbeitet. | D6. Ob diese Nutzung bewertet wurde — und von wem. |
| Britische Aufsichtsbehörden | Sektorale Aufsicht — ICO, MHRA, FCA, CQC, GDC und weitere. | D3. Das Vereinigte Königreich hat kein einheitliches KI-Gesetz; die Erwartungen Ihrer Aufsicht sind die tatsächlich geltende Pflicht. |
Die GPAI-Pflichten der EU-KI-Verordnung gelten seit dem 2. August 2026. Die Pflichten für Hochrisiko-Systeme wurden durch das Digital-Omnibus-Paket auf den 2. Dezember 2027 verschoben. Im Vereinigten Königreich ist die Artificial Intelligence (Regulation) Bill [HL] weiterhin ein Gesetzentwurf aus der Mitte des Parlaments und keine Regierungspolitik; der britische Ansatz wird von den Aufsichtsbehörden getragen. Kein britisches KI-Gesetz bedeutet nicht keine Pflichten — die Branchenaufsichten sind bereits aktiv, und das Datenschutzrecht gilt schon heute.
Regulatorischer Stand geprüft am: 3. September 2026Fragen zur Methode
Was ist der Unterschied zwischen KI-Readiness und KI-Compliance?
Readiness misst Ihre eigene Position: was vorhanden ist, was dokumentiert ist, was tatsächlich gelebt wird und wo die Lücken liegen. Compliance ist eine Feststellung gegenüber einer konkreten rechtlichen oder zertifizierungsbezogenen Anforderung — für ISO/IEC 42001 kann sie nur eine nach ISO/IEC 42006 akkreditierte Zertifizierungsstelle erteilen. Ein Readiness-Assessment zeigt Ihnen, was eine Zertifizierungsstelle oder Aufsichtsbehörde voraussichtlich vorfinden würde. Ihr Urteil ersetzt es nie.
Gilt die EU-KI-Verordnung für ein britisches Unternehmen?
Das kann sein. Die Verordnung gilt extraterritorial, wenn die Ergebnisse eines KI-Systems in der EU genutzt werden — ein britisches Unternehmen mit EU-Kunden oder einem KI-gestützten Produkt auf dem EU-Markt kann also auch ohne EU-Niederlassung erfasst sein. Die GPAI-Pflichten gelten seit dem 2. August 2026; die Pflichten für Hochrisiko-Systeme wurden durch das Digital-Omnibus-Paket auf den 2. Dezember 2027 verschoben. Der Anwendungsbereich sollte je Anwendungsfall geprüft und in keine Richtung vorausgesetzt werden. Regulatorischer Stand geprüft am 3. September 2026.
Zertifizieren Sie Organisationen nach ISO/IEC 42001?
Nein — und das kann keine Beratung. Eine Zertifizierung nach ISO/IEC 42001 erteilt ausschließlich eine nach ISO/IEC 42006 akkreditierte Zertifizierungsstelle — und eine Stelle, die zu Ihrem Managementsystem beraten hat, kann es anschließend nicht zertifizieren. Ich bereite Organisationen auf diese Prüfung vor und prüfe ihr System unabhängig, mit der Lead-Auditor- und Lead-Implementer-Methodik, die ich nach ISO/IEC 27001 besitze. Diese Grenze zu benennen ist der Kern der Sache, kein Vorbehalt.
Brauchen wir das, wenn wir nur ChatGPT nutzen?
Oft ja — und zwar aus einem Grund, der nichts damit zu tun hat, wie ausgereift das Tool ist. Die Fragen mit den niedrigsten Scores betreffen fast nie das Modell, sondern ob jemand für die Entscheidung zur Nutzung verantwortlich ist, ob Mitarbeitende wissen, was sie eingeben dürfen, und ob jemand merken würde, wenn etwas schiefgeht. Ein einziges weit verbreitetes Allzweck-Tool ohne Richtlinie ist eine häufigere Feststellung als eine komplexe KI-Landschaft.
Warum zwei Scores statt einer Gesamtzahl?
Weil das gefährliche Profil in einer einzigen Zahl unsichtbar ist. Eine Organisation mit starkem Readiness-Score und schwachem Governance-Score ist schnell unterwegs und exponiert — wirklich leistungsfähig, rasch in der Einführung, mit einer Aufsicht, die nicht Schritt gehalten hat. In einer Zahl zusammengefasst wirkt das durchschnittlich. In zwei aufgeteilt ist es die deutlichste Feststellung der Seite.
Kann ich den Fragenkatalog einsehen?
Die Methode ist hier veröffentlicht, der Fragenkatalog nicht. Das 148 Fragen umfassende Berater-Instrument und der Screener mit 42 Fragen sind das geistige Eigentum hinter der Leistung; ihre Veröffentlichung würde es Organisationen zudem ermöglichen, ihre Antworten einzuüben — und der resultierende Score wäre wertlos. Ein Auszug mit den Methodik-Abschnitten, ohne Fragenkatalog, ist auf Anfrage erhältlich.
Wer sieht die Antworten, und wie werden die Daten behandelt?
Die Antworten werden nach ISO/IEC 27001-konformer Praxis behandelt: verschlüsselt bei Übertragung und Speicherung, gehostet im Vereinigten Königreich oder im EWR und nur namentlich benannten Personen zugänglich. Assessment-Daten werden 24 Monate aufbewahrt und dann gelöscht oder unumkehrbar anonymisiert. Veröffentlichte Forschung nutzt ausschließlich anonymisierte, aggregierte Daten — und nie dort, wo die Grundgesamtheit zu klein ist, um eine Identifizierung auszuschließen.
Wo diese Methode angewendet wird
Das Assessment und die Audits mit festem Umfang werden über VisionXY7 erbracht, das von mir gegründete Unternehmen. Governance-Aufbau, unabhängige Prüfung und die Chief-AI-Officer-Tätigkeit unten sind Mandate, die ich persönlich leite.
Durchgeführt von Dr. Mahdi Seify — PhD (KI-gestützte Business Analytics), University of Liverpool · MBA, Wirtschaftsinformatik · ISO/IEC 27001 Lead Auditor & Lead Implementer.