Warum KI-Governance damit beginnt, zu wissen, welche Systeme es gibt, wem sie gehören und wie sie gesteuert werden
Was ist ein KI-Inventar im Rahmen der KI-Governance?
Ein KI-Inventar ist eine kontrollierte Bestandsaufnahme der KI-Systeme und KI-gestützten Funktionen, die im gesamten Unternehmen zum Einsatz kommen – dabei wird erfasst, welche Aufgaben jedes System erfüllt, wer dafür verantwortlich ist, auf welche Daten es zugreift, welche Kontrollmaßnahmen gelten und ob es einer Regulierung unterliegt. Ohne ein solches Inventar stehen die Risikoklassifizierung, die Gestaltung von Kontrollmaßnahmen, die behördliche Registrierung und die Berichterstattung an den Vorstand auf einer schwachen Grundlage.
Ein KI-Bestandsverzeichnis ist eine kontrollierte Aufstellung der KI-Systeme und KI-gestützten Funktionen, die im gesamten Unternehmen eingesetzt werden. Es erfasst, welche Aufgaben jedes System erfüllt, wo es eingesetzt wird, auf welche Daten es zugreift, wer dafür verantwortlich ist, wie hoch das damit verbundene Risiko ist, welche Kontrollmaßnahmen gelten und ob es genehmigt ist, sich in der Prüfung befindet, in der Pilotphase ist, derzeit überarbeitet wird oder außer Betrieb genommen wurde.
Die Bestandsaufnahme beschränkt sich nicht auf intern entwickelte Modelle. Sie sollte auch KI von Drittanbietern, eingebettete SaaS-Funktionen, Copiloten, Agenten, Experimente sowie den „Shadow-AI“-Einsatz umfassen, den Governance-Teams erst dann entdecken, wenn die Einführung bereits begonnen hat.
Die praktische Frage an den Vorstand ist einfach: Kann die Unternehmensleitung aufzeigen, wo KI zum Einsatz kommt und ob jede wesentliche Nutzung geregelt ist? Ohne eine Bestandsaufnahme stehen Risikoklassifizierung, Kontrollgestaltung, Lieferantenüberprüfung, behördliche Registrierung und Berichterstattung an den Vorstand auf schwachem Fundament.
Das EU-KI-Gesetz unterstreicht diese Notwendigkeit, da die Registrierungs- und Informationspflichten für bestimmte KI-Systeme mit hohem Risiko von korrekten und stets aktuellen Aufzeichnungen abhängen. Artikel 49 regelt die Registrierung, und Anhang VIII legt fest, welche Informationen für relevante KI-Systeme mit hohem Risiko vorgelegt und gepflegt werden müssen [*1]. Die Norm ISO/IEC 42001 und der NIST AI RMF stärken die Disziplin in Bezug auf Managementsysteme und Risikomanagement im Zusammenhang mit KI-Governance, Lebenszykluskontrolle und Nachweispflicht [*4][*5].
Die Frage für die Unternehmensführung lautet: Kann das Unternehmen den Einsatz von KI erkennen, klassifizieren, kontrollieren und erklären, bevor daraus ein regulatorisches, betriebliches oder vertrauensrelevantes Problem wird?
Das Wichtigste auf einen Blick
- Das KI-Inventar entwickelt sich zu einem zentralen Governance-Dokument und ist nicht mehr nur eine administrative Liste von Tools.
- Die Aufsicht durch den Vorstand hängt von einem aktuellen Überblick über den wesentlichen Einsatz von KI, die Risikostufe, die Zuständigkeiten, die Kontrollmechanismen, Ausnahmen und offene Punkte ab.
- Anbieter-KI und integrierte SaaS-Funktionen machen passive Bestandsverwaltungsprozesse unzuverlässig, da KI-Funktionen im Rahmen routinemäßiger Produktaktualisierungen eingeführt werden können.
- Ein fundiertes Bestandsverzeichnis sollte die behördliche Registrierung, das Risikomanagement über den gesamten Lebenszyklus hinweg, den Nachweis von Kontrollmaßnahmen, die Lieferantenüberprüfung und die Berichterstattung an den Vorstand unterstützen.
- Archer kann dabei helfen, KI-Bestandsaufnahme, Risikoklassifizierung, Kontrollgestaltung, Risiken durch Dritte, Problemverfolgung und Berichterstattung an die Führungsebene in einem einzigen Governance-Modell zu vereinen.
Warum steht das Thema KI-Bestand nun auf der Tagesordnung des Vorstands?
Das KI-Inventar hat auf der Governance-Agenda an Bedeutung gewonnen, da sich der Druck durch Regulierung, Aufsicht und wirtschaftliche Absicherung nun auf ein und dieselbe Dokumentation konzentriert. Eine stufenweise Regulierung, die Rechenschaftspflicht des Vorstands für wesentliche KI-Risiken sowie wachsende Anforderungen von Kunden, Wirtschaftsprüfern und Versicherern verlangen von der Unternehmensleitung, nicht nur nachzuweisen, dass KI eingesetzt wird, sondern auch, dass sie ordnungsgemäß gesteuert wird.
Das Thema KI hat auf der Governance-Agenda an Bedeutung gewonnen, da regulatorische, aufsichtsrechtliche und geschäftliche Anforderungen nun alle auf dasselbe Ergebnis abzielen.
Der erste Druck geht von der Regulierung aus. Das KI-Gesetz tritt schrittweise in Kraft. Der offizielle Zeitplan des KI-Gesetz-Service-Desks zeigt, dass allgemeine Bestimmungen, KI-Kompetenz, Verbote und Verpflichtungen im Bereich der Allzweck-KI bereits gelten, während andere Verpflichtungen schrittweise zu späteren Zeitpunkten in Kraft treten [*2]. Eine schrittweise Regulierung mindert nicht die Notwendigkeit einer konsequenten Bestandserfassung. Sie erhöht vielmehr die Notwendigkeit zu wissen, was vorhanden ist, wie es klassifiziert ist und welche Nachweise vorliegen.
Der zweite Druckfaktor ist die Aufsicht durch den Vorstand. Die Vorstandsmitglieder benötigen keine detaillierte Auflistung jeder einzelnen Anweisung oder jedes Experiments. Sie benötigen jedoch einen glaubwürdigen Überblick über wesentliche KI-Systeme, sensible Anwendungsfälle, Abhängigkeiten von Drittanbietern, Kontrolllücken, Vorfälle, Ausnahmen und Abhilfemaßnahmen. Unbekannte KI-Einsätze lassen sich nur schwer rechtfertigen, da die Geschäftsführung keine Risikoexposition erklären kann, die sie nicht überblickt.
Der dritte Druckfaktor ist die geschäftliche Absicherung. Kunden, Partner, Investoren, Wirtschaftsprüfer und Versicherer fragen zunehmend, ob KI mit derselben Disziplin geregelt wird wie Datenschutz, Cybersicherheit, operative Widerstandsfähigkeit und Risiken durch Dritte. Eine aktuelle Bestandsaufnahme liefert dem Unternehmen eine sachliche Grundlage für diese Gespräche.
| Auswirkungen auf die Planung: Behandeln Sie das KI-Verzeichnis als regulierten Datensatz mit Verantwortlichen, Mindestdatenfeldern, Auslösern für Aktualisierungen, Überprüfungsintervallen, Nachweisen zur Kontrolle und Berichterstattung an den Vorstand. Betrachten Sie es nicht als einmalige Aufgabe in einer Tabellenkalkulation. |
Was sollte eine KI-Bestandsaufnahme auf Vorstandsebene umfassen?
Ein Bestandsverzeichnis auf Vorstandsebene muss mehr sein als nur eine Liste von Tools. Es muss jedes KI-System mit dem geschäftlichen Kontext, den Risiken, den Kontrollmechanismen und der Rechenschaftspflicht verknüpfen – mit namentlich genannten Verantwortlichen, dem aktuellen Status und einer Kontrollmaßnahme, die die tatsächlichen Risiken jedes Anwendungsfalls widerspiegelt und nicht nur die bloße Tatsache, dass das System existiert.
Die meisten Unternehmen beginnen mit einer Tabellenkalkulation. Das ist ein guter Anfang. Eine Bestandsaufnahme auf Vorstandsebene muss jedoch mehr sein als nur eine Liste von Tools. Sie muss jedes KI-System mit dem geschäftlichen Kontext, den Risiken, den Kontrollmechanismen und der Rechenschaftspflicht verknüpfen.
Ein Governance-Datensatz sollte Systemdaten wie Name, Zweck, Nutzer, Anbieter, Modellversion, Workflow und Bereitstellungsstatus erfassen. Außerdem sollte er Datenkategorien, die Verwendung personenbezogener Daten, die Offenlegung sensibler oder regulierter Daten, Modellabhängigkeiten sowie die Angabe enthalten, ob das System intern entwickelt, extern beschafft, in ein Anbieterprodukt eingebettet oder über ein Mitarbeiterkonto genutzt wird.
Die Zuständigkeit ist ebenso wichtig. Für jedes wesentliche KI-System sollte es einen namentlich benannten geschäftlichen Verantwortlichen geben, nicht nur einen technischen Ansprechpartner. Die Technologie-Teams mögen zwar die Plattform betreiben, doch die geschäftlichen Teams tragen die Verantwortung für die Folgen der Nutzung des Systems.
Die Risikoklassifizierung sollte als Grundlage für die Kontrollmaßnahmen dienen. Systeme, die Einfluss auf Beschäftigung, Kreditvergabe, Gesundheitsversorgung, gesetzliche Rechte, Sicherheit, Compliance-Entscheidungen, die Behandlung von Kunden oder wesentliche geschäftliche Maßnahmen haben, erfordern eine strengere Überwachung als risikoarme Maßnahmen zur Produktivitätssteigerung. Das Verzeichnis sollte diese Unterscheidungen deutlich machen und die für jede Stufe vorgesehenen Kontrollmaßnahmen aufzeigen.
Der Status sollte aktuell sein. Die Status „genehmigt“, „in der Pilotphase“, „in Prüfung“, „zur Nachbesserung markiert“, „ausgemustert“ oder „gesperrt“ sollten eindeutig sein. Ein veralteter Bestand vermittelt den Führungskräften ein falsches Gefühl der Sicherheit, da er zwar Aufzeichnungen bewahrt, aber keine Kontrolle gewährleistet.
Warum erschwert die KI des Anbieters die Bestandsführung?
KI-Funktionen gelangen mittlerweile über Wege in das Unternehmen, die nicht für die KI-Governance konzipiert wurden. Ein SaaS-Anbieter kann eine generative KI-Funktion in eine Plattform integrieren, die das Unternehmen bereits nutzt, und ein Geschäftsteam kann diese bei der Vertragsverlängerung ohne gesonderten Beschaffungsbeschluss aktivieren – wodurch blinde Flecken entstehen, die bei regelmäßigen Anbieterbewertungen und passiven Bestandserfassungsprozessen nicht erkannt werden.
KI-Funktionen halten mittlerweile über Wege Einzug in das Unternehmen, die ursprünglich nicht für die KI-Governance konzipiert waren. Ein SaaS-Anbieter kann eine generative KI-Funktion in eine Plattform integrieren, die das Unternehmen bereits nutzt. Ein Workflow-Tool kann Funktionen wie Zusammenfassung, Empfehlung, Klassifizierung oder eigenständige Aktionen hinzufügen. Ein Geschäftsteam kann eine Funktion bei der Vertragsverlängerung aktivieren, ohne dass eine separate Beschaffungsentscheidung für die KI getroffen werden muss.
Dadurch entsteht eine Lücke beim Risikomanagement in Bezug auf Drittanbieter. Regelmäßige Lieferantenüberprüfungen, Benachrichtigungen über wesentliche Änderungen, Überprüfungen bei Vertragsverlängerungen und Sicherheitsfragebögen benötigen KI-spezifische Fragen. Im Rahmen des Überprüfungsprozesses sollte abgefragt werden, ob der Lieferant KI-Funktionen hinzugefügt hat, welche Daten diese Funktionen verarbeiten, ob Kundendaten für das Training oder die Verbesserung verwendet werden, welche Modellanbieter beteiligt sind, welche Protokolle aufbewahrt werden, inwieweit eine menschliche Aufsicht besteht und ob der Lieferant Nachweise über Tests, Überwachung und das Problemmanagement vorlegen kann.
Die Bestandsaufnahme sollte auch das KI-Konzentrationsrisiko erfassen. Wenn mehrere Geschäftsprozesse von demselben Modellanbieter, derselben SaaS-Plattform oder derselben KI-Agentenarchitektur abhängig sind, muss das Unternehmen die betrieblichen und vertraglichen Abhängigkeiten nachvollziehen können. Ein Vorstand kann das Konzentrationsrisiko nicht einschätzen, wenn dieselbe Abhängigkeit in den Unterlagen der Bereiche Beschaffung, Sicherheit und Geschäftsabläufe als voneinander getrennte Einträge erscheint.
Auch Shadow AI gehört in das Inventar. Dabei geht es nicht darum, unsichere Nutzung zu legitimieren. Vielmehr soll die Sicherheitslücke sichtbar gemacht werden, damit sie blockiert, behoben, auf ein zugelassenes Tool umgestellt oder über einen formellen Aufnahmeprozess geregelt werden kann.
Welche Fragen muss die Bestandsaufnahme für den Vorstand beantworten?
Ein KI-Bestandsverzeichnis wird zu einem wichtigen Dokument für den Vorstand, wenn es die Fragen beantworten kann, die die Führungsspitze im Rahmen von Aufsicht, Prüfung, Vorfallanalyse, Budgetplanung oder Vorbereitung auf behördliche Anforderungen stellt. Das Bestandsverzeichnis ist nur so nützlich wie die Antworten, die es unter Druck liefern kann.
Ein KI-Bestandsverzeichnis wird zu einem Thema für den Vorstand, wenn es die Fragen beantworten kann, die die Unternehmensleitung im Rahmen von Aufsicht, Prüfung, Vorfallanalyse, Budgetplanung oder Vorbereitung auf behördliche Anforderungen stellen wird.
| Frage im Forum | Warum das wichtig ist | Beweismittel aus der Bestandsaufnahme |
| Wo setzen wir KI ein? | Zeigt den Stand der KI-Einführung in den verschiedenen Geschäftsbereichen und Arbeitsabläufen auf. | Systemname, Geschäftsprozess, Benutzer, Status und Zweck. |
| Welche Anwendungsfälle könnten Auswirkungen auf Menschen oder regulierte Entscheidungen haben? | Unterscheidet zwischen risikearmen Produktivitätsanwendungen und Anwendungsfällen, die möglicherweise einer eingehenderen Prüfung bedürfen. | Risikostufe, betroffene Gruppen, Entscheidungskontext und Stand der Folgenabschätzung. |
| Wer ist der Eigentümer des Systems und wer hat es genehmigt? | Schafft Verantwortlichkeit, wenn Probleme auftreten oder eine Überprüfung überfällig ist. | Unternehmensinhaber, Genehmigungsprotokoll, Prüfer und Prüfdatum. |
| Um welche Daten und Anbieter handelt es sich? | Stellt einen Zusammenhang zwischen KI-Governance und Datenschutz, Sicherheit, Risiken durch Dritte sowie Konzentrationsrisiken her. | Datenkategorien, Anbieter, Modell, Zugriffsmodus, Unterauftragsverarbeiter und Verträge. |
| Was hat sich geändert oder was muss getan werden? | Hält den Datensatz auf dem neuesten Stand, wenn sich Modelle, Daten, Anwendungsfälle und Steuerelemente ändern. | Versionsänderungen, Probleme, Ausnahmen, Vorfälle, Abhilfemaßnahmen und nächster Überprüfungstermin. |
Inwiefern steht das Verzeichnis im Zusammenhang mit der Registrierung und den Nachweisen gemäß dem EU-KI-Gesetz?
Wenn ein relevantes KI-System mit hohem Risiko in der EU-Datenbank registriert werden muss, liegen die erforderlichen Informationen zum Zeitpunkt der Einreichung noch nicht vor – sie müssen aus dem internen Bestandsverzeichnis stammen. Die Bestandsaufnahme ist von grundlegender Bedeutung, da sie die Klassifizierung, die technische Dokumentation, die Zuordnung von Kontrollmaßnahmen, die Sammlung von Nachweisen und die Berichterstattung an den Vorstand unterstützt. Organisationen, die mit der Erstellung der Unterlagen bis zum Ablauf der von den Aufsichtsbehörden gesetzten Fristen warten, werden diese unter Zeitdruck erstellen müssen.
Muss ein relevantes risikoreiches KI-System in der EU-Datenbank registriert werden, liegen die erforderlichen Informationen zum Zeitpunkt der Einreichung noch nicht vor. Sie müssen aus dem internen Verzeichnis stammen. Artikel 49 und Anhang VIII verweisen auf Informationen wie Angaben zum Anbieter und zum Betreiber, den Verwendungszweck, den Systemstatus, Konformitätsangaben sowie gegebenenfalls Zusammenfassungen relevanter Folgenabschätzungen für Betreiber [*1].
Der Zeitplan für das KI-Gesetz ist in Phasen unterteilt. Unternehmen sollten es vermeiden, auf jeden einzelnen Termin der Aufsichtsbehörde zu warten, bevor sie mit der Erstellung der Unterlagen beginnen. Die Bestandsaufnahme ist von grundlegender Bedeutung, da sie die Klassifizierung, das Risikomanagement, die technische Dokumentation, die Zuordnung von Kontrollmaßnahmen, die Beweissicherung und die Berichterstattung an den Vorstand unterstützt [*2].
ISO/IEC 42001 legt Anforderungen für die Einrichtung, Aufrechterhaltung und kontinuierliche Verbesserung eines KI-Managementsystems fest. Ein solches Managementsystem basiert auf einem zuverlässigen Überblick über die im Geltungsbereich liegenden KI-Systeme [*4]. Das NIST AI RMF gliedert das KI-Risikomanagement in die Funktionen „Steuern“, „Zuordnen“, „Messen“ und „Verwalten“. Das Inventar ist für die Funktionen „Steuern“ und „Zuordnen“ besonders wichtig, da es die Systeme, den Kontext, die Akteure und die Risiken identifiziert, die gesteuert werden müssen [*5].
Ist die Bestandsaufnahme unvollständig, ist auch die Beweiskette unvollständig. Ein Bericht an den Vorstand, eine Meldung an die Aufsichtsbehörde, eine Lieferantenprüfung, ein Kontrolltest oder eine Antwort auf ein Audit kann nur so aussagekräftig sein wie die ihm zugrunde liegenden Unterlagen.
Wie baut man einen AI-Bestand auf, der vor dem Vorstand bestehen kann? Fünf Schritte für 2026
Bei der Planung für das Jahr 2026 sollten Führungskräfte in den Bereichen Risiko und Compliance das KI-Inventar als Teil des Kontrollumfelds der KI-Governance betrachten. Das Ziel ist eine glaubwürdige Dokumentation, die eine verantwortungsvolle Einführung, Überwachung, Einhaltung regulatorischer Vorgaben und stichhaltige Nachweise unterstützt – keine einmalig erstellte Tabelle, sondern eine lebendige Governance-Dokumentation, die stets auf dem neuesten Stand bleibt, wenn sich Systeme, Anbieter und Risiken ändern.
1. Den KI-Fußabdruck überprüfen. Identifizieren Sie KI-Systeme in allen Geschäftsbereichen, einschließlich intern entwickelter Modelle, SaaS-Funktionen, Copiloten, Agenten, Piloten und „Schatten-KI“, die durch Sicherheitsmaßnahmen, die Beschaffung oder Meldungen von Mitarbeitern aufgedeckt wurden.
2. Definieren Sie das Mindestdatenmodell. Einigen Sie sich auf die erforderlichen Felder für jeden KI-Eintrag: Zweck, Eigentümer, Nutzer, Daten, Anbieter, Modell, Risikostufe, Kontrollmaßnahmen, Status, Überprüfungsdatum, Probleme und Links zu Belegen.
3. Risiken klassifizieren und Kontrollmaßnahmen zuweisen. Nutzen Sie eine Risikoeinstufung, um die erforderlichen Überprüfungen, die menschliche Überwachung, Tests, Protokollierungen, Datenkontrollen, Transparenzmaßnahmen und Eskalationswege festzulegen.
4. Aktualisieren Sie die Prozesse für Lieferanten und Änderungen. Beziehen Sie Änderungen der KI-Fähigkeiten in die Überprüfung von Drittanbietern, Vertragsverlängerungen, Meldungen wesentlicher Änderungen und die Überprüfung von Produktaktualisierungen ein.
5. Verknüpfen Sie das Inventar mit der Berichterstattung an den Vorstand. Berichten Sie über die wesentliche Nutzung künstlicher Intelligenz, risikoreiche Systeme, Kontrolllücken, Ausnahmen, Vorfälle, Konzentrationsrisiken und Fortschritte bei der Behebung von Mängeln im Rahmen des bereits vom Vorstand oder vom Prüfungsausschuss genutzten Governance-Rhythmus.
Durch diese Schritte wird die Bestandsaufnahme von einer reinen Compliance-Maßnahme zu einem operativen Dokument. Eine fertiggestellte Tabelle mag zwar eine Frage zu einem bestimmten Zeitpunkt beantworten. Ein aktuelles Governance-Dokument hilft Führungskräften jedoch dabei, den Einsatz von KI zu steuern, während sich die Technologie, der Lieferantenstamm und das Risikoprofil ändern.
Aufbau des KI-Bestands mit Archer
Archer unterstützt Unternehmen dabei, die KI-gestützte Bestandsverwaltung von einer reinen Dokumentenverwaltung zu einer strukturierten Governance-Funktion zu entwickeln. Dabei liegt der Schwerpunkt darauf, KI-Systeme, Geschäftsverantwortliche, Dritte, Verpflichtungen, Risiken, Kontrollmaßnahmen, Genehmigungen, Probleme, Ausnahmen und Belege in einem einheitlichen Betriebsmodell miteinander zu verknüpfen.
Das bedeutet, ein KI-Inventar zu führen, KI-Anwendungsfälle zu bewerten, Risiken den entsprechenden Kontrollmaßnahmen und Verpflichtungen zuzuordnen, Verantwortliche zu benennen, Genehmigungen zu erfassen, Probleme nachzuverfolgen und Berichte zu erstellen, aus denen hervorgeht, wo KI-Lösungen bereits zum Einsatz kommen und wo Handlungsbedarf besteht.
Ein umfassendes KI-Inventar bremst die verantwortungsvolle Einführung von KI nicht. Es bietet Mitarbeitern und Geschäftsteams einen klareren Weg zur genehmigten Nutzung und gibt den Verantwortlichen für die Governance gleichzeitig eine solidere Grundlage für die Aufsicht. Unternehmen, die im Jahr 2026 KI-Risiken gut bewältigen, werden sich nicht nur auf Richtlinien und vereinzelte Tabellenkalkulationen verlassen. Sie werden ein dynamisches Verzeichnis aufbauen, das die KI-Nutzung mit Rechenschaftspflicht, Kontrollmechanismen und Belegen verknüpft.
Erfahren Sie mehr über Archer AI Governance: https://www.archerirm.com/ai-governance
Erfahren Sie mehr über Archer GRC Solutions: https://www.archerirm.com/
Häufig gestellte Fragen
Was ist ein KI-Bestand?
Ein KI-Bestandsverzeichnis ist eine geregelte Aufstellung der KI-Systeme und KI-gestützten Funktionen, die im gesamten Unternehmen zum Einsatz kommen. Es erfasst, welche Aufgaben jedes System erfüllt, wo es eingesetzt wird, auf welche Daten es zugreift, wem es gehört, wie hoch das damit verbundene Risiko ist, welche Kontrollmaßnahmen gelten und wie sein aktueller Status ist.
Warum benötigt der Vorstand eine KI-Bestandsaufnahme?
Der Vorstand benötigt einen aussagekräftigen Überblick über den wesentlichen Einsatz von KI, die Risikoexposition, die Zuständigkeiten, Kontrolllücken, Abhängigkeiten von Anbietern, Vorfälle und Abhilfemaßnahmen. Ohne eine Bestandsaufnahme kann die Geschäftsführung den Vorstandsmitgliedern keine verlässliche Antwort darauf geben, wo KI zum Einsatz kommt und wie sie gesteuert wird.
Sollte in SaaS-Tools integrierte KI berücksichtigt werden?
Ja. In Anbieterplattformen integrierte KI sollte berücksichtigt werden, da sie Unternehmensdaten verarbeiten, Arbeitsabläufe beeinflussen, neue Abhängigkeiten schaffen oder das Risikoprofil eines bestehenden Systems verändern kann, ohne dass hierfür eine separate Beschaffung erforderlich ist.
Inwiefern steht das EU-KI-Gesetz im Zusammenhang mit dem KI-Inventar?
Das EU-KI-Gesetz sieht Registrierungs- und Informationspflichten für bestimmte KI-Systeme mit hohem Risiko vor. Interne Bestandsaufnahmen helfen Organisationen dabei, die betroffenen Systeme zu identifizieren, Risiken einzustufen, erforderliche Informationen zu erfassen und Nachweise für Aufsichts- und Überprüfungszwecke aufzubewahren.
Was sollte jeder KI-Bestandsdatensatz enthalten?
Jeder Eintrag sollte Angaben zum Verwendungszweck des Systems, zum Eigentümer, zu den Nutzern, zu den Datenkategorien, zu Hersteller- oder Modellangaben, zur Risikoklassifizierung, zu Kontrollmaßnahmen, zum Genehmigungsstatus, zum Überprüfungsdatum, zu Problemen, zu Ausnahmen sowie Links zu Belegen enthalten.
Wie oft sollte ein KI-Bestand aktualisiert werden?
Das Bestandsverzeichnis sollte aktualisiert werden, sobald ein System eingeführt, geändert, erweitert, außer Betrieb genommen oder wesentlich verändert wird. Es sollte außerdem im Rahmen eines festgelegten Governance-Rhythmus überprüft werden, damit veraltete Einträge erkannt werden, bevor sie zu Kontrolllücken führen.
Wie kann Archer die KI-gestützte Bestandsverwaltung unterstützen?
Quellen
[*1] AI Act Service Desk, § 49: Registrierung und Informationspflichten gemäß Anhang VIII: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-49 sowie https://ai-act-service-desk.ec.europa.eu/en/ai-act/annex-8
[*2] AI Act Service Desk, Zeitplan für die Umsetzung des EU-KI-Gesetzes: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
[*3] Europäische Kommission, Überblick über den Rechtsrahmen des KI-Gesetzes: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
[*4] ISO, ISO/IEC 42001 Managementsystem für künstliche Intelligenz: https://www.iso.org/standard/42001
[*5] NIST, Rahmenwerk für das Risikomanagement im Bereich der künstlichen Intelligenz (AI RMF 1.0): https://www.nist.gov/itl/ai-risk-management-framework sowie https://nvlpubs.nist.gov/nistpubs/ai/nist.ai.100-1.pdf
[*6] Archer AI Governance und Archer GRC-Lösungen: https://www.archerirm.com/ai-governance sowie https://www.archerirm.com/
