KI im Unternehmen einführen: was die IT-Leitung vorher prüft
Eine IT-Leitung gibt ein KI-System frei, wenn sieben Fragen beantwortet sind: wo es läuft, wie sich die Leute anmelden, wer welche Antworten sehen darf, wie aktualisiert und gesichert wird, was bei einem Ausfall geschieht, was aufgezeichnet wird und was am Ende übergeben wird. Keine dieser Fragen ist neu. Neu ist nur, dass die Antworten an Stellen liegen, in die sonst niemand schaut. Dieser Text ist die Prüfliste, die ein interner Fürsprecher an seine IT weitergibt.
- Kurzform
- Sieben Fragen, die vor der Freigabe beantwortet sein müssen, und die Nachweise, die dazugehören
- Prüffelder
- Betriebsort und Netz, Anmeldung, Rechte, Aktualisierung und Sicherung, Ausfall, Aufzeichnungen, Übergabe
- Was der Anbieter vorlegt
- Netzbild, Anmeldeweg, Rollenmodell, Sicherungsplan, Wiederanlaufplan, Protokollverzeichnis, Betriebshandbuch
- Normlage
- Prüfkatalog A5 des BSI seit dem 6. Juli 2026 als Community Draft, Kommentierung bis zum 31. August 2026, kein verbindlicher Katalog
- Belegter Fall
- Ein Armaturenhersteller, Plattform im eigenen Netz: Docker-Compose-Verbund, Anmeldung über den vorhandenen Microsoft-Entra-ID-Tenant per OAuth und OIDC, in Betrieb seit Dezember 2025
- Mitbestimmung
- Werden die Fragen der Belegschaft aufgezeichnet, greift BetrVG § 87 Abs. 1 Nr. 6, vor der Inbetriebnahme
- Stand
- September 2026
Wo das System läuft und wer es erreicht
Die erste Frage der IT-Leitung handelt nicht von künstlicher Intelligenz. Sie lautet: auf welcher Maschine läuft das, in welchem Netzsegment steht sie, welche Verbindungen nach außen bleiben offen. Ein System, das im eigenen Unternehmen antwortet, ist zuerst eine Anwendung im eigenen Netz und wird auch so geprüft.
Bei einem Armaturenhersteller läuft die Plattform als Docker-Compose-Verbund auf einem Linux-Server im eigenen Netz, in Betrieb seit Dezember 2025. Die Bauteile sind einzeln benannt: Open WebUI als Oberfläche, Qdrant als Datenbank für die Textstücke, docling-serve für das Einlesen der Dokumente. Ein Verbund aus benannten Diensten lässt sich Dienst für Dienst prüfen, eine Schachtel mit einem Produktnamen darauf nicht. Was Deep5 dabei baut und betreibt, steht auf lokale KI im eigenen Netz.
Der zweite Teil der Frage wird häufiger übersehen als der erste: wer erreicht das System, und von wo. Ein Server, der im Bürolayer steht und aus dem Fertigungsnetz erreichbar ist, hat eine andere Angriffsfläche als einer, der in einem eigenen Segment steht und nur über eine benannte Schnittstelle angesprochen wird. Diese Entscheidung trifft Ihre IT, nicht der Anbieter, und sie fällt, bevor der erste Container startet.
Eine verbindliche Prüfnorm dafür, wie ein KI-System im eigenen Netz zu stehen hat, gibt es zum Stand September 2026 nicht. Das BSI hat am 6. Juli 2026 den Prüfkatalog A5 als Community Draft veröffentlicht, also als Entwurf zur Kommentierung. Wer heute eine amtliche Liste zum Abhaken sucht, findet sie nicht.
Was Sie sich zeigen lassen
- Auf welcher Maschine welcher Dienst läuft, mit Betriebssystem und benanntem Verantwortlichen.
- In welchem Netzsegment die Maschine steht und welche anderen Segmente sie erreicht.
- Welche Verbindungen nach außen offen bleiben: Modelldateien, Aktualisierungen, Lizenzprüfungen, Fehlerberichte.
- Ob das System ohne Verbindung nach außen weiterarbeitet, und was dann nicht mehr geht.
- Wer außer der IT auf den Server kommt, über welchen Weg und mit welcher Anmeldung.
Wie sich Ihre Leute anmelden
Über das Verzeichnis, das Sie ohnehin betreiben. Eine eigene Benutzerliste im KI-System ist die, die beim Austritt eines Mitarbeiters vergessen wird, und niemand merkt es, weil das System weiter freundlich antwortet. Sie ist deshalb kein Merkmal, sondern eine offene Baustelle.
Bei dem Armaturenhersteller läuft die Anmeldung über den vorhandenen Microsoft-Entra-ID-Tenant per OAuth und OIDC. Hinter den beiden Abkürzungen steht ein einfacher Vorgang: Das System fragt bei Ihrem Verzeichnis nach, ob der Mensch am Bildschirm der ist, für den er sich ausgibt, und bekommt von dort auch seine Gruppen. Ein zweiter Satz Benutzerkonten entsteht nicht.
Von allein geschieht das nicht. Ist Ihr Verzeichnis bereits als Tenant vorhanden, braucht die Anwendung selbst nur eine Registrierung darin. Steht das Verzeichnis dagegen nur im eigenen Unternehmen, kommt der Weg über eine Verzeichnissynchronisation dazu. Für Ihr System gilt die Dokumentation Ihres Anbieters, und sie sollte vorliegen, bevor jemand OIDC zusagt.
Open WebUI bringt die Anmeldung über OIDC mit, das zeigt der Armaturenfall. Bei anderen Systemen steht sie manchmal nur in einem gesonderten Paket oder einer teureren Stufe. Lassen Sie sich die Stelle in der Dokumentation zeigen, bevor jemand OIDC zusagt.
| Anmeldeweg | Was er löst | Wo er wehtut |
|---|---|---|
| Eigene Konten im KI-System | Der Betrieb startet am ersten Tag, ohne Abstimmung mit dem Verzeichnisdienst | Austritte, Abteilungswechsel und Passwortregeln laufen daran vorbei. Die Liste veraltet ab der zweiten Woche |
| Anbindung an das Verzeichnis über LDAP | Benutzer und Gruppen kommen aus einer Quelle, das Konto wird nicht zweimal gepflegt | Die Anmeldung selbst bleibt oft beim Passwort stehen. Mehrfaktor und Sperrregeln greifen nicht automatisch mit |
| Anmeldung über OIDC am vorhandenen Verzeichnis | Anmeldung und Gruppen kommen aus dem Verfahren, das im Unternehmen ohnehin gilt, samt der dort gesetzten Regeln | Setzt voraus, dass Ihr Verzeichnis das anbietet und das KI-System es unterstützt. Beides ist zu belegen, nicht zu vermuten |
Eine eigene Benutzerliste im KI-System ist die, die beim Austritt eines Mitarbeiters vergessen wird, und niemand merkt es, weil das System weiter freundlich antwortet.
Wer welche Antworten sehen darf
Anmeldung und Rechte sind zwei verschiedene Dinge und werden regelmäßig verwechselt. Die Anmeldung klärt, wer fragt. Die Rechte klären, was dieser Mensch zu sehen bekommt. Dazwischen liegt die Stelle, an der ein Aufbau still danebengeht.
Ein System, das aus Ihren Unterlagen antwortet, legt vorher eine durchsuchbare Kopie davon an. Diese Kopie erbt die Berechtigungen des Dateiservers nicht. Wer nichts weiter tut, hat am Ende einen Bestand, in dem alles für alle auffindbar ist, auch der Ordner der Personalabteilung. Jedes Textstück muss deshalb seine Berechtigung mitführen, und die Suche muss danach filtern, bevor das Sprachmodell etwas zu sehen bekommt. Wie diese Suche vor der Antwort abläuft, steht in wie ein RAG-System funktioniert.
Bei dem Armaturenhersteller liefert Entra ID die Anmeldung und die Gruppen. Ein Rechtemodell bis auf die Ebene einzelner Dokumente steht im Fallbericht als eigener Ausbauschritt. Das ist der übliche Verlauf und kein Vorwurf. Planen Sie ihn ein, statt sich davon überraschen zu lassen.
Und lassen Sie sich keine Garantie geben. Rechteverwaltung mindert ein Risiko, sie schließt es nicht aus. Wer zusagt, das System greife ausschließlich auf freigegebene Quellen zu, verspricht mehr, als eine Zugriffssteuerung tragen kann: Eingaben lassen sich so formulieren, dass ein Modell ausgibt, was es nicht ausgeben soll.
Vier Fragen zu den Rechten
- Woher kommen die Gruppen. Aus dem Verzeichnis oder aus einer Liste, die jemand im System pflegt.
- Wo wird gefiltert. Vor der Suche, nach der Suche oder erst in der Anzeige. Nur das Erste zählt.
- Was geschieht bei einer Änderung. Ein Mensch wechselt die Abteilung: wann wirkt das im Index, und wer stößt es an.
- Wer darf einlesen. Wer entscheidet, welcher Ordner überhaupt in den Bestand kommt, und wo ist diese Entscheidung festgehalten.
Wie Aktualisierungen und Sicherungen laufen
Ein lokal betriebenes KI-System altert an fünf Stellen zugleich: Betriebssystem, Container, Datenbank, Oberfläche und Sprachmodell. Für die ersten vier hat Ihre IT längst ein Verfahren. Die fünfte ist neu, und über sie schweigt ein Betriebsplan üblicherweise.
Ein Modellwechsel verändert Antworten. Nicht auffällig, aber nachweisbar: Eine Auskunft, die gestern die Einheit mitgenannt hat, nennt sie heute nicht mehr. Deshalb gehört zu jedem Aufbau ein Satz Prüffragen mit den zugehörigen richtigen Antworten, zwanzig genügen für den Anfang, und dieser Satz läuft nach jeder Aktualisierung erneut. Ohne ihn bleibt jede Modellumstellung Geschmackssache.
Bei der Sicherung fragt die IT-Leitung nach mehr als den Dokumenten. Die liegen ohnehin im Backup des Dateiservers. Zu sichern sind der Index, die Konfiguration des Verbunds, die Anweisungen der eingerichteten Assistenten und, sofern sie geführt werden, die Gesprächsverläufe. Der letzte Punkt ist der heikle: Eine Sicherung, die personenbezogene Verläufe ein Jahr lang aufbewahrt, macht jede Löschregel im laufenden System wertlos. Was dabei zu dokumentieren ist, steht in was Sie bei KI nachweisen müssen.
| Bauteil | Was ein Update ändert | Woran Sie es merken |
|---|---|---|
| Betriebssystem und Container | Sicherheitslücken werden geschlossen, Abhängigkeiten verschieben sich | Ein Dienst startet nach dem Neustart nicht mehr. Fällt sofort auf |
| Datenbank für die Textstücke | Formate und Indexstrukturen können sich ändern | Die Suche liefert andere Treffer als vorher, ohne Fehlermeldung |
| Oberfläche | Bedienung, Rechteoberflächen und Anmeldewege ändern sich | Anwender melden Verwirrung, die Anmeldung bricht im ungünstigen Fall weg |
| Sprachmodell | Formulierung, Länge und Genauigkeit der Antworten verschieben sich | Gar nicht, außer Sie stellen die Prüffragen erneut |
| Einlesestrecke für Dokumente | Tabellen und Scans werden anders zerlegt als zuvor | Alte Fundstellen zeigen auf andere Abschnitte als vorher |
Was bei einem Ausfall passiert
Vor jeder technischen Antwort steht eine organisatorische: Was tun Ihre Leute, wenn das System einen Tag steht. Antwortet darauf niemand, ist die Anwendung entweder unkritisch, dann genügt ein geordneter Wiederanlauf, oder sie ist es doch, dann braucht sie einen Ersatzweg und jemanden, der ihn kennt.
Zwei Festlegungen gehören in den Betriebsplan, und beide trifft Ihr Unternehmen, nicht der Anbieter: wie lange ein Ausfall dauern darf, bevor er wehtut, und wie viel Arbeit im schlimmsten Fall verloren gehen darf. Aus diesen beiden folgt der Rest. Ob ein zweiter Server nötig ist. Wie oft gesichert wird. Ob der Index mitgesichert oder nach einem Ausfall neu aufgebaut wird.
Beim Neuaufbau des Index verschätzt man sich am ehesten. Er dauert nicht Minuten, sondern so lange wie das Einlesen des gesamten Bestands, und dieser Bestand wächst. Wer den Index sichert, tauscht Plattenplatz gegen Stunden.
Dazu die ehrliche Einordnung eines Verbunds auf einem einzelnen Server: Er hat genau einen Punkt, an dem alles hängt. Für einen Pilotbetrieb in einer Abteilung ist das vertretbar. Für ein System, an dem der Innendienst den ganzen Tag hängt, muss jemand diese Entscheidung ausdrücklich treffen, und zwar die IT-Leitung.
Fünf Angaben, die in den Betriebsplan gehören
- Wer den Ausfall bemerkt, und woran. Eine Überwachung, die niemand ansieht, ist keine.
- Wer den Wiederanlauf durchführt, und wo die Anleitung dafür liegt.
- Wie lange der Wiederanlauf im geübten Fall dauert. Geübt heißt: einmal wirklich gemacht.
- Was in der Zwischenzeit gilt. Meist der Weg, den es vor dem System gab.
- Wann zuletzt eine Sicherung zurückgespielt wurde. Eine Sicherung, die nie zurückkam, ist eine Vermutung.
Was aufgezeichnet wird und wer es liest
Es entstehen zwei Arten von Aufzeichnungen, und sie werden von verschiedenen Menschen gebraucht. Die technischen Protokolle des Betriebs will die IT: Anmeldungen, Rechteänderungen, Einlesevorgänge, Modellwechsel, Fehler. Die inhaltlichen Aufzeichnungen sind die Fragen Ihrer Mitarbeiter, und über die entscheidet die IT nicht allein.
Wer die Fragen der Belegschaft mitschneidet, führt eine Einrichtung ein, die geeignet ist, Verhalten und Leistung zu überwachen. Die Mitbestimmung des Betriebsrats nach BetrVG § 87 Abs. 1 Nr. 6 greift damit, und zwar bevor das System läuft, nicht danach. Was dabei im Einzelnen zu regeln ist, steht in was der Betriebsrat bei KI mitbestimmt. Dieser Text ersetzt keine Rechtsberatung. Er nennt die Stelle, an der Sie eine brauchen.
Drei Angaben klären das Feld: was aufgezeichnet wird, wie lange es liegt, wer es lesen darf. Fehlt eine davon, wird die Frage später gestellt, und dann von jemandem, der ungehalten ist.
| Art der Aufzeichnung | Was darin steht | Was vorher geklärt sein muss |
|---|---|---|
| Betriebsprotokoll | Anmeldungen, Rechteänderungen, eingelesene Dateien, Modellwechsel, Fehler und Neustarts | Aufbewahrungsdauer und Leserechte. Wer im Protokoll lesen darf, sieht auch, wer wann gearbeitet hat. Zu klären ist außerdem, ob eine personenbezogene Auswertung der Anmeldezeiten für sich genommen schon mitbestimmungspflichtig ist |
| Inhaltliche Aufzeichnung | Gestellte Fragen, ausgegebene Antworten, benutzte Fundstellen | Ob sie überhaupt geführt wird, wie lange, und die Beteiligung des Betriebsrats nach BetrVG § 87 Abs. 1 Nr. 6 |
Was der Anbieter übergibt
Übergeben wird nicht die laufende Anwendung, sondern das, womit Ihre eigene IT sie ohne den Anbieter weiterbetreiben kann. Wer diese Liste nicht vorlegen kann, hat keinen Aufbau geliefert, sondern eine Abhängigkeit. Die Frage gehört an den Anfang der Verhandlung.
Deep5 baut und betreibt. Das ist kein Widerspruch zur Übergabe. Es ist ihre Bedingung. Ein Betrieb, den man nicht kündigen kann, ist eine Fessel, keine Leistung. Für lokale KI gilt bei uns: Planung individuell, Aufbau zum Festpreis nach der Planung, Betrieb nach Vereinbarung. Was der Betrieb im eigenen Unternehmen gegenüber einem Cloud-Dienst kostet, rechnen wir in was der Betrieb im eigenen Unternehmen kostet vor und nicht hier.
Was zur Übergabe gehört
- Betriebshandbuch. Start, Neustart, Wiederanlauf, Sicherung, und wo die Konfigurationsdateien liegen.
- Netzbild. Welche Maschine, welches Segment, welche offenen Verbindungen nach außen.
- Versionsstände. Betriebssystem, Container, Datenbank, Oberfläche, Modell, jeweils mit Nummer und Datum.
- Konfiguration in einer Versionsverwaltung. Nicht als Schraubarbeit auf dem Server, die niemand nachvollziehen kann.
- Zugangsdaten im Passwortspeicher Ihres Unternehmens. Nicht im Postfach des Projektleiters.
- Die Prüffragen mit ihren richtigen Antworten. Sie sind der einzige Maßstab, an dem sich später eine Verschlechterung zeigen lässt.
- Ansprechpartner und Reaktionszeiten. Wer wird nachts angerufen, und was ist zugesagt.
- Zugriff im laufenden Betrieb. Wer beim Anbieter während der Vertragslaufzeit auf das System zugreift, mit welcher Berechtigung, und ob dieser Zugriff nach DSGVO Art. 28 vertraglich geregelt ist.
- Der Ausstiegsweg. Wie kommen Dokumente, Index und Konfiguration in ein Format, das ohne den Anbieter lesbar bleibt.
Kurz beantwortet
- Was braucht ein Betrieb für ein lokales KI-System?
- Einen Server mit Platz im Netz, ein Verzeichnis für die Anmeldung, einen Dokumentbestand, dem im Unternehmen jemand vertraut, und benannte Verantwortliche für Betrieb und Inhalte. Welche Rechenleistung nötig ist, rechnen wir vor dem Kauf anhand der Fälle aus.
- Muss die IT-Leitung dafür KI-Fachwissen haben?
- Für die Prüfung nicht. Die sieben Fragen sind dieselben, die vor jeder neuen Anwendung im Unternehmen gestellt werden. Fachwissen braucht es an genau zwei Stellen: beim Verhalten des Systems nach einem Modellwechsel und bei der Frage, welche Textstücke die Suche überhaupt zu sehen bekommt.
- Gibt es eine verbindliche Prüfvorgabe des BSI für KI-Systeme?
- Zum Stand September 2026 nicht. Der Prüfkatalog A5 liegt seit dem 6. Juli 2026 als Community Draft vor, die Kommentierungsfrist endete am 31. August 2026, ein Verabschiedungsdatum ist uns nicht bekannt. Daneben besteht seit dem 24. Juni 2025 ein Kriterienkatalog des BSI für die Bundesverwaltung.
- Wer entscheidet am Ende, die IT oder die Fachabteilung?
- Die Fachabteilung entscheidet, ob es sich lohnt. Die IT entscheidet, unter welchen Bedingungen es laufen darf. Ein Vorhaben kippt selten am Nutzen und häufig daran, dass diese beiden Entscheidungen nie in einem Raum zusammengekommen sind.
Was Sie als Nächstes tun
Vier Schritte in dieser Reihenfolge. Die ersten drei kosten nichts außer Zeit und entscheiden trotzdem darüber, ob aus dem Vorhaben ein Betrieb wird.
Wenn Sie unsicher sind, welche der sieben Fragen bei Ihnen die harte ist, gehen wir sie mit Ihnen durch. Nach einer halben Stunde wissen Sie, ob die IT-Leitung freigeben kann oder ob zuerst eine andere Baustelle an der Reihe ist.
In dieser Reihenfolge
- Die sieben Fragen weitergeben. An die IT-Leitung, bevor ein Anbieter im Unternehmen war. Was daran unbeantwortbar ist, ist Ihre erste Aufgabe.
- Antworten schriftlich einholen. Vom Anbieter, mit Verweis auf die Stelle in seiner Dokumentation. Zusagen im Gespräch überstehen die erste Störung nicht.
- Zwanzig Prüffragen sammeln. Echte Fragen aus dem Innendienst, dem Service und der Verwaltung, jede mit der richtigen Antwort daneben.
- Den Betriebsrat früh einbeziehen. Vor der Inbetriebnahme, nicht danach, sobald Fragen der Belegschaft aufgezeichnet werden sollen.
Im Einzelnen
Was das BSI zum Stand September 2026 vorlegt
Das BSI hat am 6. Juli 2026 den Community Draft des Prüfkatalogs A5 veröffentlicht, ausgeschrieben AI Audit and Assurance Assessment Architecture, gedacht für die Bewertung vertrauenswürdiger KI-Systeme. Anmerkungen und Anregungen konnten bis zum 31. August 2026 über einen Kommentierungsbogen per E-Mail an das BSI geschickt werden. Diese Frist ist zum Redaktionsstand dieses Textes abgelaufen. A5 ist damit ein Entwurf, kein verbindlicher Katalog, und ein Datum für eine Verabschiedung ist uns nicht bekannt.
Für Ihre Prüfliste heißt das: A5 taugt als Ausblick und als Beleg dafür, dass an einer Prüfarchitektur gearbeitet wird. Es taugt nicht als Maßstab, den Sie heute anlegen, und nicht als Siegel, mit dem ein Anbieter werben darf.
Daneben gibt es einen Kriterienkatalog des BSI zum Einsatz generativer KI in der Bundesverwaltung, veröffentlicht am 24. Juni 2025. Wir nennen hier nur Existenz und Datum, weil wir den Katalog für diesen Text nicht selbst gelesen haben; mehrere Sätze, die im Netz als BSI-Vorgabe zitiert werden, darunter eine sehr konkrete zur Netztrennung, ließen sich im Original nicht finden. Wer den Katalog als Maßstab anlegen will, öffnet ihn selbst. Bis dahin ist die Prüfliste in diesem Text aus dem gebaut, was ohnehin gilt: die Fragen, die Ihr Unternehmen vor jeder neuen Anwendung stellt.
Geprüft wird der Betrieb, nicht die KI
Keine der sieben Fragen ist eine Frage über künstliche Intelligenz. Betriebsort, Anmeldung, Rechte, Aktualisierung, Ausfall, Aufzeichnung, Übergabe: Das ist die Prüfliste, die Ihre IT vor jeder neuen Anwendung abarbeitet.
Neu ist nur, wo die Antworten liegen. Nicht im Datenblatt, sondern im Index, in der Modellversion und in den aufgezeichneten Fragen der Belegschaft. Wer diese drei Stellen benennen kann, hat die Freigabe beisammen.
Lokale KI, gebaut und betrieben
Genau die Punkte aus dieser Liste, an Ihrem Netz und Ihrem Verzeichnis entlang geplant. Planung individuell, Aufbau zum Festpreis nach der Planung, Betrieb nach Vereinbarung.
Weiterlesen
- Technische Dokumentation durchsuchbar machen Der Bericht zu dem Fall: was gebaut wurde, womit, seit wann es läuft und was offen geblieben ist.
- Lokale KI im eigenen Netz Was ein Aufbau im eigenen Unternehmen umfasst, in welchen Schritten er läuft und wie der Betrieb geregelt wird.
- Was der Betrieb im eigenen Unternehmen kostet Die Aufstellung gegen einen Cloud-Dienst, mit den Posten, die dabei regelmäßig vergessen werden.