KI im Managementsystem – ein Praxisleitfaden für Auditoren und was die neue ISO/IAF-Guidance zur ISO 9001 für die Auditpraxis bedeutet

16. Sept.

KI-gestützte Lieferantenbewertungen, Predictive Maintenance oder automatische Qualitätskontrollen: KI steckt längst selbstverständlich in den alltäglichen Prozessen vieler Unternehmen. Für Auditorinnen und Auditoren stellt sich deshalb zunehmend die Frage: Was genau muss ich prüfen – und wie tief muss ich technisch einsteigen?

Die ISO 9001 Auditing Practices Group hat dazu im Mai 2026 eine Guidance mit dem Titel „Auditing a Quality Management System that uses Artificial Intelligence (AI) systems“ veröffentlicht.

Die beruhigende Nachricht vorweg: Das Papier verlangt keine neuen Auditmethoden und verändert die Auditziele nicht. KI-Systeme sind aus Sicht der Guidance im Kern fortgeschrittene Werkzeuge – mit hohem Potenzial für Verbesserung ebenso wie für Missbrauch. Was sie verlangen, ist zusätzliches Wissen und weiterentwickelte Kompetenz auf Seiten der Auditoren. Dieser Beitrag übersetzt die Guidance in einen Leitfaden für die tägliche Auditarbeit.

Schritt 1: KI-Einsatz im Unternehmen identifizieren

Der häufigste Fehler im Audit ist, KI ausschließlich in der IT zu suchen. Die Guidance listet hierfür eine ganze Reihe von Prozessen auf, in denen KI-Systeme häufig zum Einsatz kommen:

· Design und Entwicklung: Produktentwürfe erzeugen und Parameter optimieren

· Lieferantenbewertung: algorithmisches Scoring über große Datenmengen, Überwachung von Lieferantenrisiken

· Bestandsführung: algorithmisch nachgeführte Bestände, Bedarfs- und Absatzprognosen

· Kundenkontakt über Chatbots: automatisierte Antwortsysteme und Empfehlungsmaschinen

· Instandhaltung und Qualitätskontrolle: predictive maintenance und automatisierte Fehlererkennung, z.B. mittels Bilderkennung.

· Produktion und Prozesse: Produktionsautomatisierung mit Echtzeit-Anpassungen, Prozessoptimierung

· Personalentwicklung: Personalisierte Lernpfade

· Compliance: Überwachung von Compliance und Risiken.

In der Praxis heißt das: Fragen Sie nicht „Setzen Sie KI ein?“, sondern gehen Sie in die Prozesse und prüfen Sie prozessbezogen. Viele Organisationen nutzen KI, ohne es so zu nennen – als Funktion im ERP-System, als Modul der Instandhaltungssoftware, als Assistenzfunktion im Office-Paket.

Schritt 2: Verstehen, was ein KI-System vom klassischen Werkzeug unterscheidet

Die Guidance greift die Definition aus ISO/IEC 22989 auf: Ein KI-System ist ein technisches System, das für vorgegebene menschliche Ziele Ergebnisse wie Inhalte, Prognosen, Empfehlungen oder Entscheidungen erzeugt. Für das Audit kann es sehr hilfreich sein, das System in seine Bestandteile zu zerlegen:

· ein oder mehrere Modelle

· die Daten für Training und Betrieb

· die unterstützende Infrastruktur aus Hardware, Plattformen, Datenspeicher und Monitoring

· die Benutzeroberfläche, über die Mitarbeitende mit dem System arbeiten und seine Ergebnisse interpretieren

Entlang dieser vier Komponenten lässt sich sehr gut lokalisieren, wo Risiken und Chancen entstehen.

Der wesentliche Unterschied zu klassischer Software liegt darin, dass Ergebnisse von KI-Systemen stärker von Daten, Modellen und Nutzungskontext abhängen und oft nicht vollständig deterministisch oder transparent sind. Auch ohne technische Veränderung des Modells kann sich seine Leistungsfähigkeit verändern, wenn sich Daten oder Einsatzbedingungen verschieben. Deshalb brauchen KI-Systeme laufende Überwachung, Validierung und Governance: Klassische Qualitätskontrollen allein reichen hier häufig nicht aus.

Schritt 3: Die Auditvorbereitung – drei Fragen vor dem Audit

Die Guidance formuliert für die Vorbereitung vier Aufgaben:

1. Wo wird innerhalb des QMS KI eingesetzt?

2. Welche Funktion übernimmt die KI im jeweiligen Prozess?

3. Wer trägt Verantwortung für Einsatz, Überwachung und Ergebnisse von KI?

Anhand dieser Kriterien können anschließend die Auswirkungen auf Auditumfang, -zeit und Stichproben abgeschätzt werden.

Schritt 4: KI im Audit

Für die Auditdurchführung lassen sich fünf zentrale Leitfragen ableiten:

1. Welche Entscheidung oder Tätigkeit unterstützt bzw. übernimmt die KI? Wie beeinflusst sie den Prozessablauf?

2. Welche Daten gehen hinein und wie wird deren Qualität sichergestellt?

3. Wie wird geprüft, ob das Ergebnis korrekt bzw. geeignet ist und der KI-Einsatz weder die Konformität noch die Prozesslenkung noch das Erreichen der QMS-Ziele beeinträchtigt?

4. Wann muss ein Mensch prüfen, eingreifen oder freigeben?

5. Was passiert bei fehlerhaften, unerwarteten oder nicht plausiblen Ergebnissen?

Besondere Aufmerksamkeit verdienen dabei auch Datenschutz, Informationssicherheit, Vertraulichkeit und geistiges Eigentum. Zu prüfen ist beispielsweise, welche Informationen in externe KI-Systeme eingegeben werden dürfen, wie mit personenbezogenen oder vertraulichen Daten umgegangen wird und ob Rechte an geistigem Eigentum und Lizenzbedingungen eingehalten werden.

Den Kern der Guidance bildet eine kapitelweise Sammlung von möglichen KI-relevanten Auditthemen. Sie ist ausdrücklich nicht abschließend, und ihre Anwendbarkeit hängt vom konkreten Anwendungsfall, von der Rolle des betroffenen Prozesses und von der möglichen Auswirkung auf Kunden-, gesetzliche und behördliche Anforderungen ab. Eine Übersicht dieser Themen findet sich im Anhang dieses Blogartikels.

Schritt 5: Die eigene Kompetenz – was Auditoren jetzt mitbringen müssen

Wer KI im QMS identifizieren, ihre Auswirkungen auf Prozesse bewerten und die richtigen Nachweise einfordern will, braucht dafür auch die entsprechende Kompetenz. Damit richtet die Guidance den Blick abschließend auf die Auditorinnen und Auditoren Selbst und benennt sechs Kompetenzfelder, die sich gut als persönliche Entwicklungsagenda lesen lassen:

1) Ein grundlegendes Verständnis von KI-Konzepten gehört dazu – maschinelles Lernen, Predictive Analytics, Sprachverarbeitung und gängige Automatisierungswerkzeuge

2) Risikobewusstsein für Modell-Drift, Bias, fehlende Transparenz in Entscheidungen, Cybersicherheitslücken und ethische Fragen.

3) Daten- und Digitalkompetenz meint das Verständnis dafür, wie Daten erhoben, aufbereitet, genutzt und überwacht werden und wie Datenqualität, Integrität und Governance auf die Ergebnisse durchschlagen.

4) Die Fähigkeit, Prozessauswirkungen zu bewerten – also zu beurteilen, wie KI Prozesslenkung, Rollen, Verantwortlichkeiten, Validierung und Monitoring verändert

5) Ein Bewusstsein für rechtliche und ethische Entwicklungen rund um Privatsphäre, Sicherheit, Transparenz und Rechenschaft sowie

6) Ein Überblick über die KI-Werkzeuglandschaft: vorausschauende Instandhaltung, Bilderkennung in der Prüfung, Optimierung von Lieferketten, digitale Zwillinge, personalisierte Schulungslösungen.

Auditorinnen und Auditoren müssen KI-Systeme dabei nicht technisch entwickeln oder bis ins letzte Detail verstehen können. Entscheidend ist, ausreichend Kompetenz zu besitzen, um relevante Risiken zu erkennen, geeignete Nachweise einzufordern und die Wirksamkeit der festgelegten Steuerungsmaßnahmen beurteilen zu können.

Fazit: gleiche Methode, schärferer Blick

Das Auditieren eines Managementsystems in einer Organisation, die KI einsetzt, erfordert nach der Guidance vor allem eines: eine gezielte Bewertung, wie diese Technologien Prozesse, Risiken, Chancen, Leistung und Entscheidungsfindung beeinflussen. KI bringt Chancen für Qualität, Konsistenz und Effizienz mit sich, verlangt aber neue Formen von Governance und Aufsicht, um unbeabsichtigte Ergebnisse zu vermeiden. Dem Audit fällt dabei eine wichtige Rolle zu: unabhängig zu bewerten, wie KI-Systeme Prozesslenkung, Kundenzufriedenheit und Konformität beeinflussen – und damit das Bewusstsein der Organisation für diese Wirkungen zu schärfen.

KI verändert nicht die Grundlogik des Audits – aber sie verändert, worauf Auditorinnen und Auditoren achten müssen. Entscheidend ist nicht, die Technologie im Detail zu auditieren, sondern zu verstehen, welchen Einfluss sie auf Prozesse, Entscheidungen, Risiken und Konformität hat und ob dieser Einfluss angemessen gesteuert wird.

Hinweis: Für die eigene Vorbereitung empfiehlt die Guidance ergänzende Lektüre: ISO/IEC 22989:2022 zu KI-Konzepten und Terminologie, ISO/IEC 23894:2023 zum Risikomanagement für KI sowie das APG-Papier zum Auditieren digitaler Prozesse. Zu beachten ist, dass das Papier kein normatives Dokument ist: Es hat kein Freigabeverfahren durch ISO, das ISO/TC 176 oder das IAF durchlaufen, dient Bildungs- und Kommunikationszwecken, und die ISO 9001 Auditing Practices Group übernimmt keine Verantwortung für Fehler oder Auslassungen. Als Arbeitsgrundlage für das nächste Audit ist es trotzdem ausgesprochen brauchbar.