BSI veröffentlicht Prüfarchitektur für vertrauenswürdige KI-Systeme

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit der „AI Audit and Assurance Assessment Architecture (A5)” einen neuen Rahmen zur Prüfung und Bewertung von KI-Systemen vorgestellt.

Die Bildcollage zeigt eine Person, die eine Hand nach vorne hält. Über der Hand ist ein leuchtendes Schild mit einem KI-Symbol dargestellt. Das Schild ist mit digitalen Symbolen für Checklisten, Zertifizierungen, Dokumente und Vernetzung verbunden und veranschaulicht somit die Prüfung und Absicherung vertrauenswürdiger KI-Systeme. Das Bild wurde mithilfe von KI erstellt.

Mithilfe dieser Prüfarchitektur sollen Unternehmen, Behörden und weitere Akteure entlang der gesamten KI-Wertschöpfungskette die Vertrauenswürdigkeit von KI-Anwendungen systematisch und nachvollziehbar bewerten können.

Orientierung für Entwicklung, Betrieb und Beschaffung von KI

Der A5-Ansatz richtet sich unter anderem an Personen, die für die Entwicklung, den Betrieb, die Aufsicht und die Beschaffung von KI-Systemen verantwortlich sind. Ziel ist es, ein einheitliches Verständnis von technischer Vertrauenswürdigkeit zu schaffen und die Bewertung von KI-Systemen anhand standardisierter Kriterien und Methoden zu ermöglichen. Die ersten Dokumente wurden nun als sogenannte „Community Drafts” veröffentlicht und stehen der Öffentlichkeit zur Verfügung.

Unterstützung bei regulatorischen Anforderungen

Mit der zunehmenden Verbreitung von KI steigen auch die Anforderungen an Compliance, Sicherheit und Dokumentation. Laut dem BSI soll A5 Unternehmen dabei unterstützen, Nachweise zur Vertrauenswürdigkeit von KI-Systemen zu erbringen und regulatorische Vorgaben, wie sie etwa im EU AI Act oder im Cyber Resilience Act festgelegt sind, besser umzusetzen. Die Prüfarchitektur schafft hierfür einen strukturierten Rahmen zur Bewertung technischer und organisatorischer Anforderungen.

Modulare Prüfkriterien und etablierte Prüfmethodik

Die veröffentlichten A5-Kriterien sind technologie- und anwendungsunabhängig angelegt und werden sowohl in klassischer Dokumentationsform als auch maschinenlesbar bereitgestellt. Die Prüfmethodik orientiert sich an der aus dem Cloud-Bereich bekannten C5-Prüfung des BSI und basiert auf dem internationalen Prüfungsstandard ISAE 3000, wodurch eine einheitliche und nachvollziehbare Bewertung von KI-Systemen ermöglicht werden soll.

Relevanz für Unternehmen und Organisationen

Obwohl es sich derzeit noch um einen Entwurf handelt, können Unternehmen die darin formulierten Anforderungen bereits in der frühen Phase als Referenzpunkt für ihre interne Governance nutzen, um für künftige Audit-Anforderungen gewappnet zu sein. Die Veröffentlichung des A5 verdeutlicht, dass die Prüfung und Nachweisbarkeit vertrauenswürdiger KI zunehmend an Relevanz gewinnen. Die neue Prüfarchitektur kann für Unternehmen, die sich mit der Entwicklung, dem Einsatz oder der Beschaffung von KI-Systemen befassen, eine bedeutende Orientierungshilfe darstellen, um Anforderungen an Sicherheit, Transparenz und Compliance strukturiert umzusetzen

Hinweis: Das BSI lädt Fachkreise und interessierte Organisationen ein, sich an der Weiterentwicklung des A5 zu beteiligen. Rückmeldungen zum Community Draft können bis zum 31.08.2026 eingereicht werden. Die Prüfarchitektur soll künftig weiterentwickelt und angepasst werden.

Cyber Security

Zurück