Jede KI-Anwendung
unter Kontrolle.

KI-Lifecycle-Management hält jede KI-Anwendung unter Kontrolle, von der ersten Idee bis zur Stilllegung.

Das Risiko ergibt sich aus der Anwendung: wofür, wo, von wem und mit welchen Daten die KI eingesetzt wird. Die Gefahren, die hinter diesem Risiko stehen, können an jedem Punkt des KI-Lebenszyklus auftreten, von Daten und Training bis hin zu Integration, Betrieb und Änderungen. Daher müssen die Kontrollen, die diesen Risiken begegnen, über den gesamten Lebenszyklus hinweg etabliert werden und nicht nur einmalig bei der Inbetriebnahme überprüft werden.

KI-Lifecycle-Management ermittelt die Risiken, Anforderungen und Kontrollen für jede KI-Anwendung, überwacht, ob die Kontrollen in jeder Phase vorhanden sind, und hält sie auf dem neuesten Stand, wenn sich die Anwendung, die Vorschriften oder die Technologie ändern. AIQURIS ist die Plattform dafür.

Beginnen Sie mit IMPACT+. Die Auswirkungen und Risiken der KI-Anwendung entscheiden darüber, wie tief Sie in die Materie einsteigen müssen.

IMPACT+ prüft die KI-Anwendung: Wer könnte geschädigt werden und wie stark? Es legt eine Auswirkungsstufe fest und leitet Sie entweder zu begrenzten Folgemaßnahmen oder zu RISK+ weiter. RISK+ erstellt das Risikoprofil über alle sechs Risikodomänen hinweg, wobei die geltenden Anforderungen und übergeordneten Kontrollen als Checkliste dienen, und empfiehlt, ob fortgefahren oder zu CONTROL+ übergegangen werden soll. CONTROL+ geht Klausel für Klausel die relevanten Normen, Vorschriften und Ihre eigenen Richtlinien durch, legt die Kontrollen detailliert fest und ermittelt das verbleibende Risiko im Vergleich zu Ihrer Risikobereitschaft.

CONTROL+ ist nicht nur für risikoreiche KI-Anwendungen gedacht: Nutzen Sie es überall dort, wo Sie diese Tiefe benötigen. Sie wissen nicht, wo Sie anfangen sollen? Der „AI Deployment Assessment Sprint“ ist der Wegweiser für den Einstieg.

Jede KI-Anwendung, egal ob Sie sie selbst entwickeln oder kaufen.

Dazu gehören beispielsweise Vorhersage- und Machine-Learning-Systeme, Computer Vision, generative KI wie Chatbots, Copiloten und Assistenten, die auf großen Sprachmodellen basieren, sowie agentische KI. Es umfasst sowohl intern entwickelte Systeme als auch von Anbietern bezogene KI; bei bezogener KI wird der Anbieter in die Bewertung einbezogen.

Entscheidend ist nicht die Technologie, sondern die Anwendung: Dasselbe Modell kann bei unterschiedlichen Anwendungen sehr unterschiedliche Risiken bergen. Anwendungen, bei denen KI sicherheitsrelevante Hardware steuert, werden in einem ersten Gespräch individuell abgegrenzt.

ISO/IEC 42001 zertifiziert Ihr KI-Managementsystem. AIQURIS konkretisiert dies für jede einzelne KI-Anwendung, wodurch sich die Vorbereitung auf die Zertifizierung erheblich vereinfacht.

ISO/IEC 42001 verlangt von Organisationen, die Risiken und Auswirkungen ihrer KI-Systeme zu bewerten und Kontrollen über den gesamten KI-Lebenszyklus hinweg festzulegen. Genau das leistet AIQURIS, Anwendung für Anwendung, und liefert die dokumentierte, nachvollziehbare Grundlage, die ein Auditor erwartet.

Außerdem zeigt es auf, welche Anforderungen der Norm Ihre Organisation angesichts der tatsächlich vorhandenen KI-Anwendungen tatsächlich benötigt und in welcher Tiefe. Dadurch stehen Ihr Managementsystem und Ihre Erklärung zur Anwendbarkeit (Statement of Applicability) auf einer sachlichen Grundlage, anstatt alles nur für den Fall der Fälle umzusetzen.

AIQURIS ist keine Zertifizierungsstelle: Seine Ergebnisse unterstützen ein Zertifizierungsaudit, bestimmen jedoch nicht dessen Ausgang. Die Gründer von AIQURIS waren aktiv an der Entwicklung der Norm ISO/IEC 42001 beteiligt.

Ja. Für jede KI-Anwendung in der EU ermittelt AIQURIS, welche Verpflichtungen aus dem EU AI Act (KI-Verordnung) gelten und ob diese erfüllt sind.

Wofür und in welchem Kontext die KI eingesetzt wird, bestimmt ihre Risikoklassifizierung gemäß der Verordnung und damit auch Verpflichtungen wie menschliche Aufsicht, Transparenz, Daten-Governance und Aufbewahrung von Aufzeichnungen. AIQURIS wandelt diese in Anforderungen um, verknüpft sie mit den Kontrollen, die diese erfüllen, und dokumentiert die Nachweise, im Rahmen derselben Bewertung wie das Datenschutzrecht und die anderen geltenden Quellen.

Das AIQURIS-Team ist in den Ausschüssen vertreten, die die Normen ausarbeiten, und kennt daher die harmonisierten Normen, die für den EU AI Act entwickelt werden, sowie deren Auslegung. AIQURIS erteilt keine Rechtsberatung, und die Entscheidung liegt bei Ihnen.

Anhand derjenigen, die für Ihre KI-Anwendung gelten und auf deren Nutzung sowie die jeweilige Rechtsordnung zugeschnitten sind.

AIQURIS pflegt die maßgeblichen Quellen für Sie: Vorschriften wie den EU AI Act und das Datenschutzrecht, internationale Normen wie ISO/IEC 42001, ISO/IEC 25059 und ISO/IEC 5259, Branchenrahmenwerke sowie gegebenenfalls Ihre eigenen internen Richtlinien.

Singapur, die EU, das Vereinigte Königreich, Australien und die USA sind standardmäßig abgedeckt. Weitere Rechtsordnungen sind auf Anfrage verfügbar.

AIQURIS ersetzt Ihre GRC-Plattform nicht, sondern speist sie mit Daten. Es liefert die anwendungsspezifischen KI-Risiken, Anforderungen und Kontrollen, die eine allgemeine Governance-, Risiko- und Compliance-Umgebung in der Regel nicht enthält.

Die Ergebnisse lassen sich in die von Ihnen bereits genutzte Struktur einbinden, vom Excel-Kontrollregister bis hin zu einem unternehmensweiten GRC-System. AIQURIS ist API-basiert, sodass die Ergebnisse direkt integriert werden können, sofern Ihr gewünschtes Format dies zulässt und Ihr GRC-Anbieter die Integration ermöglicht. Das Ziel ist kein paralleler KI-Risikoprozess, sondern KI-spezifische Details innerhalb der von Ihnen bereits betriebenen Risiko- und Kontrollumgebung.

Dabei werden zwei Aspekte betrachtet: die KI-Lösung und die Art und Weise, wie der Anbieter diese entwickelt und steuert.

Was die Lösung betrifft, verlangt AIQURIS Nachweise, die auf die identifizierten Risiken abgestimmt sind, wie beispielsweise Genauigkeit, Robustheit, Ergebnisse von Penetrationstests oder Nachweise zur Datenqualität. Was den Anbieter betrifft, werden Entwicklungsprozesse, Trainingsdaten, Daten-Governance und organisatorische Kontrollen berücksichtigt.

Anbieter antworten nicht einfach mit „Ja“ oder „Nein“. Wo es darauf ankommt, müssen sie Berichte, Testergebnisse oder Zertifizierungen vorlegen. Fehlende Nachweise werden niemals als erfüllte Anforderung gewertet: Weniger Transparenz bedeutet mehr Unsicherheit, ein potenziell höher eingestuftes Risiko und zusätzliche Kontrollen. Wesentliche Aussagen des Anbieters sollten dann im Vertrag berücksichtigt werden, damit der Anbieter dafür zur Rechenschaft gezogen werden kann.

Nein. AIQURIS ermittelt, welche Tests für eine KI-Anwendung tatsächlich erforderlich sind.

Die Vorgehensweise ist dieselbe wie im Sicherheitsbereich: Zunächst wird ermittelt, was schiefgehen kann und welche Anforderungen gelten, dann werden die Kontrollen festgelegt. Zu diesen Kontrollen können Penetrationstests, Robustheitstests, Datenqualitätstests oder andere technische Validierungen gehören. Tests ohne diesen Schritt laufen Gefahr, willkürlich zu sein: Man testet, was leicht zu testen ist, nicht das, worauf es ankommt. Wenn Ihre Risikobereitschaft unabhängige Tests in einem bestimmten Bereich erfordert, werden diese zu einer der erforderlichen Kontrollen.

In zwei Schritten.

Zunächst ermittelt AIQURIS, welche Regulierungs-, Cybersicherheits- und Normdokumente für die KI-Anwendung und die jeweilige Rechtsordnung gelten, wobei AIQURIS auf sein regulatorisches Fachwissen, eigene Recherchen und gegebenenfalls externe Quellen zurückgreift.

Zweitens durchlaufen diese Dokumente denselben Prozess wie alle anderen maßgeblichen Quellen und werden in anwendungsspezifische Anforderungen und Kontrollen übersetzt. Cybersicherheit ist daher kein separater Prozess, sondern Teil derselben strukturierten Bewertung, neben den anderen fünf Risikodomänen.

Ihre Organisation.

AIQURIS liefert Ihnen eine dokumentierte, nachvollziehbare Grundlage für die Entscheidung, doch die Entscheidung über den Einsatz und die Akzeptanz des verbleibenden (Rest-)Risikos liegt bei Ihnen.

Da die Methode normbasiert, wiederholbar und dokumentiert ist, zeigt die Bewertung auch, welche Methode und welche aktuellen Best-Practices zum jeweiligen Zeitpunkt angewendet wurden. Das hilft Ihnen später dabei, gegenüber Auditoren, Aufsichtsbehörden oder Ihrem Vorstand die erforderliche Sorgfalt nachzuweisen.

Nein. AIQURIS erteilt keine Rechtsberatung.

Es führt eine Compliance-Prüfung durch: Es ermittelt, welche regulatorischen Anforderungen für eine bestimmte KI-Anwendung gelten, und bewertet, ob diese erfüllt sind.

Ein Rechtsanwalt legt das Gesetz aus. AIQURIS übersetzt die geltenden Anforderungen in konkrete Vorgaben und Kontrollen für diese Anwendung, ähnlich wie es bei der technischen Zertifizierung von Produkten der Fall ist. Der Vorteil gegenüber einem rein manuellen Ansatz liegt in der Konsistenz: Zwei Berater könnten dieselbe Anwendung unterschiedlich bewerten, während AIQURIS jedes Mal dieselbe Methode und dieselben sechs Risikodomänen anwendet. Ihre Rechts- und Compliance-Teams behalten die Kontrolle und verfügen über eine strukturierte Arbeitsgrundlage.

Nur eine Beschreibung der KI-Anwendung.

Zugriff auf das KI-System selbst ist nur erforderlich, wenn die Bewertung dies erfordert.

AIQURIS muss die Anwendung verstehen: ihren Zweck, die Nutzer, die Datenkategorien, die Rechtsordnung, das System und den Anbieter sowie die bereits vorhandenen Kontrollen. Für die Bewertung ist kein Zugriff auf das KI-System, Ihre Modelle oder Ihre Produktionsdaten erforderlich. Ein Zugriff wird erst dann relevant, wenn eine bestimmte Anforderung dies erfordert, beispielsweise ein Penetrationstest oder eine Überwachungslösung, und dann auch nur für diesen Zweck. Wenn Nachweise benötigt werden, wie z. B. Testberichte, stellen Sie die Dokumente zur Verfügung.

Alle Informationen werden gemäß den aktuellen Best Practices geschützt und verschlüsselt. Falls die Daten Ihre eigene Umgebung nicht verlassen dürfen, kann AIQURIS innerhalb dieser Umgebung ausgeführt werden.

Ja. Die AIQURIS-Plattform ist containerisiert und kann in jeder Umgebung ausgeführt werden, einschließlich Ihrer eigenen Cloud oder vor Ort in Ihrem Unternehmen.

Die Sprachmodellkomponente kann ebenfalls darin als containerisiertes Modell ausgeführt werden, sofern ein solches Modell verfügbar ist und von Ihrem Unternehmen akzeptiert wird. Informationen zur KI-Anwendung, Quelldokumente und Ergebnisse verbleiben dann innerhalb Ihrer Sicherheitsgrenzen.