KI-Managementsystem · Informationssicherheit

KI-Nutzung erfassen, Risiken bewerten, Maßnahmen festlegen

Ich unterstütze Geschäftsführung, IT-Leitung und Qualitätsmanagement in mittelständischen Unternehmen. Gemeinsam erfassen wir, welche KI-Werkzeuge in Ihrem Unternehmen im Einsatz sind, bewerten die Risiken jedes Einsatzes und halten das Ergebnis in einem priorisierten Maßnahmenplan fest. Soll diese Prüfung regelmäßig und nachweisbar stattfinden, baue ich mit Ihnen ein KI-Managementsystem nach ISO/IEC 42001 auf – auf Wunsch zusammen mit einem Informationssicherheits-Managementsystem nach ISO/IEC 27001.

Erstgespräch vereinbaren

Drei von vier Unternehmen stellten 2025 keine freigegebenen KI-Werkzeuge bereit

Eine Bitkom-Befragung deutscher Unternehmen aus dem Jahr 2025 ergab: Nur 26 Prozent stellten ihren Beschäftigten freigegebene KI-Werkzeuge bereit, nur 23 Prozent hatten verbindliche Regeln für die KI-Nutzung, und in mehr als vier von zehn Unternehmen wussten oder vermuteten die Verantwortlichen, dass Beschäftigte private KI-Werkzeuge im Arbeitsalltag nutzen.

Seitdem ist der Anteil der Unternehmen, die KI nutzen, von 36 auf 57 Prozent gestiegen (Bitkom 2026). Wer nicht weiß, welche KI-Werkzeuge im Einsatz sind und welche Daten dort eingegeben werden, kann die Risiken dieser Nutzung weder bewerten noch begrenzen. Deshalb steht am Anfang eine Bestandsaufnahme: das KI-Inventar.

Quellen: Bitkom, Presseinformationen vom Oktober 2025 und 14.09.2026

Das KI-Inventar können Sie selbst erstellen: Der Leitfaden „KI-Risiken im Unternehmen sicher steuern“ enthält dafür eine Excel-Vorlage. Wenn Sie Unterstützung möchten, erstelle ich das KI-Inventar gemeinsam mit Ihrer IT-Leitung im Schatten-KI-Check.

Zum Leitfaden mit Vorlage Zum Schatten-KI-Check

Leistungen

Das KI-Compliance-Dossier beantwortet die KI-Fragen Ihrer Kunden in Due-Diligence-Fragebögen. Der Schatten-KI-Check zeigt, welche KI-Werkzeuge in Ihrem Unternehmen tatsächlich genutzt werden, und die Schulung befähigt Ihre Beschäftigten, KI-Werkzeuge mit der nötigen Kompetenz einzusetzen. Soll die Prüfung regelmäßig und nachweisbar stattfinden oder verlangt ein Kunde eine Zertifizierung, baue ich mit Ihnen ein Managementsystem nach ISO/IEC 42001 oder ISO/IEC 27001 auf.

Das KI-Compliance-Dossier: Vorbereitet für B2B-Einkaufsprüfungen

Wenn Kunden oder Einkäufer in Due-Diligence-Fragebögen (DDQs) nach Ihrem Umgang mit KI fragen, liefert das KI-Compliance-Dossier die passenden Antworten – als strukturierte Selbstauskunft, ohne Zertifizierungsaudit und zu einem Bruchteil der Kosten einer formellen Zertifizierung.

Mehr zum KI-Compliance-Dossier

Antworten ohne Zeitverlust: Das Dossier enthält vorbereitete Antworten auf die üblichen KI-Fragen in B2B-Sicherheitsprüfungen. Sie liegen bereit, wenn die Anfrage eintrifft, und ergänzen Ihre bestehenden Auskünfte zur Informationssicherheit.
Belegt statt behauptet: Jede Antwort ist durch konkrete Dokumente hinterlegt: KI-Inventar, KI-Richtlinie, RACI-Zuständigkeiten, Risikobewertungen und Schulungsnachweise. Fehlt eine Unterlage, erstelle ich diese gemeinsam mit Ihnen – damit aus einem Vertriebshindernis ein belegbarer Nachweis wird.

Das Infosec-Compliance-Dossier: Sicherheitsfragen Ihrer Kunden belegt beantworten

In Lieferanten- und Sicherheitsfragebögen haken Kunden regelmäßig nach: Wie regeln Sie Zugriffsrechte, Backups, Notfallpläne und den Umgang mit Dienstleistern? Fallen Ihre Kunden unter NIS-2, verlangt das Gesetz von ihnen, die Sicherheitsrisiken in ihrer Lieferkette zu steuern – Lieferantenfragebögen sind ihr Werkzeug dafür. Das Infosec-Compliance-Dossier liefert Ihnen saubere, strukturierte Antworten – sofort einsatzbereit, ganz ohne teures Zertifizierungsaudit.

Mehr zum Infosec-Compliance-Dossier

Abgeleitet aus echten Fragebögen: Grundlage sind über 2.000 Fragen aus 27 Quellen, darunter BSI C5, VDA ISA, CSA CAIQ und die NIS-2-Lieferkettencheckliste des BSI. Das Dossier deckt ab, was Kunden tatsächlich fragen.
15 Kernunterlagen, modular auf Ihre Arbeit abgestimmt: von der Sicherheitsleitlinie über Zugriffs- und Notfallkonzepte bis hin zum fertigen Q&A-Katalog. Zusatzmodule decken Spezialthemen wie Softwareentwicklung, IT/Cloud-Betrieb, den eigenen Serverraum oder den Einsatz vor Ort beim Kunden ab.
Erster Schritt zur Zertifizierung: Die Unterlagen fließen in ein späteres ISMS nach ISO/IEC 27001 ein.

Schatten-KI-Check mit KI-Inventar

Gemeinsam mit Ihrer IT-Leitung erfasse ich, welche KI-Werkzeuge in Ihrem Unternehmen tatsächlich genutzt werden – auch solche, die niemand freigegeben hat. Das Ergebnis ist ein KI-Inventar: welche Werkzeuge, in welchen Abteilungen, mit welchen Daten. Das KI-Inventar fließt in ein späteres KI-Compliance-Dossier oder KI-Managementsystem ein.

Whitepaper: KI-Risiken im Unternehmen sicher steuern

KI-Kompetenz-Schulung

Artikel 4 der KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, die die KI-Kompetenz ihres Personals fördern. Seit der Änderung durch die Verordnung (EU) 2026/1744 muss dabei kein bestimmtes Kompetenzniveau mehr garantiert werden; die Pflicht zum Handeln bleibt. Ich schule Geschäftsführung, Fachbereiche und IT jeweils mit Inhalten für ihre Aufgaben und dokumentiere Inhalte und Teilnahme. So können Sie belegen, welche Maßnahmen Sie ergriffen haben.

KI-Managementsystem nach ISO/IEC 42001

Ein KI-Inventar zeigt den Stand an einem Tag. Kommen neue Werkzeuge oder neue Einsatzzwecke hinzu, muss die Prüfung wiederholt werden. ISO/IEC 42001 beschreibt dafür ein Managementsystem. Ich baue es mit Ihnen auf: Geltungsbereich, KI-Richtlinie, Rollen, Risiko- und Folgenabschätzung sowie die Erklärung zur Anwendbarkeit. Weil ISO/IEC 42001 dieselbe Grundstruktur hat wie andere ISO-Managementsystemnormen, lässt es sich in ein bestehendes Qualitäts- oder Informationssicherheitsmanagement einfügen. Wenn Kunden einen Nachweis über Ihren Umgang mit KI verlangen, bereite ich Sie auf das Zertifizierungsaudit vor. Das Audit selbst führt eine Zertifizierungsstelle durch.

ISMS nach ISO/IEC 27001 inkl. NIS-2-Anforderungen

Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz ohne Übergangsfrist. Betroffene Unternehmen müssen nach § 30 BSIG Maßnahmen zum Risikomanagement umsetzen; nach § 38 BSIG ist die Geschäftsleitung dafür persönlich verantwortlich. Ein ISMS nach ISO/IEC 27001 ist dafür ein naheliegender Rahmen. Ich erstelle mit Ihnen die Gap-Analyse, das Risikoregister, die Erklärung zur Anwendbarkeit und eine Zuordnung der Anforderungen aus § 30 BSIG zu den Maßnahmen in Anhang A der Norm. Zusammen mit einem KI-Managementsystem entsteht ein gemeinsamer Risikoprozess für Informationssicherheit und KI.

Whitepaper: NIS-2 auf Basis von ISO 9001 umsetzen

Vorgehen

So läuft die Zusammenarbeit ab – unabhängig davon, welche Leistung Sie wählen.

Erstgespräch

Sie schildern den Anlass, zum Beispiel einen Kundenfragebogen mit KI-Fragen oder den Verdacht auf Schatten-KI. Danach wissen Sie, welche Leistung passt und welcher Aufwand auf Ihrer Seite entsteht.

Angebot

Sie erhalten ein schriftliches Angebot mit Umfang, Ergebnissen und Zeitplan. Ergebnisse, die nicht im Angebot stehen, sind nicht Teil des Auftrags.

Vertraulichkeit

Bevor ich Unterlagen oder Werkzeuge einsehe, schließen wir eine Vertraulichkeitsvereinbarung. Ich arbeite nur mit den Zugängen, die Ihre IT-Leitung freigibt.

Übergabe

Alle Ergebnisse gehören Ihnen. Sie liegen in Formaten vor, die Sie selbst weiterpflegen können – Excel, Word oder Ihre Compliance-Plattform. Eine Abhängigkeit von mir entsteht nicht.

Ressourcen

Whitepaper für Geschäftsführung, IT-Leitung und Qualitätsmanagement – kostenlos und ohne Anmeldung.

Whitepaper · PDF

NIS-2 auf Basis von ISO 9001 umsetzen

Vom bestehenden QM-System zum wirksamen Informationssicherheitsmanagement – mit Praxisbeispiel, Fahrplan und Nachweismodell für den Mittelstand

Wer ein funktionierendes ISO-9001-System hat, muss den organisatorischen Rahmen für NIS-2 nicht neu aufbauen. Er erweitert das bestehende System und setzt Budget und Fachwissen dort ein, wo NIS-2 tatsächlich Neues verlangt: bei den Sicherheitsmaßnahmen. Das Whitepaper zeigt, welche Pflichten ab sofort gelten, welche Teile Ihres QM-Systems Sie weiterverwenden können und wo Sie neu aufbauen müssen.

Zum Whitepaper

Whitepaper · PDF · mit Excel-Vorlage

KI-Risiken im Unternehmen sicher steuern

Die zentralen Risikoquellen beim Einsatz von KI – und welche Maßnahmen sie begrenzen

Dieser Leitfaden für Geschäftsführung und IT-Leitung informiert sachlich über die zentralen Risikoquellen bei der Nutzung von KI – von der Weitergabe vertraulicher Daten bis zu ungeprüften KI-Ergebnissen. Zu jeder Risikoquelle nennt er empfohlene Maßnahmen. Mit der Excel-Vorlage führen Sie Ihre erste KI-Risikoinventur selbst durch.

Zum Whitepaper

Über mich

Seit 2023 arbeite ich intensiv mit generativer KI – und habe genau dort den steigenden Bedarf an klarer Compliance und Informationssicherheit erkannt. Heute unterstütze ich mittelständische Unternehmen dabei, KI nach klaren Regeln und ohne bürokratischen Overkill in ihre Geschäftsprozesse zu integrieren.

Meine Arbeit verbindet technische Praxis mit langjähriger B2B-Erfahrung: Für das Projekt SMITS entwickle ich derzeit ein Marktanalyse-System, das Stellenanzeigen aus der Informationssicherheit mittels LLMs und SQL-Mustererkennung auswertet. Zuvor war ich Produktmanager bei der InfoOffice GmbH und Marketing Director bei Red Dot Solutions in New York, wo ich im ersten Jahr auch Software implementiert und redaktionelle Workflows gestaltet habe.

Zudem bringe ich über 15 Jahre Erfahrung in der Weiterbildung von Fach- und Führungskräften mit – unter anderem für Automobilzulieferer, Maschinenbauer und Großkonzerne, für einzelne Kunden mit dokumentierten Weiterbildungszielen. Dadurch entstehen bei mir nicht nur abstrakte Richtlinien, sondern praxistaugliche Compliance-Prozesse, die von Teams verstanden und getragen werden.

KI-Governance und Informationssicherheit

Derek Carson

Lead-Implementer-Prüfungen für ISO/IEC 42001 und ISO/IEC 27001 bestanden · ISC2 Certified in Cybersecurity · Deutsch, Englisch, Spanisch

Was ich nicht übernehme

Rechtsgutachten erstellt Ihr Rechtsanwalt, Zertifizierungsaudits führt eine Zertifizierungsstelle durch, Penetrationstests übernehmen spezialisierte Anbieter. Ich benenne, wo eine dieser Leistungen nötig wird, damit Sie wissen, wen Sie dafür brauchen.

Für Berater in Datenschutz, Compliance und Informationssicherheit

Fragen Ihre Mandanten nach KI, übernehme ich diesen Teil des Mandats: KI-Compliance-Dossiers, KI-Managementsysteme nach ISO/IEC 42001 oder KI-Kompetenz-Schulungen – unter Ihrer Marke oder gemeinsam mit Ihnen. In ISMS-Projekten nach ISO/IEC 27001 arbeite ich Ihnen in der Umsetzung zu, auch bei der Verbindung mit einem KI-Managementsystem. Sie behalten die Mandantenbeziehung; ich liefere die KI-Kompetenz.

Kontakt

Standort

Künzell bei Fulda
Termine vor Ort deutschlandweit, auch remote

E-Mail

derek@carson.de

Telefon

0661 9452622