- Ein KI-Audit erfasst systematisch alle KI-Systeme im Unternehmen — auch die oft übersehenen KI-Funktionen in Microsoft 365, CRM- oder HR-Software — und gleicht sie mit den Anforderungen der EU-KI-Verordnung ab.
- Dauer: in der Regel 4 bis 6 Wochen. Der eigene Aufwand liegt bei ca. 2 Stunden für einen strukturierten Fragebogen.
- Ergebnis: KI-Inventar, Risikoklasse, Gap-Analyse, Bußgeld-Exposure und eine priorisierte 12-Wochen-Roadmap.
- Kosten: seriöse Angebote für den Mittelstand arbeiten mit Festpreis statt Tagessatz; der Betrag hängt vom Umfang ab, nicht von der Projektlaufzeit.
- Technische Analyse und rechtliche Bewertung gehören in getrennte Hände: Rechtsberatung darf nur eine zugelassene Anwältin oder ein Anwalt erbringen (RDG).
Ein KI-Audit ist eine strukturierte Bestandsaufnahme und Bewertung aller KI-Systeme eines Unternehmens mit dem Ziel, Lücken gegenüber den Anforderungen der EU-KI-Verordnung (EU AI Act) sichtbar und behebbar zu machen.
Viele Geschäftsführer im Mittelstand stehen aktuell vor derselben Frage: Der EU AI Act gilt und wird stufenweise scharfgeschaltet — aber niemand im Haus kann verlässlich sagen, welche KI-Systeme überhaupt im Einsatz sind und welche Pflichten daraus folgen. Ein KI-Audit beantwortet genau das. Dieser Beitrag zeigt, wie ein solches Audit abläuft, wie lange es dauert, wovon die Kosten abhängen und woran Sie ein seriöses Angebot erkennen.
Warum brauchen Mittelständler jetzt ein KI-Audit?
Drei Entwicklungen machen das Thema dringlich — unabhängig davon, ob Ihr Unternehmen KI „offiziell" eingeführt hat:
- Die Pflichten greifen stufenweise. Teile der EU-KI-Verordnung gelten bereits, weitere Stufen folgen. Welche Fristen wann greifen, haben wir im Beitrag EU AI Act ab 2. August 2026 aufgeschlüsselt.
- Kunden fragen nach Nachweisen. Großkunden und öffentliche Auftraggeber verlangen zunehmend vertragliche Zusicherungen zur EU-AI-Act-Konformität. Wer ein dokumentiertes KI-Inventar und eine Governance vorweisen kann, unterschreibt schneller — dokumentierte Compliance wird zum Vertriebsvorteil.
- Die Geschäftsführung steht im Fokus. Für Geschäftsführer, die die Sorgfalt beim KI-Einsatz nicht nachweisen können, kann sich ein persönliches Innenhaftungsrisiko ergeben — bei der GmbH nach § 43 GmbHG, bei der AG nach § 93 AktG. Ob und in welchem Umfang eine solche Haftung im Einzelfall besteht, hängt von den konkreten Umständen ab und gehört in anwaltliche Prüfung.
Dazu kommt ein praktisches Problem: Schatten-KI. Mitarbeiter nutzen KI-Tools häufig ohne Wissen der Geschäftsführung, und viele Standardprogramme haben KI-Funktionen längst eingebaut. Ohne Inventar gibt es keine Kontrolle — und im Prüfungsfall keine belastbare Dokumentation.
Wie läuft ein KI-Audit ab?
Ein professionelles KI-Audit folgt einem dokumentierten Prozess. Bei Governance AI sind es vier Phasen — das Grundmuster ist aber auf jedes methodisch saubere Audit übertragbar:
| Phase | Was passiert | Ihr Aufwand |
|---|---|---|
| 1. Inventarisierung | Strukturierte Erfassung aller KI-Systeme über einen standardisierten Fragebogen — inklusive eingebetteter KI-Funktionen (M365, CRM, HR, Buchhaltung) und möglicher Schatten-KI. | ca. 2 Stunden inkl. Unterlagen |
| 2. Rollen-Mapping | Je System wird die Rolle in der KI-Wertschöpfungskette bestimmt (Anbieter oder Betreiber) und die technisch relevanten Pflichtenfelder werden zugeordnet. Die Rolle entscheidet, welche Nachweise überhaupt nötig sind. | Rückfragen punktuell |
| 3. Gap-Analyse | Abgleich des Ist-Zustands gegen die Anforderungen, mit dokumentierter Evidenz zu menschlicher Aufsicht, Transparenz, Auftragsverarbeitung und Audit-Trail. Ergebnis: priorisierte 12-Wochen-Roadmap. | keiner |
| 4. Übergabe | Technischer Audit-Bericht plus separates juristisches Memo der Rechtsanwältin, dazu eine Abschlusspräsentation — entscheidungsreif für Geschäftsführung und Beirat. | Abschlusstermin |
Wichtig ist die Nachvollziehbarkeit: Jede Angabe wird versioniert erfasst. Und ebenso wichtig ist die Rollentrennung — dazu unten mehr: Die technische Analyse erstellt der Auditor, die rechtsverbindliche Einordnung erfolgt ausschließlich im Mandat einer Rechtsanwältin.
Wo steht Ihr Unternehmen heute?
Der kostenlose KI-Risiko-Check gibt Ihnen in 2 Minuten eine erste Einschätzung: 6 Fragen, Sofortergebnis mit Handlungsfeldern, Befund als PDF-Report per E-Mail.
Kostenlosen KI-Risiko-Check startenWie lange dauert ein KI-Audit?
Bei einem mittelständischen Unternehmen (50 bis 2.000 Mitarbeiter) dauert ein KI-Audit in der Regel 4 bis 6 Wochen ab vollständig ausgefülltem Fragebogen. Diese Spanne hat Gründe in beide Richtungen:
- Warum nicht schneller: Eine belastbare Gap-Analyse braucht dokumentierte Evidenz statt Selbstauskunft im Schnellverfahren — und das juristische Review durch die Kanzlei hat eine eigene, unabhängige Prüftiefe.
- Warum nicht länger: Ein Audit ist ein Diagnose-Werkzeug, kein 18-Monats-Transformationsprojekt. Künstlich gestreckte Beratungsprojekte verschieben nur den Zeitpunkt, ab dem Sie handlungsfähig sind.
Der eigene Aufwand bleibt bewusst klein: ca. 2 Stunden für den Fragebogen inklusive Zusammenstellung der Unterlagen, danach punktuelle Rückfragen.
Was kostet ein KI-Audit?
Am Markt begegnen Ihnen zwei Preismodelle — und der Unterschied ist für den Mittelstand entscheidend:
- Abrechnung nach Tagessatz: üblich bei großen Beratungshäusern. Das Ende ist offen; vergleichbare Compliance-Programme laufen dort schnell in sechsstellige Budgets — meist überdimensioniert für mittelständische Strukturen.
- Festpreis mit definiertem Liefergegenstand: Sie kennen Ihre Investition vollständig, bevor Sie unterschreiben. Das Risiko einer Aufwandsexplosion liegt beim Anbieter, nicht bei Ihnen.
Was den Preis im Einzelfall bestimmt, ist der Umfang, nicht die Laufzeit: die Anzahl und Art der eingesetzten KI-Systeme, Ihre Rolle je System (Betreiber oder Anbieter), die Zahl der Standorte bzw. Gesellschaften und das regulatorische Umfeld Ihrer Branche. Ein konkreter Betrag lässt sich deshalb seriös erst nennen, wenn dieser Umfang grob bekannt ist — bei Governance AI verbindlich als Festpreis im kostenlosen Erstgespräch, getrennt ausgewiesen für das technische Audit und das anwaltliche Mandat der Kanzlei. Vorher entsteht keine Verpflichtung.
Ein realistischer Maßstab für die Einordnung: Das Audit adressiert ein Bußgeldrisiko, das im Regelfall des Mittelstands bei bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes liegen kann (Art. 99 Abs. 4 KI-VO; der Höchstwert von 35 Mio. € oder 7 % gilt nur für verbotene Praktiken nach Art. 5, für KMU gilt jeweils der niedrigere Wert). Gemessen daran ist ein Audit zum Festpreis eine kalkulierbare Investition.
Was erhalten Sie am Ende eines KI-Audits?
Ein brauchbares Audit liefert keine Folienschlacht, sondern einen entscheidungsreifen Ergebnis-Stack. Bei Governance AI sind das die fünf Bausteine Ihres KI-Audits plus die Übergabe-Dokumente:
- KI-Inventar — was läuft wirklich im Unternehmen, inklusive eingebetteter und Schatten-KI.
- Risikoklasse — die technische Voreinordnung je System nach der Systematik der KI-Verordnung.
- Gap-Analyse — wo Ist und Soll auseinanderliegen, mit dokumentierter Evidenz.
- Bußgeld-Exposure — welcher gesetzliche Rahmen im Fall von Verstößen einschlägig sein kann.
- 12-Wochen-Roadmap — priorisierte Maßnahmen, die Ihr Team abarbeiten kann.
- Technischer Audit-Bericht + separates Kanzlei-Memo + Abschlusspräsentation — zwei getrennte Dokumente, ein Termin für Geschäftsführung oder Beirat.
Woran erkennen Sie einen seriösen Audit-Anbieter?
Der Markt für „AI-Act-Compliance" wächst schnell — die Qualität ist gemischt. Fünf Prüffragen helfen bei der Auswahl:
- Ist die Rechtsberatung sauber getrennt? Die rechtliche Bewertung Ihres Einzelfalls darf nur eine zugelassene Anwältin oder ein Anwalt erbringen (Rechtsdienstleistungsgesetz). Seriöse technische Auditoren regeln das offen — etwa über ein eigenständiges anwaltliches Mandat — statt Zusagen zur rechtlichen Absicherung zu machen, die nur eine Kanzlei treffen kann.
- Gibt es einen Festpreis mit definiertem Liefergegenstand? Inklusive einer Zusage, was passiert, wenn etwas fehlt — etwa kostenfreie Nacharbeit, bis der vereinbarte Umfang steht.
- Ist die Methodik dokumentiert? Vier nachvollziehbare Phasen mit versionierter Erfassung sind ein gutes Zeichen; eine Blackbox mit Ampel-PDF am Ende ist keines.
- Passt der Zuschnitt zum Mittelstand? Konzern-Frameworks mit 40 Rollenmodellen helfen einem 200-Mitarbeiter-Unternehmen nicht. Fragen Sie, für welche Unternehmensgröße die Methodik entwickelt wurde.
- Vorsicht bei Pauschal-Zertifikaten. Ein allgemeines Unternehmens-Siegel „EU-AI-Act-konform" sieht die Verordnung nicht vor; Konformitätsbewertungen beziehen sich auf einzelne Systeme. Ein Audit kann den Weg dorthin vorbereiten — wer Ihnen ein pauschales Compliance-Zertifikat fürs ganze Unternehmen verkauft, sollte erklären können, worauf es sich rechtlich stützt.
Häufige Fragen zum KI-Audit
Wie viel eigenen Aufwand hat unser Team bei einem KI-Audit?
Bei Governance AI liegt der Eigenaufwand bei ca. 2 Stunden für den strukturierten Fragebogen inklusive Zusammenstellung der Unterlagen, plus punktuelle Rückfragen. Die Analyse, Bewertung und Dokumentation übernimmt der Auditor.
Brauchen wir ein KI-Audit, obwohl wir KI nur nutzen und nicht selbst entwickeln?
In den meisten Fällen ja. Auch wer KI nur einsetzt, kann als Betreiber Pflichten nach der KI-Verordnung haben — etwa Transparenzpflichten oder, bei Hochrisiko-KI, Anforderungen an die menschliche Aufsicht. Dazu kommt: Viele Unternehmen nutzen KI-Funktionen in Microsoft 365, CRM- oder HR-Software, ohne es zu wissen. Ein KI-Inventar macht das sichtbar.
Ist der Audit-Bericht ein Rechtsgutachten?
Nein. Der technische Audit-Bericht von Governance AI ist eine Fachanalyse und keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes. Die rechtliche Bewertung erfolgt in einem separaten Memo von Rechtsanwältin Caroline Herrmann in einem eigenständigen Mandat.
Was passiert nach dem KI-Audit?
Sie erhalten eine priorisierte 12-Wochen-Roadmap und setzen die Maßnahmen intern oder mit Unterstützung um. Wer dauerhaft abgesichert bleiben will, kann eine laufende Governance-Partnerschaft anschließen — das ist optional.
In 30 Minuten wissen Sie, wo Sie stehen
Im kostenlosen Discovery Call ordnen wir gemeinsam ein, wo Ihr KI-Risiko liegt und ob ein Audit für Sie der richtige nächste Schritt ist — konkret, unverbindlich, ohne Consulting-Theater.
Discovery Call buchen
Abdoul Tchaou ist KI-Architekt und Dozent für Künstliche Intelligenz. Er hat über 50 Fach- und Führungskräfte im souveränen Umgang mit KI geschult und unterstützt mittelständische Unternehmen bei EU-AI-Act-Compliance und KI-Governance. Mehr über uns