Unternehmen & Anwendungsfall ⓘStammdaten und Anwendungsfall. Die Branche steuert die Startwerte in Schritt 3; die übrigen Felder (inkl. Größe) sind überwiegend Dokumentation und beeinflussen das Ranking nicht. (mehr im User Guide, Anhang A)
Mit * markierte Felder sind Pflichtangaben für die Freigabe . Fehlt eine davon (oder steht dort ein Platzhalter wie „test"), wird der Bericht nur als „Vorläufige Empfehlung" ausgewiesen — nicht als „freigabefähig mit Auflagen".
Unternehmensname * sieht nach Platzhalter aus
Branche Energie & Versorgung Gesundheitswesen Finanzwesen IT-Dienstleistungen Logistik & Verkehr Handel Produktion & Maschinenbau Andere Branche
Größenklasse Kleinstunternehmen (unter 10) Klein (10–49) Mittel (50–249) Groß (ab 250)
Land DE AT CH Anderes EU Non-EU
Beschreiben Sie die KI-Anwendung in 2–3 Sätzen. *
Daten & Compliance — bitte ausfüllen (steuert die Auflagen)
ⓘDiese Felder steuern die Auflagen: Personenbezug erzeugt Dokumentations- und DSFA -Auflagen, Kundendaten oder Geschäftsgeheimnisse eine Vertraulichkeits-Auflage. Besondere Kategorien (Art. 9) ohne eingebundene/n Datenschutzbeauftragte/n stellen die Entscheidung zurück. (mehr im User Guide, Anhang A · B) Personenbezogene Daten? * — bitte wählen — Ja Nein Unklar
Gesundheits-, Herkunfts-, Religions- oder Gewerkschaftsdaten, biometrische Daten? * ⓘFachlich: besondere Kategorien nach Art. 9 DSGVO . Dazu zählen Angaben über Gesundheit, ethnische Herkunft, politische Meinung, Religion, Gewerkschaftszugehörigkeit, Sexualleben sowie biometrische und genetische Daten. Für diese Daten gelten strengere Regeln als für gewöhnliche Personendaten — deshalb wird hier eigens gefragt. — bitte wählen — Ja Nein Unklar
Kundendaten? * — bitte wählen — Ja Nein
Betriebs- oder Geschäftsgeheimnisse (z. B. Rezepturen, Kalkulationen, Konstruktionsdaten)? * — bitte wählen — Ja Nein
Ist Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter zu diesem Vorhaben eingebunden? * — bitte wählen — Ja Nein
Gehört Ihr Unternehmen zu einer dieser Gruppen: Steuerberatung, Rechtsanwaltschaft, Wirtschaftsprüfung, Notariat, Arzt-, Pflege- oder Heilberufe, Psychotherapie? * ⓘFachlich: berufliche Schweigepflicht nach § 203 StGB . Betrifft Steuerberatung, Rechtsanwaltschaft, Wirtschaftsprüfung, Notariat, Arzt-, Pflege- und andere Heilberufe, Psychotherapie und vergleichbare Berufe. Diese Schweigepflicht ist strafbewehrt und gilt zusätzlich zur DSGVO — die Sanktion trifft die berufstragende Person persönlich, nicht das Unternehmen als Bußgeld. — bitte wählen — Nein — keine besondere Schweigepflicht Ja — Berufsgeheimnisträger Unklar
Haben Ihre IT- und Cloud-Dienstleister eine eigene Verschwiegenheitserklärung unterschrieben — zusätzlich zum Datenschutzvertrag? ⓘ§ 203 Abs. 4 Satz 2 Nr. 1 StGB verlangt, dass „sonstige mitwirkende Personen" — dazu zählen IT- und Cloud-Dienstleister — gesondert zur Geheimhaltung verpflichtet werden. Ein Auftragsverarbeitungsvertrag nach DSGVO Art. 28 erfüllt das nicht : Das sind zwei getrennte Verpflichtungen auf zwei Rechtsgebieten. Fehlt die gesonderte Verpflichtung, entfällt Ihre Absicherung: Offenbart die mitwirkende Person ein Geheimnis, ist auch die unterlassene Verpflichtung strafbewehrt (§ 203 Abs. 4 Satz 2 Nr. 1 StGB). — bitte wählen — Ja — schriftlich verpflichtet Nein Unklar Nicht erforderlich — technisch kein Zugriff möglich (z. B. clientseitige Verschlüsselung, Schlüssel bleiben im Haus)
Achtung bei „nicht erforderlich": § 203 StGB erfasst bereits das Zugänglichmachen , nicht erst die tatsächliche Kenntnisnahme. Bei einem Anbieter, der das System betreibt, können Administratoren technisch zugreifen — das genügt. Die bloße Zusage des Anbieters, nicht hineinzusehen, trägt diese Antwort nicht.
Die Schweigepflicht nach § 203 StGB ist eine eigene Rechtsebene neben der DSGVO . Wenn Sie ihr unterliegen und externe IT einsetzen, prüft der Navigator zusätzlich, ob die gesonderte Verpflichtung Ihrer Dienstleister vorliegt.
Entscheidet die KI selbst über Menschen — ohne dass ein Mensch das Ergebnis prüft? (z. B. Bewerber aussortieren, Kredit ablehnen, Prämie festsetzen) ⓘDSGVO Art. 22: Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, die allein von der KI getroffen werden — z. B. automatische Kreditzu-/absage, Bewerber-Aussortierung, Prämienfestsetzung. Kann auch bei „begrenztem" AI-Act-Risiko greifen. — bitte wählen — Nein Ja Unklar
Falls ja: trifft ein Mensch die Letztentscheidung? — bitte wählen — Ja, ein Mensch entscheidet final Nein, die KI entscheidet automatisch
Nutzen Sie die Daten später für etwas anderes als das, wofür Sie sie ursprünglich erhoben haben? ⓘFachlich: Zweckbindung nach DSGVO Art. 5 Abs. 1 b: Werden Eingabe-/Nutzungsdaten intern für etwas anderes genutzt als ursprünglich erhoben (z. B. Vertriebsdaten zusätzlich fürs Modelltraining oder für Analysen)? Das ist etwas anderes als der Anbieter-Training-Ausschluss — es betrifft Ihre interne Weiterverwendung. — bitte wählen — Nein Ja Unklar
IT-Verantwortliche/r *
Wichtig: Besondere Kategorien (Art. 9, z. B. Gesundheitsdaten) ohne eingebundene/n Datenschutzbeauftragte/n stellen die Entscheidung zurück (nicht kompensierbar). Personenbezug, Kundendaten und Geschäftsgeheimnisse erzeugen Auflagen im Bericht.
In welche EU-AI-Act-Risikoklasse fällt die KI-Anwendung?
Verboten — z. B. Social Scoring, Manipulation (Art. 5) Hochrisiko — z. B. Kreditscoring, Bewerberauswahl, Medizin (Annex III) Begrenztes Risiko — z. B. Chatbot/Assistent (Transparenzpflicht) Minimal — die meisten Büro-/Assistenz-Tools Unsicher ⚠ Außerhalb des KMU-Standardrahmens. Orientierung — für diesen Fall ist eine spezialisierte Fachprüfung erforderlich (bei Hochrisiko: Annex-III-Einstufung, Datenschutz-Folgenabschätzung, ggf. benannte Stelle; bei „verboten": die Praktik ist unzulässig). Dieses Werkzeug ist für KMU-Standardfälle ausgelegt und ersetzt diese Prüfung nicht.
Der EU AI Act stuft KI nach Risiko ein und knüpft daran Pflichten. Verboten = unzulässige Praktiken (z. B. Social Scoring) → der Navigator stoppt. Hochrisiko = sensible Bereiche wie Kreditvergabe, Personalauswahl, Medizin, kritische Infrastruktur → strenge Auflagen (außerhalb des KMU-Standardrahmens, Sie bekommen einen Warnhinweis). Begrenztes Risiko = z. B. Chatbots → nur Transparenzpflicht (Nutzer müssen wissen, dass es KI ist). Minimal = übliche Büro-/Assistenz-Tools (z. B. Texthilfe, Angebots-Assistent) → keine besonderen Pflichten. Unsicher? Dann diese Option wählen — der Navigator behandelt es vorsichtig. Im Zweifel für einen typischen Mittelstands-Assistenten: meist „Minimal" oder „Begrenztes Risiko".
Unsicher? Geführte Einstufung (EU AI Act) — Schritt für Schritt
Prüfen Sie von oben nach unten — die erste zutreffende Stufe gilt:
1. Verboten (Art. 5)? Trifft eines zu? Sozialbewertung von Personen (Social Scoring) — durch Behörden oder Unternehmen · unterschwellige Manipulation oder Ausnutzung Schutzbedürftiger · biometrische Echtzeit-Fernidentifikation im öffentlichen Raum · Emotionserkennung am Arbeitsplatz oder in Schulen · ungezieltes Sammeln von Gesichtsbildern. → Ja: „Verboten" (unzulässig, der Navigator stoppt).
2. Hochrisiko (Annex III)? Wird die KI eingesetzt für: Personalentscheidungen (Bewerberauswahl, Beförderung, Kündigung) · Kreditwürdigkeit/Bonität · Zugang zu Bildung oder Prüfungsbewertung · kritische Infrastruktur (Strom, Wasser, Verkehr) · Strafverfolgung/Justiz · Migration/Grenzkontrolle · biometrische Identifikation · wesentliche Dienstleistungen (z. B. Sozialleistungen, Notruf)? → Ja: „Hochrisiko" (strenge Auflagen, Fachprüfung nötig).
3. Begrenztes Risiko? Interagiert die KI direkt mit Menschen (Chatbot, Assistent) oder erzeugt sie Inhalte (Texte, Bilder)? → Ja: „Begrenztes Risiko" (Transparenzpflicht — Nutzer müssen erkennen, dass es KI ist).
4. Sonst: „Minimal" — übliche Büro-/Assistenztools ohne die oben genannten Merkmale.
Orientierungshilfe nach EU AI Act (Art. 5 / Annex III), keine Rechtsberatung. Im Zweifel den höheren Rang wählen und fachlich prüfen lassen.
ℹ Sie prüfen aktuell keine externe Option. Anbieter- & Security-Fragen erscheinen automatisch , sobald Sie oben Public Cloud oder AIaaS als zu prüfende Option ankreuzen.
Anbieter- & Security-Prüfung (für die externen Optionen, die Sie prüfen) ⓘDiese Fragen betreffen nur extern gehostete Optionen (Public Cloud / AIaaS), bei denen Daten Ihr Haus verlassen. Sie sind keine Vorentscheidung : Sie bereiten damit den Fall vor, dass am Ende eine externe Option empfohlen wird. Angaben steuern Auflagen — ein klares „Nein" (kein AVV , Region nicht zugesichert, Training nicht ausgeschlossen) wird zum Stopper. „Unklar" gilt als Auflage. (mehr im User Guide, §13)
Sie müssen Ihre Hosting-Entscheidung hier noch nicht kennen . Füllen Sie aus, was Sie für die extern gehosteten Optionen (Public Cloud / AIaaS) schon wissen — der Rest darf offen bleiben. Diese Angaben wirken sich nur dann aus, wenn am Ende eine externe Option empfohlen wird; bei On-Prem bleiben sie folgenlos. Sie können sie auch nach der Auswertung ergänzen und erneut auswerten — offene Punkte erscheinen dann als Auflagen.
Wer füllt das aus? Dieser Abschnitt (Anbieter, AVV, Datenresidenz, die Security-Kontrollpunkte) ist Fachterrain für Ihre IT und Ihre/n Datenschutzbeauftragte/n . Als Geschäftsführung oder Sachbearbeitung dürfen Sie ihn überspringen — wählen Sie oben die Sicht „Übersicht", dann bleibt er ausgeblendet; IT/DSB ergänzen ihn später in der „Fachprüfung".
Fachprüfung (IT/DSB): die Detailfelder unten sind in der Übersicht ausgeblendet. Die groben Tore (AVV, Datenresidenz, Training-Ausschluss, Security-Gesamt) bleiben auch in der Übersicht sichtbar.
Anbieter
Dienst / Modell
Hosting-Region
DE-/EU-Region vertraglich zugesichert? — bitte wählen — Ja Nein Unklar
Auftragsverarbeitungsvertrag (AVV)? ⓘAVV = Auftragsverarbeitungsvertrag — ein Vertrag mit dem KI-Anbieter (DSGVO Art. 28), der regelt, wie er Ihre Daten in Ihrem Auftrag verarbeitet. Viele Anbieter stellen ihn zum Download/zur Unterschrift bereit (oft „DPA" genannt). Ohne AVV dürfen keine personenbezogenen Daten in den externen Dienst. Falls „Nein": beim Anbieter anfordern. — bitte wählen — Ja, abgeschlossen In Prüfung Nein Nicht erforderlich
Subprozessoren bekannt? — bitte wählen — Ja Nein Unklar
Supportzugriffe außerhalb EU/EWR ? — bitte wählen — Ja Nein Unklar Training mit Ihren/Kundendaten ausgeschlossen? — bitte wählen — Ja, ausgeschlossen Nein Unklar
Lösch-/Rückgabekonzept vorhanden? — bitte wählen — Ja Nein Unklar
Security-Baseline gesamt (optional, Fallback)? — bitte wählen — Geprüft Teilweise Offen / ungeprüft
Security-Baseline — Kontrollpunkte einzeln (empfohlen) Fachprüfung
Bewerten Sie jeden Kontrollpunkt einzeln. Kritische Punkte (★) , die mit „nicht erfüllt" beantwortet werden, machen die Lösung nicht freigabefähig . Leere Punkte gelten als „offen" (Go-live-Auflage). Der Nachweis ist je Punkt separat abzulegen.
★ Rollen-/Rechtekonzept (Least Privilege) — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
Sichere Admin-/Fernzugänge (schlüsselbasiert, kein Passwort-Login) — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
API-Key-Rotation — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
★ Verschlüsselung at Rest — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
★ Logging / Audit-Logs — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
Monitoring / Alerting — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
Patch-/Update-Management (Betriebssystem & Abhängigkeiten) — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
Incident-Kontakt & Meldeweg — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
Backup / Fallback — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
Supportzugriffe (EU/EWR) geregelt — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
★ Training mit Kundendaten ausgeschlossen — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
Prompt-/Output-Speicherung geklärt — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
Lösch-/Exportmöglichkeit — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
★ Mandantentrennung / Tenant Isolation — Bewertung — erfüllt erfüllt mit Auflage offen nicht erfüllt nicht anwendbar — Nachweis — Nachweis offen Nachweis abgelegt Nachweis geprüft nicht erforderlich
Klares „Nein" blockiert die Freigabe: bei externem Hosting personenbezogener Daten ohne AVV, bei geforderter DE-/EU-Residenz ohne Zusicherung oder wenn Training mit Ihren Daten nicht ausgeschlossen ist. „Unklar"/„In Prüfung" und „Teilweise/Offen" werden als Auflage vor Go-live ausgewiesen. Die Security-Baseline umfasst u. a. MFA, Rollen-/Rechtekonzept, API-Key-Speicherung & -Rotation, Verschlüsselung (Transit/Ruhe), Logging, Incident-Kontakt und Notfall-/Fallback — Details als Checkliste im Bericht.
① Rahmenbedingungen — Ist es machbar? ⓘSieben Grundvoraussetzungen (Daten, Verantwortung, Prozesse, Regulatorik, Sektor, Vertrauen, Kapazität). Ein einziges Nicht erfüllt stellt die ganze Entscheidung zurück, bis es geklärt ist. Bedingt ist nur ein Hinweis. (mehr im User Guide, Anhang A · F)
Warum dieser Schritt? Bevor Optionen verglichen werden, sichern wir die sieben Grundvoraussetzungen (Daten, Verantwortung, Prozesse, Regulatorik, Sektor, Vertrauen, Kapazität) — ohne sie ist jede Empfehlung wertlos. Im Decision Record belegt dieser Schritt, dass die Entscheidung auf einer tragfähigen Grundlage steht; ein einziges „Nicht erfüllt" hält die Freigabe an, bis es geklärt ist. Methodik: 7 Feasibility-Prüfungen (TOE + Psychosocial).
Technology — Datenresidenz (Routing)
Müssen die verarbeiteten Daten zwingend in der EU bzw. Deutschland bleiben?
— bitte wählen — Zwingend Deutschland EU reicht Keine Beschränkung
Bestimmt, ob Anbieter außerhalb der EU aussortiert oder nur mit Warnhinweis zugelassen werden.
Technology — Datenverfügbarkeit
Stehen die für die KI benötigten Daten in nutzbarer Qualität und Form bereit (Volumen, Struktur, Lizenz, Rechte)?
— bitte wählen — Ja, vollständig Teilweise — Lücken bekannt Nein
Ohne nutzbare Daten kann die KI nicht arbeiten — eine Grundvoraussetzung.
Organisation — Verantwortlicher
Ist eine namentlich verantwortliche Person für die KI-Anwendung benannt oder benennbar (interner Verantwortlicher)?
— bitte wählen — Ja, namentlich benannt Benennbar innerhalb von 4 Wochen Nein, keine Kapazität
Ohne benannte Verantwortung bleibt Governance folgenlos.
Organisation — Prozesse
Existieren dokumentierte Geschäftsprozesse rund um den geplanten KI-Einsatz, in die sich die KI integrieren lässt?
— bitte wählen — Ja, dokumentiert Teilweise / nur als Erfahrungswissen im Kopf Nein
Eine KI verstärkt bestehende Abläufe; ohne geregelte Abläufe hat sie nichts, woran sie ansetzen kann.
Environment — Regulatorik
Sind die einschlägigen Regulierungen identifiziert (DSGVO, AI Act,
NIS2 )?
— bitte wählen — Ja, vollständig Größtenteils Nein, unklar
Unbekannte Vorschriften = unkalkulierbares rechtliches Risiko.
Environment — Sektor
Gibt es sektorspezifische Vorgaben (BaFin / MaRisk, MDR,
KRITIS o. ä.), die für diese KI gelten?
— bitte wählen — Ja, identifiziert und berücksichtigt Ja, aber nicht alle abgedeckt Unsicher Nicht zutreffend
Sektorrecht kann eine Hosting-Option faktisch ausschließen.
Psychosocial — Vertrauen
Welches Vertrauen haben Geschäftsleitung und betroffene Fachbereiche in KI-Entscheidungen bei diesem Anwendungsfall?
— bitte wählen — Hoch, Unterstützung vorhanden Mittel, mit Vorbehalten Niedrig, deutlicher Widerstand
Geringe Akzeptanz lässt technisch machbare Projekte scheitern.
Psychosocial — Change-Kapazität
Kann Ihre Organisation den Roll-out begleitend stemmen (Kapazität, Aufmerksamkeit, parallele Initiativen)?
— bitte wählen — Ja Mit Priorisierung Nein, überlastet
Roll-out braucht freie Kapazität neben dem Tagesgeschäft.
② Governance — Verantwortbar & nachweisbar? Fachprüfung ⓘVier Betriebsroutinen mit je vier Checks. Ein einziges Nein hält die Entscheidung an und markiert die Routine. Das Verantwortlichkeits-Feld bei Routine 1 leer zu lassen zählt wie Nein . (mehr im User Guide, Anhang A · G)
Warum dieser Schritt? Eine KI-Entscheidung ist nur belastbar, wenn Verantwortung, Nachweise und Betriebsroutinen geklärt sind. Pro Routine werden die Kernfelder des Routinen-Templates abgefragt (Auslöser, Aktivitäten, Nachweis, Frequenz).
Im Decision Record werden diese Angaben zu nachvollziehbaren Auflagen und Betriebs-Routinen — die Basis für Audit und Freigabe. Ein einziges „Nein" hält die Entscheidung an und markiert die Routine als „Aktion erforderlich".
Methodik: 4 Governance-Routinen (COBIT ) mit je 4 Readiness-Checks aus dem SOP -Template. Routine 1 — Risiko-Check vor dem Go-live (Fachreferenz: SOP 1, COBIT APO13) Kein KI-Go-live ohne dokumentierte Bias-, Robustheits- und Adversarial-Prüfung. Template-Felder: Entry Condition · Activities · Evidence · RACI .
Ist ein klarer Auslöser definiert — jedes Deployment bzw. Major Update löst die Risikobewertung aus?
— bitte wählen — Ja, definiert Teilweise Nein
Werden vor Produktivnahme Bias-, Robustheits- und Adversarial-Tests durchgeführt?
— bitte wählen — Ja, dokumentiert Teilweise / geplant ohne Prozess Nein
Werden Schwachstellen dokumentiert und Mitigationsmaßnahmen festgelegt (Risk-Register, Mitigationsplan)?
— bitte wählen — Ja, etabliert Teilweise / ad hoc Nein
Liegt prüffähige Evidenz vor (Risk-Report, Bias-Audit-Logs, unterschriebene Freigabe)?
— bitte wählen — Ja In Aufbau Nein
Wer ist verantwortlich (
Accountable , RACI)? — Rolle genügt, Name optional
⚠ Kein/e Verantwortliche/r benannt — diese Routine zählt damit nur als „teilweise erfüllt". Für eine belastbare Freigabe mindestens eine Rolle eintragen (Name optional).
Leeres Feld zählt als „Teilweise" — ohne benannte verantwortliche Person bleibt die Bewertung folgenlos.
Routine 2 — Fairness & Nachvollziehbarkeit im Betrieb (Fachreferenz: SOP 2, COBIT MEA03) Laufende Überwachung statt Einmal-Check — mit vorzeigbarem Nachweis. Template-Felder: Activities · Frequency · Evidence.
Werden Fairness- und Transparenzkennzahlen laufend überwacht (Drift, Bias, Erklärbarkeit via SHAP/LIME)?
— bitte wählen — Ja, monatlich oder häufiger Ad hoc Nein
Ist eine feste Frequenz definiert (z. B. quartalsweise) plus Ad-hoc-Review nach Vorfällen?
— bitte wählen — Ja, etabliert Teilweise / ad hoc Nein
Werden Ergebnisse über Nutzergruppen verglichen und Anomalien dokumentiert/eskaliert?
— bitte wählen — Ja, etabliert Teilweise / ad hoc Nein
Liegt ein Evidence-Item vor (Compliance-Dashboard, Transparenz-Log, Fairness-Report-Archiv)?
— bitte wählen — Ja In Aufbau Nein
SOP 3 — Data & Model Change Control (BAI06/07) Kontrollierte, auditierbare Daten-/Modelländerungen — verhindert Regressionen und Bias-Drift. Template-Felder: Activities · Outputs · Evidence.
Existiert ein Change-Control-Prozess (Versionierung, Validierung, Rollback) für Daten- und Modelländerungen?
— bitte wählen — Ja, etabliert Teilweise / ad hoc Nein
Wer gibt eine neue Modellversion produktiv frei (Change Advisory Board / benannte Rolle)?
— bitte wählen — Definierte Rolle Ad hoc Niemand explizit
Werden Änderungen gestaffelt ausgerollt (Shadow/Canary) mit Drift- und Offline-Validierung?
— bitte wählen — Ja, etabliert Teilweise / ad hoc Nein
Liegen versionierte Artefakte plus CI/CD- und Test-Logs als Nachweis vor?
— bitte wählen — Ja In Aufbau Nein
Routine 4 — Störungen beheben & zurück auf sicheren Stand (Fachreferenz: SOP 4, COBIT DSS02) Detect – Contain – Rollback: schneller, geübter Rückfall auf das letzte funktionierende Modell. Template-Felder: Entry · Activities · Outputs.
Gibt es einen dokumentierten Incident-Pfad mit Severity-Klassifizierung (SEV-1 … SEV-4)?
— bitte wählen — Ja, etabliert Teilweise / ad hoc Nein
Ist ein Rollback auf das letzte funktionierende Modell vorhanden und getestet?
— bitte wählen — Ja, getestet Dokumentiert aber ungetestet Nein
Ist die Eskalation bei Compliance-/Kundenimpact definiert (Geschäftsleitung, DSB, Aufsicht)?
— bitte wählen — Definiert Teilweise Nein
Erfolgt ein Post-Incident-Review mit CAPA-Maßnahmen (Corrective/Preventive Actions)?
— bitte wählen — Ja, etabliert Teilweise / ad hoc Nein
③ Entscheidungsbewertung — Welche Option ist die richtige? ⓘJede grundsätzlich zulässige Option wird in acht Kriterien mit 1 bis 5 bewertet; die Bewertungen werden mit den hinterlegten Standardgewichten gewichtet und aufsummiert. Methodischer Hinweis: Das Verfahren beruht auf dem Analytic-Hierarchy-Process (AHP ). (mehr im User Guide, Anhang A · H)
Warum dieser Schritt? Erst jetzt — wenn Rahmenbedingungen und Governance bestanden sind — vergleichen wir die zulässigen Optionen entlang acht gewichteter Kriterien. Im Decision Record entsteht daraus eine begründete, gewichtete Empfehlung mit Belastbarkeits-Einschätzung (wie eindeutig der Vorsprung ist) — der Kern der Entscheidungsdokumentation. Methodik: Analytic-Hierarchy-Process (AHP); Standardgewichte im Bewertungsmodell hinterlegt.
In Schritt 3 vergleicht der Navigator die grundsätzlich zulässigen Hosting-Optionen. Bewertet werden technische Passung, Organisation, Wirtschaftlichkeit, Compliance & Sicherheit, Kundenwirkung, Zukunftsoffenheit, Personalbedarf und verbleibendes Restrisiko . Die Felder sind mit modellhaften Startwerten vorbelegt. Die Gewichtung ist im Bewertungsmodell hinterlegt und kann optional angepasst werden. Der Bericht weist aus, ob Standardwerte oder kundenspezifische Anpassungen verwendet wurden.
Sie können die Startwerte übernehmen oder nur die Werte ändern, bei denen Ihre Situation abweicht.
Die Felder sind mit modellhaften Startwerten vorbelegt — Ausgangsprofile je Option, keine erhobenen Kennzahlen; nur für Branchen mit erhöhten Compliance-Anforderungen zusätzlich sektorspezifisch angepasst. Die Gewichte der Kriterien sind dagegen fest im Bewertungsmodell hinterlegt. Sie müssen nichts von Grund auf wissen — prüfen Sie die Vorschläge und ändern Sie nur, was bei Ihnen anders ist. Im moderierten Workshop schärfen wir das gemeinsam.
Bewertungs-Modus wählen
Einfach — die wichtigsten Kriterien selbst einschätzen (empfohlen · für Entscheider) Standard — nur Forschungs-/Branchenwerte, keine Eingabe (schnelle Orientierung · vorläufig) Experte — alle 8 Kriterien + eigene Gewichtung (für IT / Fachbereich) Im Einfach -Modus bewerten Sie die fünf wichtigsten Kriterien (inkl. Restrisiko ); die übrigen fließen mit dem modellhaften Startwert ein — die Methode bleibt vollständig, es zählen immer alle acht Kriterien.
Im Standard -Modus werden ausschließlich die hinterlegten Standardgewichte und die modellhaften Startwerte des Bewertungsmodells verwendet — Sie tragen nichts ein. Alle acht Kriterien fließen mit diesen Startwerten ein. Die Empfehlung ist dann vorläufig (im Workshop zu bestätigen) und wird im Bericht so gekennzeichnet.
Im Experte -Modus sehen und bewerten Sie alle acht Kriterien und können zusätzlich die Gewichtung anpassen.
Verwendete Kriterien & Branchen-Startwerte ansehen (im Standard-Modus schreibgeschützt)
Technische Passung · Gewicht 30,6 %
Wie gut passt die Option technisch zu Ihrer bestehenden IT-Landschaft, Ihren Schnittstellen, Betriebsprozessen und Skalierungsanforderungen?
Bewertungsskala:
1 = hoher Integrationsaufwand, unsichere technische Passung
2 = größere technische Hürden, Integration nur mit erheblichem Aufwand
3 = grundsätzlich machbar, einzelne Schnittstellen- oder Betriebsfragen offen
4 = gut integrierbar, nur kleinere Anpassungen nötig
5 = gut integrierbar, skalierbar und mit etabliertem Betriebsmodell
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert des Bewertungsmodells — modellhaftes Ausgangsprofil, kein erhobener Kennzahl. Bitte anpassen, wo Ihre Situation abweicht. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
Private Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
On-Prem 1 1,5 2 2,5 3 3,5 4 4,5 5
Hybrid 1 1,5 2 2,5 3 3,5 4 4,5 5
AIaaS 1 1,5 2 2,5 3 3,5 4 4,5 5
Organisatorische Passung · Gewicht 21,4 %
Wie gut passt die Option zu Ihren vorhandenen Rollen, Verantwortlichkeiten, Prozessen und Ihrer Governance-Reife?
Bewertungsskala:
1 = überfordert Organisation, Rollen oder Prozesse
2 = erfordert deutliche organisatorische Anpassungen
3 = teils passend, einzelne Rollen oder Prozesse müssen ergänzt werden
4 = passt überwiegend zu bestehenden Strukturen
5 = passt gut zu bestehenden Verantwortlichkeiten und Abläufen
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert des Bewertungsmodells — modellhaftes Ausgangsprofil, kein erhobener Kennzahl. Bitte anpassen, wo Ihre Situation abweicht. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
Private Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
On-Prem 1 1,5 2 2,5 3 3,5 4 4,5 5
Hybrid 1 1,5 2 2,5 3 3,5 4 4,5 5
AIaaS 1 1,5 2 2,5 3 3,5 4 4,5 5
Wirtschaftlichkeit · Gewicht 16,8 %
Wie wirtschaftlich erscheint die Option im Vergleich zu den Alternativen, unter Berücksichtigung von laufenden Kosten, Einmalaufwänden, internen Aufwänden und Planbarkeit?
Bewertungsskala:
1 = teuer, schwer planbar oder mit hohen versteckten Kosten verbunden
2 = eher teuer oder mit deutlichen Planungsunsicherheiten
3 = wirtschaftlich vertretbar, einzelne Kostenpunkte unklar
4 = überwiegend attraktiv und gut kalkulierbar
5 = wirtschaftlich attraktiv und gut kalkulierbar
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert des Bewertungsmodells — modellhaftes Ausgangsprofil, kein erhobener Kennzahl. Bitte anpassen, wo Ihre Situation abweicht. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
Private Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
On-Prem 1 1,5 2 2,5 3 3,5 4 4,5 5
Hybrid 1 1,5 2 2,5 3 3,5 4 4,5 5
AIaaS 1 1,5 2 2,5 3 3,5 4 4,5 5
Compliance & Sicherheit · Gewicht 11,0 %
Wie gut erfüllt die Option Anforderungen an Datenschutz, Informationssicherheit, Nachweisbarkeit, Zugriffskontrolle und Auditierbarkeit?
Bewertungsskala:
1 = wesentliche Nachweise oder Sicherheitsanforderungen fehlen
2 = deutliche Lücken bei Nachweisen oder Sicherheit
3 = Grundanforderungen erfüllt, einzelne Nachweise noch offen
4 = überwiegend nachweisbar und auditierbar erfüllt
5 = Anforderungen sind gut nachweisbar und auditierbar erfüllt
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert des Bewertungsmodells — modellhaftes Ausgangsprofil, kein erhobener Kennzahl. Bitte anpassen, wo Ihre Situation abweicht. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
Private Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
On-Prem 1 1,5 2 2,5 3 3,5 4 4,5 5
Hybrid 1 1,5 2 2,5 3 3,5 4 4,5 5
AIaaS 1 1,5 2 2,5 3 3,5 4 4,5 5
Kundenwirkung & Marktvertrauen · Gewicht 7,4 %
Wie wirkt die Option auf Kunden, Partner und externe Stakeholder, zum Beispiel hinsichtlich Datenstandort, Vertrauen und Erklärbarkeit?
Bewertungsskala:
1 = erklärungsbedürftig oder vertrauensmindernd
2 = nach außen eher nachteilig
3 = neutral gegenüber Kunden und Partnern
4 = überwiegend vertrauensfördernd
5 = stärkt Vertrauen und ist gut gegenüber Kunden erklärbar
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert des Bewertungsmodells — modellhaftes Ausgangsprofil, kein erhobener Kennzahl. Bitte anpassen, wo Ihre Situation abweicht. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
Private Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
On-Prem 1 1,5 2 2,5 3 3,5 4 4,5 5
Hybrid 1 1,5 2 2,5 3 3,5 4 4,5 5
AIaaS 1 1,5 2 2,5 3 3,5 4 4,5 5
Zukunftsoffenheit · Gewicht 5,9 %
Wie gut hält die Option zukünftige Wechsel, neue Modelle, Erweiterungen und Anbieterwechsel offen?
Bewertungsskala:
1 = starke Anbieterbindung oder technologische Sackgasse
2 = eingeschränkt flexibel, spätere Wechsel schwierig
3 = teils offen, einzelne Abhängigkeiten bleiben
4 = überwiegend flexibel und erweiterbar
5 = flexibel, erweiterbar und zukunftsoffen
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert des Bewertungsmodells — modellhaftes Ausgangsprofil, kein erhobener Kennzahl. Bitte anpassen, wo Ihre Situation abweicht. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
Private Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
On-Prem 1 1,5 2 2,5 3 3,5 4 4,5 5
Hybrid 1 1,5 2 2,5 3 3,5 4 4,5 5
AIaaS 1 1,5 2 2,5 3 3,5 4 4,5 5
Personal & Skills · Gewicht 3,9 %
Wie gut kann die Option mit Ihrem vorhandenen Personal, Know-how und Betriebsmodell umgesetzt und betrieben werden?
Bewertungsskala:
1 = erheblicher Kompetenzaufbau erforderlich
2 = spürbarer Aufbau von Know-how nötig
3 = mit Schulung oder teilweiser Unterstützung machbar
4 = überwiegend mit vorhandenem Personal machbar
5 = mit vorhandenen Fähigkeiten gut beherrschbar
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert des Bewertungsmodells — modellhaftes Ausgangsprofil, kein erhobener Kennzahl. Bitte anpassen, wo Ihre Situation abweicht. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
Private Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
On-Prem 1 1,5 2 2,5 3 3,5 4 4,5 5
Hybrid 1 1,5 2 2,5 3 3,5 4 4,5 5
AIaaS 1 1,5 2 2,5 3 3,5 4 4,5 5
Restrisiko · Gewicht 3,0 %
Wie gering ist das verbleibende Risiko nach technischen, organisatorischen, rechtlichen und betrieblichen Maßnahmen?
Bewertungsskala:
1 = hohes verbleibendes Risiko
2 = erhöhtes Restrisiko
3 = mittleres, handhabbares Restrisiko
4 = überwiegend geringes Restrisiko
5 = geringes und gut beherrschbares Restrisiko
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert des Bewertungsmodells — modellhaftes Ausgangsprofil, kein erhobener Kennzahl. Bitte anpassen, wo Ihre Situation abweicht. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
Private Cloud 1 1,5 2 2,5 3 3,5 4 4,5 5
On-Prem 1 1,5 2 2,5 3 3,5 4 4,5 5
Hybrid 1 1,5 2 2,5 3 3,5 4 4,5 5
AIaaS 1 1,5 2 2,5 3 3,5 4 4,5 5
Gewichtung der Entscheidungskriterien (optional · nur im Experte-Modus)
Die Standardgewichtung ist im Bewertungsmodell hinterlegt. Sie können die Gewichtung übernehmen oder anpassen, wenn in Ihrem Unternehmen bestimmte Kriterien wichtiger sind, zum Beispiel technische Integrationsfähigkeit, Datensouveränität, Wirtschaftlichkeit oder Personalverfügbarkeit. Die Werte müssen sich nicht exakt auf 100 % summieren; der Navigator normalisiert sie automatisch. Der Bericht weist aus, ob die Standardgewichtung oder eine kundenspezifische Gewichtung verwendet wurde.
Technische Passung % · Standard 30,6 %
Organisatorische Passung % · Standard 21,4 %
Wirtschaftlichkeit % · Standard 16,8 %
Compliance & Sicherheit % · Standard 11,0 %
Kundenwirkung & Marktvertrauen % · Standard 7,4 %
Zukunftsoffenheit % · Standard 5,9 %
Personal & Skills % · Standard 3,9 %
Restrisiko % · Standard 3,0 %
Summe (wird normiert) 100 %
Wirtschaftlichkeit & Kosten
Die Wirtschaftlichkeit fließt in Schritt 3 als qualitatives Bewertungskriterium ein (siehe Kriterium „Wirtschaftlichkeit" oben). Eine detaillierte TCO -/Angebotsprüfung mit konkreten Euro-Beträgen ist nicht Bestandteil dieser Erstbewertung — sie kann später als separates Modul „TCO & Beschaffungsvalidierung" ergänzt werden. Vor einer Beschaffungsentscheidung sollten konkrete Anbieterangebote, interne Aufwände, Integrations-, Security-/Compliance-Aufwände, Support-Level und laufende Betriebskosten separat validiert werden.
KPI -Review (optional — für den Quartals-Check)Beim regelmäßigen Review den aktuellen Stand je KPI eintragen — die Ampel setzt der Bericht automatisch aus dem Wert (gegen den Zielwert). Nur überschreiben, wenn nötig. Bei der Erst-Entscheidung leer lassen.
★ Läuft die KI zuverlässig? (Verfügbarkeit/Monat) % — Ampel (auto) 🟢 grün 🟡 gelb 🔴 rot
★ Sind die Pflicht-Nachweise aktuell da? (Audit-Bereitschaft) % vorhanden — Ampel (auto) 🟢 grün 🟡 gelb 🔴 rot
★ Geht etwas schief? (ernste KI-Vorfälle / Quartal) Anzahl/Quartal — Ampel (auto) 🟢 grün 🟡 gelb 🔴 rot
★ Bleibt es im Budget? (Budgettreue — qualitativ) — Ampel 🟢 grün 🟡 gelb 🔴 rot
★ Ist jemand zuständig? (jede KI hat benannten Owner) % mit Owner — Ampel (auto) 🟢 grün 🟡 gelb 🔴 rot
Bringt's dem Kunden was? (Zufriedenheit) Score / % — Ampel 🟢 grün 🟡 gelb 🔴 rot
Sind die Leute befähigt? (Anteil geschult) % geschult — Ampel (auto) 🟢 grün 🟡 gelb 🔴 rot
Wie schnell von Idee zu Nutzen? (Time-to-Value) Tage — Ampel 🟢 grün 🟡 gelb 🔴 rot
ToJo NavigatorModul: KI Governance