BSI A5: Beratung und Prüfung für KI-Dienste

Ihr Experte für Fragen

Hendrik Reese
Partner, Responsible AI Lead bei PwC Deutschland
E-Mail

Mit PwC strukturiert zur A5-Prüfungsreife

KI-Systeme müssen heute gleichzeitig leistungsfähig sein und ihre Vertrauenswürdigkeit nachvollziehbar belegen. Mit der AI Audit and Assurance Assessment Architecture (A5) entwickelt das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine modulare Prüfarchitektur für KI-Systeme. Sie verbindet Anforderungen an Governance, Entwicklung, Validierung und Betrieb mit einer unabhängigen Prüfung nach ISAE 3000.

PwC begleitet Sie von der ersten Einordnung bis zur Prüfungsreife: Wir grenzen das Bewertungsobjekt ab, identifizieren relevante Anforderungen, bewerten vorhandene Kontrollen und Nachweise und priorisieren den Handlungsbedarf. Sofern PwC nicht mit der Prüfung beauftragt ist, unterstützen wir Sie zudem beim Aufbau oder bei der Anpassung Ihrer AI Governance und bei der Umsetzung erforderlicher Maßnahmen.

Unser Responsible-AI-Team verbindet langjährige Erfahrung in AI Governance, Regulatorik, und Assurance. Nach der finalen Veröffentlichung von A5 führen wir unter Beachtung der Unabhängigkeitsanforderungen auch die Prüfung durch und erstellen den Prüfbericht.

„Wir verbinden fundierte AI-Governance-Kompetenz mit Umsetzungserfahrung und unabhängiger Assurance – für einen strukturierten und belastbaren Weg zur A5-Prüfungsreife.“

Hendrik Reese,Partner, Responsible AI Lead bei PwC Deutschland

Ihre Vorteile auf dem Weg zur A5-Prüfung

Sie erhalten eine klare Einordnung der für Ihr KI-System relevanten A5-Anforderungen, bestehender Lücken und der priorisierten Schritte bis zur Prüfungsreife in Ihrem Unternehmen.

Wir verbinden A5-Readiness mit tragfähiger AI Governance: klare Rollen, wirksame Kontrollen und Prozesse, die weitere regulatorische Vorgaben berücksichtigen.

Sie erhalten eine unabhängige Prüfung nach der A5-Prüfmethodik und einen belastbaren Prüfbericht für Kunden, Aufsicht, Beschaffung und weitere externe Stakeholder.

Unser Responsible-AI-Team vereint langjährige Erfahrung in AI Governance, Regulatorik, Kontrollsystemen und unabhängiger Assurance für komplexe KI-Systeme.

A5 macht die Vertrauenswürdigkeit von KI-Systemen prüfbar

Modulare Prüfarchitektur für vertrauenswürdige KI

Mit A5 entwickelt das BSI einen einheitlichen Rahmen, um die Vertrauenswürdigkeit von KI-Systemen strukturiert zu beurteilen und durch eine unabhängige Prüfung nachzuweisen. Die Prüfarchitektur richtet sich an Akteure entlang der KI-Wertschöpfungskette und betrachtet sowohl technische als auch organisatorische Kontrollen. Im Mittelpunkt steht ein eindeutig abgegrenztes Bewertungsobjekt, beispielsweise ein KI-System, eine Anwendung, ein Modell oder eine Komponente.

Das horizontale Trustworthiness-Basismodul begleitet den gesamten Lebenszyklus: von Governance, Compliance und Scope über Design, Entwicklung, Integration und Validierung bis zu Bereitstellung, Betrieb, Überwachung und Außerbetriebnahme. Zu den relevanten Themen gehören unter anderem Risikomanagement, Datenqualität, Transparenz, menschliche Aufsicht, Robustheit, Performance und Monitoring.

Von Anforderungen zu prüfbaren Kontrollen

Für A5-Readiness genügt es nicht, Richtlinien und technische Dokumentationen zusammenzustellen. Unternehmen müssen anwendbare Kriterien in geeignete Kontrollen übersetzen, Verantwortlichkeiten festlegen und belastbare Nachweise für deren Durchführung schaffen. Dafür sind unter anderem eine klare Systembeschreibung, dokumentierte Prozesse, technische Tests, Freigaben, Protokolle und Monitoring-Ergebnisse erforderlich.

Die Prüfmethodik baut auf ISAE 3000 auf. Eine erstmalige Prüfung („Type 1“ beurteilt insbesondere, ob die beschriebenen Kontrollen angemessen ausgestaltet und eingerichtet sind. Bei einer Folgeprüfung („Type 2“) wird zusätzlich ihre Wirksamkeit über einen festgelegten Zeitraum betrachtet. Deshalb sollte die Vorbereitung frühzeitig beginnen.

Erfahrung in AI Governance und Assurance

PwC verbindet tiefgehende Erfahrung in AI Governance, Implementierung und Regulatorik mit Kompetenz in der Gestaltung interner Kontrollsysteme und unabhängiger Assurance. Wir berücksichtigen vorhandene Strukturen und Nachweise, schaffen Synergien mit weiteren regulatorischen Anforderungen und entwickeln einen zur Ausgangslage Ihres Unternehmens passenden Weg zur A5-Prüfungsreife.

Sprechen Sie mit unserem Responsible-AI-Team

Klären Sie Ihre nächsten Schritte zur A5-Readiness

Unsere Leistungen für Ihre A5-Prüfungsreife

A5 Gap Assessment
AI Governance umsetzen
Prüfung und Prüfbericht

A5 Gap Assessment

In einem Scoping-Workshop klären wir Ihre Rolle in der KI-Wertschöpfungskette und grenzen das zu betrachtende KI-System einschließlich seiner Komponenten und Schnittstellen ab. Anschließend untersuchen wir in Interviews Ihre Governance, Prozesse, Kontrollen und Nachweise anhand der relevanten A5-Kriterien. Sie erhalten eine nachvollziehbare Übersicht über bestehende Lücken, Risiken und Handlungsfelder sowie eine priorisierte Roadmap, mit der Sie die nächsten Schritte zur Prüfungsreife planen können.

AI Governance umsetzen

Sofern PwC nicht mit der unabhängigen Prüfung beauftragt ist, begleiten wir Sie beim Aufbau oder bei der Anpassung Ihrer AI Governance. Gemeinsam definieren wir Rollen, Prozesse und Kontrollen, definieren die erforderliche System- und Kontrolldokumentation und verankern geeignete Nachweisprozesse. Dabei berücksichtigen wir neben A5 auch weitere relevante Vorgaben, etwa den EU AI Act, und unterstützen auf Wunsch bei Projektmanagement, Reporting und Schulungen.

Prüfung und Prüfbericht

Nach der finalen Veröffentlichung von A5 führen wir unter Beachtung der geltenden Unabhängigkeitsanforderungen die Prüfung Ihres abgegrenzten KI-Systems durch. Dazu stimmen wir Bewertungsobjekt, Prüfungsumfang, Stichtag oder Zeitraum und benötigte Nachweise mit Ihnen ab. Wir prüfen die Systembeschreibung sowie die Ausgestaltung und Einrichtung der relevanten Kontrollen und bei Folgeprüfungen zusätzlich deren Wirksamkeit. Abschließend erhalten Sie einen unabhängigen Prüfbericht.

Häufig gestellte Fragen

Wir unterstützen Sie beim Scoping und Gap Assessment, bei der Herstellung der A5-Readiness und – unter Beachtung der Unabhängigkeitsanforderungen – bei der unabhängigen Prüfung. Sofern PwC nicht als Prüfer beauftragt ist, begleiten wir Sie beim Aufbau oder bei der Anpassung Ihrer AI Governance und bei der Umsetzung erforderlicher Kontrollen und Nachweise.

Im Gap Assessment grenzen wir zunächst das relevante KI-System und die anwendbaren A5-Kriterien ab. Anschließend bewerten wir bestehende Governance-Strukturen, Prozesse, Kontrollen und Nachweise. Das Ergebnis zeigt transparent, welche Anforderungen bereits adressiert sind, wo Lücken bestehen und welche Maßnahmen für die Prüfungsreife priorisiert werden sollten.

Sofern PwC nicht mit der Prüfung beauftragt ist, unterstützen wir beim Aufbau oder bei der Anpassung Ihrer AI Governance. Dazu gehören Rollen, Prozesse, Kontrollen, System- und Kontrolldokumentation sowie geeignete Nachweise. Auf Wunsch übernehmen wir außerdem das Projektmanagement und Reporting oder führen Schulungen für Kontrollverantwortliche und weitere Beteiligte durch.

Sobald das BSI A5 final veröffentlicht hat, prüfen wir Ihr KI-System und stellen Ihnen den entsprechenden Prüfbericht aus. Zuvor stimmen wir Umfang und Vorgehen eng mit Ihnen ab und entwickeln einen Prüfplan, der genau zu Ihrer individuellen Situation passt. So bleibt der Ablauf für Sie planbar und transparent.

Beratungs- und Prüfungsleistungen müssen die geltenden Unabhängigkeitsanforderungen erfüllen. Ist PwC mit der unabhängigen Prüfung beauftragt, können unsere Unterstützungsleistungen daher eingeschränkt sein. Ist PwC nicht als Prüfer tätig, können wir Sie umfassend beim Aufbau Ihrer AI Governance und bei der Umsetzung der erforderlichen Maßnahmen begleiten.

Für cloudbasierte KI-Systeme sieht A5 ein Betriebsmodul Cloud-Infrastruktur mit Verbindung zum BSI C5 vor. Ein vorhandener C5-Prüfbericht kann relevante Nachweise liefern, erfüllt die A5-Anforderungen aber nicht automatisch. Entscheidend ist, ob unter anderem Scope, Prüfungszeitraum und abgedeckte Cloud-Komponenten zum betrachteten KI-System passen.