↓ Zum Hauptinhalt springen
oestreich.digital

Das Audit

Inhaltsverzeichnis

KI-Readiness- & Schatten-KI-Audit · Engineering und R&D

Drei Tage, sieben Prüfbereiche, ein Fahrplan

Niemand ruft mich an und sagt: »Wir brauchen KI-Governance.«

Sie sagen: »Ich weiß ehrlich gesagt nicht, was meine Leute nutzen.«
Oder: »Wir haben das verboten — ob es funktioniert hat, kann ich nicht sagen.«
Oder: »Ein Kunde hat uns nach unserer KI-Richtlinie gefragt. Wir haben keine.«

Der Audit beantwortet genau diese Fragen. Nicht abstrakt, sondern an Ihren Daten, Ihren Tools und Ihren Abläufen.

3Tage

in Ihrem Haus.

7Prüfbereiche

mit Ampelbewertung

2500€

Festpreis, netto

Was ich feststelle — und was ich nicht bewerte
#

Ich bin Ingenieur, kein Jurist. Ich beurteile nicht die Rechtslage. Ich mache den technischen und organisatorischen Zustand sichtbar, an dem die Rechtslage hängt.

Konkret: Ob für ein bestimmtes Dokument der Geheimnisschutz entfallen ist, beurteilt Ihre Rechtsberatung. Ob dieses Dokument überhaupt in einem öffentlichen Tool gelandet ist, welche Daten dort regelmäßig hineingehen und ob Sie das im Zweifel belegen könnten — das ist eine technische Frage, und die beantworte ich.

Der Befund in jedem Prüfbereich ist deshalb dreiteilig:

Was tatsächlich passiert: Welche Daten, welches Tool, welcher Account?
Woran das anknüpft. Als Kontext, ohne Bewertung des Einzelfalls.
Die rechtliche Einordnung gehört auf den Tisch Ihrer Rechtsberatung.

Sieben Bereiche
#

1 · Schatten-KI-Nutzung
Welche öffentlichen Tools werden genutzt — für welche Aufgaben, mit welchen Daten, über welche Konten, mit oder ohne Freigabe. Typisch: Testreports, Code- und Skripthilfe, Datenauswertung, Übersetzung von Spezifikationen, Zusammenfassen von Lastenheften.
2 · Datentypen und Sensibilität
Welche Datenkategorien gelangen tatsächlich hinein. Einstufung nach Schutzbedarf: öffentlich, intern, vertraulich, streng vertraulich. Besondere Aufmerksamkeit für Kunden-IP unter NDA und für personenbezogene Daten.
3 · Governance und Freigabeprozesse
Existiert eine KI-Richtlinie? Ist sie den Beschäftigten bekannt? Wird sie gelebt? Gibt es einen Weg, ein Tool freigeben zu lassen — und wie lange dauert er? Ein Freigabeprozess, der acht Wochen braucht, erzeugt Schatten-KI, er verhindert sie nicht.
4 · Nachweisbarkeit
Könnten Sie im Streitfall belegen, welche Maßnahmen bestanden und dass sie gelebt wurden? Das ist der Punkt, an dem das BAG-Urteil ansetzt und an dem die meisten Häuser leer ausgehen.
5 · KI-Reife der Engineering-Daten
Wie liegen Prüf-, Mess- und Simulationsdaten vor? Strukturiert, versioniert, maschinell zugänglich — oder in gewachsenen Ordnerstrukturen und Einzeltabellen? Das entscheidet, ob eine interne Alternative überhaupt gebaut werden kann oder ob zuerst aufgeräumt werden muss.
6 · Verfügbare sichere Alternativen
Was steht dem Team heute zur Verfügung, und warum wird es nicht genutzt? In den meisten Fällen ist die Antwort nicht Nachlässigkeit, sondern dass die freigegebene Lösung schlechter ist als die verbotene.
7 · Zeitverlust durch manuelle Datenarbeit
Wie viele Ingenieurstunden gehen pro Prüfstandslauf, pro Messreihe, pro Report in reinen Datentransport? Das ist der Bereich, der den Audit refinanziert — und der Grund, warum das Ergebnis nicht nur aus Risiken besteht.

Jeder Bereich wird mit einer Ampel bewertet: unkritisch, Handlungsbedarf, akutes Risiko.

Wie ein Befund aussieht
#

Drei Befunde aus dem Musteraudit, in den drei Bewertungsstufen. Sie sind nach demselben Schema aufgebaut wie das, was Sie am Ende auf dem Tisch haben.

Bewertung: Akutes Risiko. Bereich 4 — Nachweisbarkeit
Sachverhalt
Im Arbeitsvertrag steht eine Verschwiegenheitsklausel, im IT-Nutzungshinweis ein allgemeines Verbot nicht freigegebener Dienste. Es liegen keine Nachweise darüber vor, wann welche Regelung an wen kommuniziert wurde, keine Schulungsdokumentation und keine Protokollierung der tatsächlich genutzten Werkzeuge. Auf die Frage, welche Maßnahmen im Streitfall belegbar wären, konnte keine Stelle im Haus eine Antwort geben.
Normbezug
§ 2 Nr. 1b GeschGehG knüpft den Schutz als Geschäftsgeheimnis an angemessene Geheimhaltungsmaßnahmen. Das Bundesarbeitsgericht hat 2024 klargestellt, dass pauschale Klauseln dafür nicht genügen — es braucht dokumentierte, gelebte Maßnahmen. BAG, Urteil vom 17.10.2024 — 8 AZR 172/23
Abgabe
Ob die vorhandenen Maßnahmen im konkreten Fall ausreichen, beurteilt Ihre Rechtsberatung. Dass zu ihrer Umsetzung keine Nachweise existieren, ist keine Rechtsfrage — das ist ein Zustand, und er lässt sich in zwei Wochen ändern.

Demonstrationsbefund aus dem Musteraudit.

Bewertung: Handlungsbedarf. Bereich 3 — Governance und Freigabeprozesse
Sachverhalt
Eine KI-Richtlinie existiert und liegt im Intranet. Von sechs befragten Ingenieuren kannten zwei sie, keiner konnte ihren Inhalt sinngemäß wiedergeben. Ein Freigabeweg für neue Werkzeuge ist definiert und führt über IT, Datenschutz und Einkauf; die zuletzt abgeschlossene Freigabe hat elf Wochen gedauert.
Normbezug
Art. 4 der KI-Verordnung verpflichtet seit Februar 2025 dazu, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen. Eine Richtlinie, die zwei von sechs Personen kennen, trägt dazu wenig bei.
Abgabe
Hier ist wenig zu bewerten und viel zu tun. Der Engpass ist nicht das fehlende Dokument, sondern seine Bekanntheit — und die Freigabedauer. Elf Wochen erzeugen Schatten-KI zuverlässiger als jede fehlende Regelung.

Demonstrationsbefund aus dem Musteraudit.

Bewertung: Unkritisch. Bereich 7 — Zeitverlust durch manuelle Datenarbeit
Sachverhalt
Die Auswertung der Dauerlaufprüfstände ist seit zwei Jahren automatisiert. Messdaten laufen ohne manuelle Zwischenschritte in die Auswertung und von dort in die Ablage. Über vier Wochen Stichprobe war in diesem Pfad kein nennenswerter manueller Datentransport feststellbar.
Normbezug
Kein Normbezug. Dieser Bereich betrifft Effizienz, nicht Schutzpflichten.
Abgabe
Nichts abzugeben und nichts zu tun. Das Budget gehört in die Bereiche 4 und 5, nicht hierher.

Demonstrationsbefund aus dem Musteraudit.

Ein vollständiger Audit umfasst sieben solcher Bewertungen, dazu die Sofortmaßnahmen und den Fahrplan. Die Präsentation dauert etwa neunzig Minuten, weil die Diskussion im Raum den halben Wert ausmacht.

Von der ersten Frage bis zum Fahrplan
#

20 Minuten, kostenlos. Ich frage, Sie erzählen. Am Ende sage ich Ihnen, was ich höre, und ob ein Audit bei Ihnen überhaupt sinnvoll ist. Wenn nicht, sage ich das. Das kommt vor.
Vor Ort oder remote. Zugänge, Ansprechpartner, Terminierung der Interviews. Ich brauche Zugang zu Menschen, nicht zu Systemen. Es wird nichts installiert und nichts mitgeschnitten.
Drei Tage. Gespräche mit Entwicklungs-, Test- und Simulationsmitarbeitern. Sichtung der Datenwege und der bestehenden Regelungen. Die Gespräche sind vertraulich: Ich berichte Muster, keine Namen. Das ist die Bedingung dafür, dass mir überhaupt jemand die Wahrheit sagt.
Live vor dem Team. Kein PDF, das ich schicke. Ich lege die Befunde persönlich vor, mit dem Team im Raum, weil die Diskussion im Raum den halben Wert ausmacht.
Sofortmaßnahmen und Fahrplan. Was in den ersten zwei Wochen ohne Budget umsetzbar ist. Und ein priorisierter 90-Tage-Fahrplan für alles andere.

Preis, Garantie, Grenzen
#

2.500 € netto, Festpreis. Keine Tagessätze, keine Nachträge, keine Reisekostenüberraschung.

Kein relevanter Befund, kein Honorar. Wenn ich nach drei Tagen nichts finde, was Ihre Aufmerksamkeit verdient, stelle ich nichts in Rechnung. Das Risiko trage ich, nicht Sie.

Was nicht enthalten ist: eine Rechtsberatung, ein Penetrationstest, ein Datenschutz-Audit im Sinne einer förmlichen DSGVO-Prüfung und die Umsetzung selbst. Umsetzung ist ein eigener Auftrag, und es gibt keine Verpflichtung, ihn an mich zu vergeben.

Wenn Sie unsicher sind, ob es bei Ihnen ein Thema ist
#

Dann ist es wahrscheinlich eins. Die ehrlichste Antwort, die ich in diesen Gesprächen höre, ist »ich weiß es nicht« — und sie ist meistens auch die zutreffendste.

Zwanzig Minuten kosten nichts und verpflichten zu nichts.

20-Min-Risikogespräch