Evidence macht Governance beweisbar
Dokumentation beschreibt, wie ein AI-System gedacht und geregelt ist. Evidence belegt, was tatsächlich entschieden, getestet, freigegeben, betrieben und verbessert wurde. R-012 verbindet beides in einer kontrollierten Systemakte mit Owner, Version, Status, Gültigkeit und Herkunft.
Warum gute Controls ohne Nachweis nicht genügen
Entscheidung
Management erkennt, warum Nutzung und Restrisiko akzeptiert wurden.
Betrieb
Teams arbeiten mit derselben freigegebenen Systemwahrheit.
Audit
Prüfer finden Nachweise schnell, vollständig und unverändert.
Lernen
Changes und Incidents verbessern Controls nachvollziehbar.
Typisches Praxisbild
Use Case, DPIA, Modellbewertung, Lieferantenunterlagen, Freigabe und Testergebnisse liegen in E-Mails, Tickets, Teams, Excel und persönlichen Ordnern. Beim Audit ist unklar, welche Version produktiv war, wer entschieden hat und ob Findings geschlossen wurden.
Was BAIS für die Systemakte klärt
- Welche AI-Systeme, Versionen und Einsatzkontexte sind dokumentationspflichtig?
- Welche Artefakte sind vor Go-live zwingend?
- Wer erstellt, prüft, genehmigt und aktualisiert jeden Nachweis?
- Wie werden Risiko, Control, Test und Evidence eindeutig verknüpft?
- Wo liegt die autoritative Version?
- Wie werden Modell-, Prompt-, Daten-, Tool- und Policy-Änderungen erfasst?
- Welche Evidence ist automatisiert erzeugbar?
- Wie werden Vertraulichkeit, Integrität und Zugriffe geschützt?
- Welche Aufbewahrungs- und Löschregeln gelten?
- Wie wird Vollständigkeit vor Review oder Audit geprüft?
Evidence Chain statt Screenshot-Sammlung
„Die Nachweise liegen irgendwo im Projektordner.“
- Keine Owner
- Unklare Version
- Keine Freigabe
- Kein Risiko-Bezug
„R-006-C03 ist mit Test T-024, Ergebnis E-024, Finding F-007 und Freigabe A-012 verknüpft. Die produktive Version, Prüfer, Zeitstempel, Hash, Gültigkeit und nächste Review sind dokumentiert.“
Fünf Qualitätsmerkmale belastbarer Evidence
Severity: 0–2 vollständige, aktuelle Evidence Chain · 3–5 einzelne Lücken · 6–8 verstreute oder veraltete Nachweise · 9–10 keine belastbare Systemakte.
Was eingerichtet und nachgewiesen wird
Wer trägt welche Verantwortung?
Welche Regelwerke berührt R-012?
- ISO/IEC 27001-orientiert: Documented Information, Asset-/Risk-/Change-/Incident-Nachweise, Zugriff, Integrität und Aufbewahrung.
- ISO/IEC 42001: AI-Managementsystem, AI System Impact Assessment, Ziele, Rollen, Betrieb, Monitoring und Verbesserungsnachweise.
- EU AI Act: Je nach Rolle und Einstufung können technische Dokumentation, Logs, Qualitätsmanagement, Konformitäts- und Post-Market-Nachweise erforderlich sein.
- DSGVO: Rechenschaftspflicht, Verzeichnis, DPIA, TOM, Betroffenenprozesse und Lösch-/Aufbewahrungsnachweise.
Wie eine prüfbare Systemakte gebaut wird
- Eindeutige IDs für System, Risiko, Control, Test, Finding und Freigabe vergeben.
- Metadaten-Schema mit Owner, Status, Version, Quelle, Datum und Review nutzen.
- Autoritative Ablage und unveränderbare Audit Trails festlegen.
- RBAC, Least Privilege, Verschlüsselung, Backup und Restore testen.
- CI/CD-, Test-, Scanner-, Monitoring- und Ticket-Evidence automatisiert übernehmen.
- Produktive Modell-, Prompt-, Daten- und Tool-Version referenzieren.
- Changes automatisch auf betroffene Risiken und Evidence prüfen.
- Retention und Löschung nach Datenklasse und Verpflichtung steuern.
- Evidence-Bundles reproduzierbar und revisionssicher exportieren.
- Dashboard für fehlende, veraltete und überfällige Nachweise betreiben.
Was Audit Readiness zerstört
Evidence verständlich erklären
„R-012 baut aus Risiken, Controls, Tests, Findings, Freigaben und Änderungen eine prüfbare Evidence Chain. So ist jederzeit sichtbar, welche Version produktiv ist, wer entschieden hat, welche Nachweise gelten und wo noch Lücken bestehen.“
„Wir sammeln nicht einfach Dokumente. Jedes AI-System erhält eine kontrollierte Systemakte. Darin sind Zweck, Owner, Daten, Anbieter, Risiken, Controls, Testergebnisse, Freigaben, Changes, Incidents und Reviews eindeutig verknüpft. Metadaten und Audit Trail sichern Aktualität und Herkunft. Automatisierte Evidence aus CI/CD, Security Scans und Monitoring reduziert Handarbeit. Ein Readiness-Check zeigt fehlende oder abgelaufene Nachweise, bevor Kunde, Management oder Prüfer danach fragt.“
„Wir haben bereits SharePoint.“
SharePoint kann die Ablage liefern. R-012 definiert zusätzlich Schema, Verantwortlichkeit, Verknüpfung, Gültigkeit, Evidence Gates und Qualitätsprüfung.
„Das ist zu viel Bürokratie.“
Risikobasiertes Tailoring verhindert Überdokumentation. Kritische Systeme erhalten tiefere Evidence; geringe Risiken einen schlankeren Satz.
„Können wir Evidence erst beim Audit sammeln?“
Nachträgliche Rekonstruktion ist teuer und oft unvollständig. Evidence-by-Design erzeugt Nachweise direkt im Prozess.
R-012 ist vollständig, wenn …
- jedes AI-System eine eindeutige, verantwortete Systemakte besitzt.
- Pflichtartefakte nach Risiko und Lebenszyklus definiert sind.
- Risiken, Controls, Tests, Findings und Freigaben verknüpft sind.
- produktive Version und autoritative Quellen eindeutig sind.
- Owner, Status, Gültigkeit und Review jeder Evidence sichtbar sind.
- Zugriff, Integrität, Backup, Retention und Löschung geprüft sind.
- Changes und Incidents Evidence-Aktualisierung auslösen.
- Audit Export, Lückenbericht und Follow-up reproduzierbar funktionieren.