AIMS-Reifegrad: KI-Governance mit ISO 42001 × CMMI messen

Die häufigste Fehlannahme in KI-Governance-Projekten lautet: Ein Managementsystem ist entweder vorhanden oder es fehlt. Zertifikat ja oder nein. In der Praxis ist das ein Trugschluss. Zwischen „gar keine Governance" und „belastbar auditierbar" liegen mehrere Zwischenstufen, und der Unterschied zwischen ihnen entscheidet darüber, ob ein Unternehmen bis zum Enforcement-Datum am 02.12.2027 wirklich vorbereitet ist oder nur ein Ordnersystem angelegt hat. Genau diese Zwischenstufen macht ein Reifegradmodell sichtbar. AEGIRA nennt dieses Modell AIMS — die Verbindung aus ISO/IEC 42001:2023 als struktureller Norm und dem CMMI-Denken (v3) als Stufenlogik.

Warum ein KI-Managementsystem allein noch nichts über Reife sagt

ISO/IEC 42001 ist die erste international zertifizierbare Norm für ein KI-Managementsystem (AI Management System, AIMS im Sinne der Norm). Sie definiert, was eine Organisation etablieren muss: eine KI-Politik, Rollen und Verantwortlichkeiten, eine Risikobeurteilung für KI-Systeme, ein Statement of Applicability zu den Controls in Anhang A, sowie Prozesse für Überwachung, internes Audit und kontinuierliche Verbesserung nach dem PDCA-Zyklus. Das ist ein vollständiger Bauplan.

Was die Norm bewusst offen lässt, ist die Frage nach dem Reifegrad der Umsetzung. Zwei Unternehmen können beide „ISO 42001 implementiert" auf dem Papier stehen haben — und trotzdem meilenweit auseinanderliegen. Das eine hat eine KI-Politik als PDF im Intranet, die niemand liest. Das andere lebt die Politik in dokumentierten Freigabeentscheidungen, in messbaren Kontrollen und in wiederholbaren Prozessen. Beide erfüllen formal denselben Normpunkt. Nur eines von beiden würde ein Audit oder eine Aufsichtsbehörde überzeugen.

Genau hier setzt das Reifegraddenken an. Es beantwortet nicht die Frage „Gibt es das?", sondern „Wie belastbar, wiederholbar und nachweisbar ist das?".

Die fünf Stufen: CMMI-Logik auf KI-Governance übertragen

Das Capability Maturity Model Integration (CMMI, aktuell in der Version 3) beschreibt Prozessreife klassisch in fünf Stufen. Auf ein KI-Managementsystem übertragen ergibt sich ein anschauliches Bild davon, wo eine Organisation tatsächlich steht:

Stufe 1 — Initial. KI wird eingesetzt, aber Governance passiert ad hoc. Entscheidungen über KI-Systeme hängen an einzelnen Personen, es gibt kein Inventar, keine dokumentierte Risikobeurteilung. Funktioniert, solange nichts schiefgeht — und bricht zusammen, sobald jemand nach Nachweisen fragt.

Stufe 2 — Managed. Erste Prozesse existieren und werden auf Projektebene gelebt. Es gibt ein KI-Inventar, einzelne Systeme sind risikoklassifiziert, Verantwortlichkeiten sind zumindest teilweise benannt. Aber die Umsetzung ist uneinheitlich: Jede Abteilung macht es anders.

Stufe 3 — Defined. Die Governance ist organisationsweit standardisiert. KI-Politik, Klassifizierungslogik, Freigabeprozesse und Rollen sind dokumentiert und für alle verbindlich. Das ist typischerweise das Niveau, das für eine erfolgreiche ISO-42001-Zertifizierung nötig ist.

Stufe 4 — Quantitatively Managed. Die Organisation misst ihre Governance. Es gibt Kennzahlen — etwa Anteil klassifizierter Systeme, Zeit bis zur Vorfallmeldung, Abdeckungsgrad der Kontrollen — und diese Metriken steuern Entscheidungen. Reife wird belegbar, nicht behauptet.

Stufe 5 — Optimizing. Governance verbessert sich kontinuierlich und datengetrieben. Erkenntnisse aus Audits, Vorfällen und Monitoring fließen systematisch zurück in Politik und Kontrollen. Der PDCA-Zyklus läuft nicht als jährliche Pflichtübung, sondern als gelebte Routine.

Wichtig: Diese Stufen sind kumulativ. Stufe 4 setzt Stufe 3 voraus. Man kann Kennzahlen nicht sinnvoll messen, was noch nicht standardisiert ist.

Wo ISO 42001 aufhört und CMMI anfängt

Die beiden Bestandteile von AIMS ergänzen sich, statt sich zu überschneiden. ISO 42001 liefert den Inhalt — welche Controls, welche Prozesse, welche Dokumente überhaupt existieren müssen. CMMI liefert die Bewertungsdimension — wie ausgereift die Umsetzung jedes einzelnen dieser Elemente ist.

Praktisch heißt das: Man nimmt die Struktur der ISO-42001-Controls und bewertet jedes davon auf der fünfstufigen Skala. Das Ergebnis ist kein binäres „konform ja/nein", sondern ein differenziertes Reifeprofil. Es zeigt schwarz auf weiß, wo eine Organisation bereits auf Stufe 4 operiert und wo sie noch auf Stufe 1 verharrt. Und es macht Fortschritt planbar: Der nächste sinnvolle Schritt ist immer die nächsthöhere Stufe im schwächsten Bereich, nicht ein diffuses „mehr Compliance".

Genau diese Differenzierung ist der Grund, warum ältere, monolithische Bewertungsraster hier nicht mehr taugen. Ein Reifegrad, der nur „grün/gelb/rot" kennt, verbirgt die entscheidende Information — nämlich warum etwas gelb ist und was der konkrete nächste Schritt wäre.

Reifegrad ist keine Compliance-Übung, sondern eine Trust-Frage

An dieser Stelle lohnt der Perspektivwechsel, der AEGIRAs Denken prägt. Reifegrad zu messen ist keine Fleißaufgabe für die Compliance-Abteilung. Es ist eine Frage von belastbarem Vertrauen. Ein Kunde, ein Auditor oder eine Aufsichtsbehörde fragt im Ernstfall nicht „Habt ihr eine Politik?", sondern „Zeigt mir, dass eure Kontrollen wirklich greifen — mit Nachweisen." Eine Organisation auf Reifestufe 4 kann das mit Evidenz beantworten. Eine auf Stufe 1 hat nur gute Absichten.

Deshalb ist ein Reifegradmodell trust-infrastrukturell so wertvoll: Es übersetzt den abstrakten Zustand „wir tun etwas für KI-Governance" in einen nachweisbaren, überprüfbaren und über die Zeit vergleichbaren Wert. Es liefert das evidenzbasierte Fundament, auf dem sich audit-readiness überhaupt erst behaupten lässt — nachweisbar statt beteuert. Kein Modell garantiert dabei ein Ergebnis; es strukturiert den Weg und macht den jeweils erreichten Stand belegbar.

Der praktische Einstieg

Wer heute anfängt, braucht keine Software und kein Beratungsprojekt, um den ersten Schritt zu gehen. Es genügt, die eigenen KI-Governance-Bausteine ehrlich gegen die fünf Stufen zu halten: Existiert ein vollständiges KI-Inventar? Sind die Systeme risikoklassifiziert? Sind Rollen verbindlich benannt? Werden Entscheidungen dokumentiert? Und — die entscheidende Stufe-4-Frage — messen wir irgendetwas davon?

Die ehrliche Antwort ergibt ein erstes Reifeprofil. Dieses Profil ist der eigentliche Startpunkt jeder ISO-42001-Reise, denn es zeigt nicht nur, wo man steht, sondern auch, welcher nächste Schritt am meisten Wirkung entfaltet. Bis zum 02.12.2027 ist genug Zeit, mehrere Stufen zu steigen — aber nur für Organisationen, die ihren Ausgangspunkt kennen.

Mehr dazu, wie sich Reifegrad in nachweisbare Evidenz übersetzen lässt, unter aegira.ai.