Ein einheitliches Governance-Gerüst kann Nacharbeiten reduzieren, die Konsistenz verbessern und Teams dabei unterstützen, lokale Anforderungen zu bewältigen, ohne jedes Mal von vorne beginnen zu müssen.
Das Wichtigste auf einen Blick
- Das EU-KI-Gesetz kann als praktischer Ausgangspunkt für eine globale KI-Governance dienen, da es die KI-Aufsicht in Klassifizierungen, Anforderungen, Dokumentationspflichten und Kontrollen während des gesamten Lebenszyklus umsetzt.
- Ein gemeinsames Modell verringert Doppelarbeit, wenn regionale Teams ähnliche KI-Systeme, Anbieter oder integrierte KI-Funktionen bewerten.
- Lokale Anforderungen spielen nach wie vor eine Rolle. Sie sollten als Überlagerungen auf dem gemeinsamen Modell verwaltet werden, nicht als separate Steuerungssysteme.
- Das Betriebsmodell sollte Bestände, Erfassung, Risikoklassifizierung, Überprüfungswege, Kontrollnachweise, Zuständigkeiten, Berichterstattung und Auslöser für Aktualisierungen definieren.
- Archer kann dabei helfen, globale Anforderungen an die KI-Governance mit einem aktiven GRC-Workflow zu verknüpfen, der Rechenschaftspflicht, Nachweispflicht und Aufsicht gewährleistet.
Was ist ein globales KI-Governance-Modell?
Ein globales KI-Governance-Modell ist die einheitliche Organisationsstruktur, die eine Organisation nutzt, um KI-Systeme länder-, Geschäftsbereichs- und risikobereichsübergreifend zu steuern – und das EU-KI-Gesetz bietet dieser Struktur eine praktische, regulierungsfähige Grundlage. Das Ziel besteht nicht darin, jede Rechtsordnung in eine europäische Vorlage zu zwängen. Das Ziel ist es, zu vermeiden, dass jedes Mal, wenn eine neue Verordnung eingeführt wird, die gleichen Governance-Kapazitäten neu aufgebaut werden müssen.
Ein globales KI-Governance-Modell ist die einheitliche operative Struktur, die eine Organisation nutzt, um KI-Systeme länder-, Geschäftsbereichs-, produkt- und risikobereichsübergreifend zu steuern. Es legt fest, wie der Einsatz von KI identifiziert, klassifiziert, überprüft, kontrolliert, dokumentiert, überwacht und berichtet wird.
Der Bedarf ist praktischer Natur. Globale Teams versuchen oft, dasselbe Problem mithilfe unterschiedlicher Rahmenwerke zu lösen. Das Europa-Team arbeitet auf der Grundlage des EU-KI-Gesetzes. US-Teams verwenden häufig die NIST-Terminologie. Produkt- und Entwicklungsteams wünschen sich einen Überprüfungsprozess, der sich nicht jedes Mal komplett ändert, wenn ein neuer Markt in den Geltungsbereich fällt. Rechts- und Compliance-Teams benötigen Spielraum für lokale Auslegung.
Wenn jede Region ihre eigenen Prozesse entwickelt, entstehen in der Organisation mehr Dokumente, mehr Prüfwege und mehr lokale Tabellenkalkulationen – jedoch nicht unbedingt eine strengere Kontrolle. Ähnliche Anwendungsfälle werden möglicherweise unterschiedlich klassifiziert. Belege werden möglicherweise in unterschiedlichen Formaten gespeichert. Die Entscheidungshistorie lässt sich möglicherweise nur schwer wiederverwenden. Die Reaktion auf Vorfälle kann sich verlangsamen, da die Zuständigkeiten unklar sind.
Ein besseres Modell beginnt mit einem gemeinsamen Rahmen für die Governance und ergänzt diesen durch lokale Zusatzregelungen, wo Gesetze, Branchenvorschriften, Erwartungen der Aufsichtsbehörden oder Marktpraktiken dies erfordern. Das EU-KI-Gesetz ist ein solider Ausgangspunkt, da es Organisationen einen strukturierten Ansatz bietet, um sich mit dem Anwendungsbereich von KI, der Risikoklassifizierung, verbotenen Praktiken, Anforderungen bei hohem Risiko, KI-Kompetenz, Dokumentation, menschlicher Aufsicht, Transparenz und dem Lebenszyklusmanagement auseinanderzusetzen.
Warum dient das EU-KI-Gesetz als Ausgangsgrundlage?
Das EU-KI-Gesetz ist als Grundlage für die Governance nützlich, da es die Fragen, die jede Organisation beantworten muss – welche KI-Anwendungen verboten sind, welche mit hohem Risiko verbunden sind, welche Kontrollmaßnahmen gelten und wer rechenschaftspflichtig ist –, in einen strukturierten, durchsetzbaren Rahmen mit praktischer globaler Reichweite umsetzt. Andere Rahmenwerke wie das NIST AI RMF, ISO/IEC 42001 und die OECD-Grundsätze untermauern dieselbe Kernlogik und lassen sich in ein einziges Betriebsmodell integrieren, anstatt als voneinander getrennte Projekte verwaltet zu werden.
Das EU-KI-Gesetz ist als grundlegendes Regelwerk nützlich, da es Organisationen einen strukturierten Ausgangspunkt für Entscheidungen bietet, die sie ohnehin treffen müssen. Welche KI-Anwendungen sind verboten? Welche Anwendungen bergen ein hohes Risiko? Welche Kontrollmaßnahmen und Aufzeichnungen sind erforderlich? Wer muss das System verstehen? Welche Informationen müssen vorliegen, wenn eine Aufsichtsbehörde, ein Prüfer oder ein Kunde Nachweise anfordert?
Das Gesetz hat auch praktische Auswirkungen auf globale Organisationen. Artikel 2 gilt für Anbieter, Betreiber, Importeure, Vertreiber, Produkthersteller, Bevollmächtigte und betroffene Personen in der Union und kann Anwendung finden, wenn die von einem KI-System erzeugten Ergebnisse in der Union genutzt werden [*1]. Das bedeutet, dass viele Organisationen außerhalb Europas das Gesetz nicht als rein regionale Angelegenheit betrachten können.
Der Zeitplan für die Umsetzung macht dies zudem von einem zukunftsorientierten politischen Thema zu einer Frage des Betriebsmodells. Allgemeine Bestimmungen, darunter Vorschriften zur KI-Kompetenz und Verbote, traten am 2. Februar 2025 in Kraft. Die Vorschriften für Allzweck-KI gelten seit dem 2. August 2025, und die schrittweise Einführung wird bis zum 2. August 2027 fortgesetzt [*2].
Das Gesetz ist nicht der einzige Rahmen, den ein Unternehmen beachten sollte. Das NIST AI RMF bietet einen freiwilligen Rahmen für das Risikomanagement, der sich an den Prinzipien „Govern, Map, Measure und Manage“ orientiert [*5]. Die Norm ISO/IEC 42001 enthält Anforderungen für die Einrichtung, Aufrechterhaltung und kontinuierliche Verbesserung eines KI-Managementsystems [*4]. Die OECD-Grundsätze stärken vertrauenswürdige KI, Menschenrechte, demokratische Werte und Rechenschaftspflicht [*6]. Praktisch gesehen lassen sich diese Rahmenwerke in ein einziges Governance-Betriebsmodell integrieren, anstatt sie als voneinander getrennte Projekte zu verwalten.
Ein gemeinsames Grundgerüst ist wertvoll, da sich dieselben Kernfragen in allen Rahmenwerken immer wieder stellen: Welches KI-System gibt es, wozu wird es genutzt, wem gehört es, welche Risiken birgt es, welche Kontrollmechanismen gelten, welche Belege liegen vor, was hat sich geändert und wer ist für Entscheidungen verantwortlich?
Warum führt eine fragmentierte regionale Verwaltung zu Risiken und Nacharbeit?
Eine fragmentierte KI-Steuerung erscheint auf den ersten Blick oft sinnvoll – jede Region entwickelt das, was sie benötigt, und jede Maßnahme ist für sich genommen sinnvoll. Das Risiko wird jedoch im großen Maßstab deutlich, wenn ähnliche KI-Systeme unterschiedlich geprüft werden, Belege in inkompatiblen Formaten gespeichert werden und niemand der Unternehmensleitung schnell aufzeigen kann, wie hoch das Risiko für das Unternehmen tatsächlich ist.
Eine fragmentierte KI-Governance erscheint auf den ersten Blick oft sinnvoll. Eine Region erkennt einen neuen Bedarf und richtet einen lokalen Prozess ein. Ein Geschäftsbereich erstellt eine Checkliste für die Überprüfung. Ein Produktteam dokumentiert seine eigenen Kontrollmaßnahmen. Ein Datenschutzteam speichert seine Bewertung an einem separaten Ort. Jede dieser Maßnahmen mag für sich genommen sinnvoll sein.
Die Schwachstelle tritt zutage, wenn das Unternehmen wächst. Eine Region prüft ein KI-Tool zur Vertragsanalyse. Eine andere Region prüft sechs Monate später ein ähnliches Tool und fängt dabei bei Null an. Ein Anbieter erweitert eine bereits weltweit genutzte Plattform um eine KI-Funktion, doch nur ein lokales Team bemerkt dies. Es tritt ein Problem mit dem Modell auf, und niemand kann schnell aufzeigen, welche Geschäftsbereiche ähnliche Funktionen nutzen oder ob dieselbe Kontrollschwäche auch an anderer Stelle besteht.
Dies ist nicht nur ein Dokumentationsproblem. Es handelt sich um ein Problem des Betriebsmodells. Wenn sich die Erfassung, Klassifizierung, Genehmigung, Nachweispolitik und Berichterstattung je nach Region unterscheiden, kann die Unternehmensleitung die Risiken unternehmensweit nicht ohne Weiteres vergleichen. Die Revision kann sich nicht auf ein einheitliches Nachweismodell stützen. Die Rechtsabteilung kann frühere Analysen nicht effizient wiederverwenden. Produktteams sehen sich mit langsameren Prüfungsverfahren konfrontiert, ohne dabei unbedingt klarere Vorgaben zu erhalten.
Ein Modell der gemeinsamen Steuerung verändert den Ablauf. Ein Anwendungsfall wird in einen der Erfassungspfade eingeleitet. Er wird anhand einer einheitlichen Methode klassifiziert. Die Klassifizierung bestimmt die Weiterleitung zur Prüfung, die Kontrollanforderungen, die Dokumentationsanforderungen und die Genehmigungsbedingungen. Lokale Teams ergänzen die Klassifizierung um die für ihren Markt erforderlichen Aspekte, doch das Unternehmen führt einen einzigen, wiederverwendbaren Datensatz der Entscheidung.
Was sollte die gemeinsame Basis umfassen?
Eine einheitliche Governance-Struktur sollte klein genug sein, um konsistent zu funktionieren, und stark genug, um die Bereiche Recht, Risiko, Datenschutz, Sicherheit, Produktentwicklung, Revision und Aufsichtsfunktion des Vorstands zu unterstützen. Sie sollte keine theoretische Richtlinienarchitektur sein, sondern einen funktionierenden Arbeitsablauf mit Verantwortlichen, Schwellenwerten, Aufzeichnungen, Überprüfungspunkten und Berichterstattung – aufgebaut auf sechs Funktionen, die regulatorische Anforderungen in einen wiederholbaren Prozess umsetzen.
Eine einheitliche Governance-Grundstruktur sollte klein genug sein, um konsistent zu funktionieren, und stark genug, um die Bereiche Recht, Risiko, Datenschutz, Sicherheit, Produkt, Revision und Aufsichtsfunktion des Vorstands zu unterstützen. Sie sollte keine theoretische Richtlinienarchitektur sein, sondern ein funktionierender Arbeitsablauf mit Verantwortlichen, Schwellenwerten, Aufzeichnungen, Überprüfungspunkten und Berichterstattung.
Das Backbone benötigt in der Regel sechs Funktionen. Erstens ein KI-Inventar, das Systeme, Anwendungsfälle, Anbieter, eingebettete KI-Funktionen, Copiloten, Agenten und Piloten erfasst. Zweitens eine Methode zur Risikoklassifizierung, die sich mit dem EU-KI-Gesetz und anderen Rahmenwerken abstimmen lässt. Drittens einen Erfassungs- und Prüfungsworkflow, der die richtigen Prüfungen je nach Risikostufe und Rechtsraum weiterleitet. Viertens ein Kontroll- und Nachweismodell, das festhält, was geprüft wurde, warum Entscheidungen getroffen wurden, welche Kontrollen gelten und welche Ausnahmen noch offen sind. Fünftens klare Zuständigkeiten in den Bereichen Business, Technologie, Recht, Compliance, Datenschutz, Sicherheit und Risiko. Sechstens Aktualisierungsauslöser, damit sich die Aufzeichnungen ändern, wenn sich das System, der Anbieter, die Daten, der Anwendungsfall, die Rechtslage oder die Leitlinien ändern.
Eine wichtige Entscheidung bei der Konzeption ist die Trennung der gemeinsamen Basis vom lokalen Overlay. Die Basis sollte marktübergreifend wiederverwendet werden. Das Overlay sollte die Anforderungen eines Rechtsraums, eines Sektors, einer Aufsichtsbehörde oder eines Kunden erfassen, die über die Basis hinausgehen.
| Governance-Element | Gemeinsames Rückgrat | Lokale Überlagerung |
| KI-Bestand | Ein einheitlicher Überblick über Systeme, Anwendungsfälle, Verantwortliche, Anbieter, Daten, Regionen und den Status. | Fügen Sie marktspezifische Felder, Verweise auf Aufsichtsbehörden oder branchenspezifische Anforderungen hinzu. |
| Risikoklassifizierung | Eine Methode zur Risikoeinstufung anhand von Anwendungsfällen, Auswirkungen, Datensensibilität und betroffenen Gruppen. | Lokale Kategorien oder Schwellenwerte zuordnen, ohne die zentrale Risikologik zu ändern. |
| Überprüfungsablauf | Ein einziger Erfassungsweg und ein einheitliches Freigabeverfahren für die Teams in den Bereichen Recht, Datenschutz, Sicherheit, Risikomanagement und Produktentwicklung. | Fügen Sie regionale Genehmigungen hinzu, sofern diese aufgrund gesetzlicher Vorschriften, behördlicher Vorgaben oder Branchenvorschriften erforderlich sind. |
| Beweismodell | Ein einheitliches Dokumentationssystem für Begründungen, Tests, Kontrollen, Überwachung, Genehmigungen, Ausnahmen und Vorfälle. | Fügen Sie lokale Belege wie Bekanntmachungen, Folgenabschätzungen, eingereichte Unterlagen oder Übersetzungen hinzu. |
| Berichterstattung | Eine unternehmensweite Übersicht für die Unternehmensführung, die Revision, die Problemverfolgung und die Aufsicht durch den Vorstand. | Fügen Sie Marktanalysen zu den Themen lokales Management, Reaktionen der Aufsichtsbehörden und Nachverfolgung von Abhilfemaßnahmen hinzu. |
Wie sollten lokale Überlagerungen funktionieren?
Lokale Überlagerungen stellen keine Ausnahmen von den Regelwerken dar – sie sind kontrollierte Ergänzungen zu einem gemeinsamen Modell. Diese Unterscheidung ist wichtig. Eine Überlagerung fügt eine Anforderung hinzu, weil der Markt sie benötigt, nicht weil man sich nicht auf den Basisprozess einigen konnte. Solange die Disziplin gewahrt bleibt, macht die Überlagerungsebene das Modell nützlicher, ohne es zu ersetzen.
Lokale Erweiterungen stellen keine Ausnahmen von den Governance-Regeln dar. Sie sind kontrollierte Ergänzungen zu einem gemeinsamen Governance-Modell. Diese Unterscheidung ist wichtig. Eine lokale Erweiterung sollte eine Anforderung, ein Feld, eine Überprüfung, eine Genehmigung, ein Dokument oder eine Berichtsansicht hinzufügen, weil der Markt dies benötigt. Sie sollte keinen parallelen Prozess schaffen, es sei denn, es liegt ein triftiger rechtlicher oder betrieblicher Grund vor.
Beispielsweise kann ein HR-KI-System mit erheblichen Auswirkungen gemeinsame Funktionen wie Erfassung, Bestandsaufnahme, Risikoklassifizierung, Modellinformationen, Anbieterinformationen, menschliche Aufsicht, Testnachweise und Problemverfolgung erfordern. Eine lokale Erweiterung kann eine spezifische Bekanntmachungspflicht, die Berücksichtigung des Betriebsrats, sprachliche Anforderungen, ein Feld zur Datenschutz-Folgenabschätzung, die Offenlegung gegenüber Kunden oder eine für Aufsichtsbehörden bestimmte Zusammenfassung der Nachweise hinzufügen.
Das Overlay-Modell hilft Unternehmen, schneller voranzukommen, ohne dabei die Kontrolle zu verlieren. Regionale Rechtsabteilungen behalten die Befugnis, lokale Gesetze auszulegen. GRC sorgt dafür, dass der Workflow, das Evidenzmodell und die Unternehmenssicht aufeinander abgestimmt bleiben. Geschäfts- und Produktteams erhalten einen einheitlichen Weg, den sie verfolgen können, und müssen sich nicht in jedem Land durch ein anderes Governance-Labyrinth kämpfen.
Das Schwierigste daran ist die Disziplin. Die Teams müssen sich darauf einigen, dass lokale Ergänzungen dokumentiert, zugeordnet, überprüft und regelmäßig aktualisiert werden müssen. Andernfalls wird die Überlagerungsebene zu einer weiteren Form der Fragmentierung.
| Auswirkungen auf die Planung: Das globale KI-Governance-Modell ist als kontrolliertes Betriebsmodell zu behandeln . Lokale Ergänzungen sollten über Verantwortliche, eine Begründung, Gültigkeitsdaten, Überprüfungszyklen sowie Verweise auf die Rechtsvorschriften, die Leitlinien der Aufsichtsbehörden oder die geschäftlichen Anforderungen verfügen, auf deren Grundlage sie erstellt wurden. |
Wem sollte die Governance-Infrastruktur gehören?
Oftmals stellt die Zuständigkeit ein Hindernis dar. Keine einzelne Funktion kann KI allein effektiv steuern, doch das Unternehmen benötigt dennoch einen Verantwortlichen für das Betriebsmodell – in der Regel im Bereich GRC oder Unternehmensrisiken, der eng mit den Abteilungen Recht, Datenschutz, Sicherheit, Daten, Produkt sowie der Geschäftsführung zusammenarbeitet. Die Aufgabe besteht nicht darin, jede KI-Entscheidung zu genehmigen, sondern die Kohärenz des Systems zu gewährleisten.
Oftmals stellt die Zuständigkeit ein Hindernis dar. Rechtsabteilungen sind für die Auslegung zuständig. Produktteams sind für Produktentscheidungen zuständig. Sicherheits- und Datenschutzteams sind für bestimmte Kontrollbereiche zuständig. Risiko- und Compliance-Teams sind für Governance-Anforderungen zuständig. Führungskräfte aus dem operativen Geschäft sind für die Ergebnisse verantwortlich. Keine einzelne Funktion kann KI allein effektiv steuern.
Das Unternehmen benötigt nach wie vor einen Verantwortlichen für das Betriebsmodell. In vielen Organisationen liegt diese Rolle naturgemäß im Bereich GRC oder Unternehmensrisiken, in enger Zusammenarbeit mit den Abteilungen Recht, Datenschutz, Sicherheit, Daten, Produkt, Beschaffung, interne Revision und der Unternehmensleitung. Der Grund dafür ist praktischer Natur: Der GRC-Bereich ist in der Regel am nächsten an den Arbeitsabläufen, Kontrollen, Belegen, Problemen, Richtlinien und der Berichterstattung.
Der für die Governance Verantwortliche sollte nicht versuchen, jede KI-Entscheidung zu genehmigen. Seine Aufgabe besteht darin, die Kohärenz des Systems zu gewährleisten. Dazu gehören die Pflege des Bestandsverzeichnisses, die Festlegung einer einheitlichen Risikomethodik, die Koordination der Prüfwege, die Sicherstellung der Qualität der Nachweise, die Verwaltung der Zuordnung von Richtlinien zu Kontrollen, die Nachverfolgung von Problemen und Ausnahmen sowie die Bereitstellung eines zuverlässigen Überblicks über das KI-Risiko für die Unternehmensleitung.
Vorstände und Führungsgremien benötigen nicht jede einzelne Anweisung, jedes Experiment oder jedes technische Detail. Sie benötigen die Gewissheit, dass der wesentliche Einsatz von KI transparent ist, klassifiziert, zugeordnet, kontrolliert und entsprechend den sich ändernden Risiken aktualisiert wird.
Wie baut man das Rückgrat der Unternehmensführung auf? Sechs Schritte für 2026
Bei der Planung für das Jahr 2026 sollten Führungskräfte aus den Bereichen Risiko und Compliance das Governance-Grundgerüst als Teil des Kontrollumfelds für die KI-Governance betrachten – mit einem einheitlichen Bestandsverzeichnis, einer einheitlichen Klassifizierungsmethode, einem einheitlichen Erfassungsworkflow, einem strukturierten Nachweismodell, gezielt eingesetzten lokalen Ergänzungen und einer kontinuierlichen Aktualisierung. Das Ziel ist die Wirksamkeit der Governance, nicht der Abschluss von Schulungen.
1.Beginnen Sie mit einer KI-Bestandsaufnahme. Erfassen Sie interne Systeme, KI von Anbietern, integrierte SaaS-Funktionen, Copiloten, Agenten, Piloten und bekannte „Schatten-KI“. Geben Sie dabei den Geschäftsverantwortlichen, die Region, die Datenkategorien, den Anwendungsfall, den Anbieter, den Status und das Überprüfungsdatum an.
2.Definieren Sie eine Klassifizierungsmethode. Ordnen Sie Anwendungsfälle nach Risikostufe, Auswirkung, Datensensibilität, betroffenen Gruppen, Bedarf an menschlicher Überwachung und zuständiger Rechtsordnungzu . Gestalten Sie die Methode so nachvollziehbar, dass sie von den Geschäftsteams angewendet werden kann.
3.Richten Sie einen einheitlichen Workflow für die Erfassung und Prüfung ein. Leiten Sie die Prüfungen je nach Risikostufe und Kontextweiter . Beziehen Sie die Abteilungen Recht, Datenschutz, Sicherheit, Produktentwicklung, Beschaffung, Risikomanagement und Compliance nur dann ein, wenn deren Prüfung relevant ist.
4.Erstellen Sie das Nachweismodell. Definieren Sie die erforderlichen Aufzeichnungen für jede Risikostufe: Entscheidungsbegründung, Testnachweise, Zuordnung von Kontrollmaßnahmen, Zusicherungen von Lieferanten, menschliche Überwachung, Genehmigungen, Ausnahmen, Vorfälle und Abhilfemaßnahmen.
5.Fügen Sie lokale Ergänzungen gezielt hinzu. Dokumentieren Sie jede lokale Ergänzung und verweisen Sie dabei stets auf den Markt, die Vorschriften, die Branchenregeln, die Erwartungen der Aufsichtsbehörden oder die Kundenanforderungen, die zu ihrer Einführung geführt haben.
6.Aktualisieren Sie das Modell kontinuierlich. Lösen Sie eine Neubewertungaus , wenn sich KI-Systeme ändern, Anbieter neue KI-Funktionen veröffentlichen, Gesetze oder Richtlinien geändert werden, Probleme auftreten oder sich der geschäftliche Einsatz auf neue Märkte ausweitet.
Aufbau eines globalen KI-Governance-Modells mit Archer
Archer unterstützt Unternehmen dabei, die KI-Governance von einer Reihe regionaler Projekte zu einem vernetzten GRC-Betriebsmodell zu entwickeln. Im Vordergrund steht dabei, KI-Bestandsaufnahme, Risikoklassifizierung, Kontrollanforderungen, Nachweise, Anbieterzertifizierungen, Probleme, Ausnahmen und Berichterstattung an einem Ort zu bündeln.
Dies bietet Teams eine praktische Möglichkeit, das EU-KI-Gesetz als Grundlage zu nutzen und gleichzeitig lokale Anforderungen zu berücksichtigen. Ein Anwendungsfall kann einmalig erfasst, einheitlich klassifiziert, an die richtigen Prüfer weitergeleitet, mit Kontrollmaßnahmen verknüpft, Verantwortlichen zugewiesen und über den gesamten Lebenszyklus hinweg nachverfolgt werden. Lokale Anpassungen können hinzugefügt werden, ohne dass dabei der unternehmensweite Überblick verloren geht.
Dieser Ansatz bietet der Unternehmensleitung eine solidere Grundlage für die Aufsicht. Anstatt jede Region einzeln um einen aktuellen Bericht zu bitten, können die Führungskräfte auf einen Blick erkennen, wo eine wesentliche Nutzung von KI stattfindet, welche Risikostufe damit verbunden ist, welche Kontrollmaßnahmen bestehen, welche Belege vorliegen und welche Punkte besonderer Aufmerksamkeit bedürfen.
Erfahren Sie mehr über Archer AI Governance: https://www.archerirm.com/ai-governance
Erfahren Sie mehr über Archer GRC Solutions: https://www.archerirm.com/
Häufig gestellte Fragen
Warum sollte das EU-KI-Gesetz als Ausgangspunkt für eine globale KI-Regulierung dienen?
Das EU-KI-Gesetz bietet Organisationen einen strukturierten Rahmen, um KI-Systeme zu klassifizieren, verbotene und risikoreiche Anwendungsfälle zu identifizieren, Anforderungen an die Dokumentation festzulegen und die KI-Governance mit Kontrollen über den gesamten Lebenszyklus hinweg zu verknüpfen. Für global tätige Organisationen kann dieser Rahmen eine praktische Grundlage bilden, selbst wenn die lokalen Anforderungen voneinander abweichen.
Ersetzt ein globales Governance-Modell die lokale Rechtsauslegung?
Nein. Ein globales Modell bildet die gemeinsame Grundlage. Lokale rechtliche, regulatorische, branchenbezogene und aufsichtsrechtliche Anforderungen sollten als Überlagerungen behandelt werden, damit das Unternehmen die Konsistenz wahrt und gleichzeitig marktspezifische Verpflichtungen erfüllt.
Inwiefern passt das NIST AI RMF zu diesem Ansatz?
Das NIST AI RMF kann dabei helfen, das Risikomanagement anhand der Schritte „Govern“, „Map“, „Measure“ und „Manage“ zu strukturieren. Diese Funktionen lassen sich auf dasselbe Betriebsmodell übertragen, das auch für die Vorbereitung auf das EU-KI-Gesetz verwendet wird, insbesondere in Bezug auf Rechenschaftspflicht, Risikokartierung, Risikomessung und Risikobehandlung.
Inwiefern passt die Norm ISO/IEC 42001 zu diesem Ansatz?
ISO/IEC 42001 unterstützt einen Ansatz für ein KI-Managementsystem. Die Norm hilft Organisationen dabei, Richtlinien, Prozesse und Governance-Strukturen für einen verantwortungsvollen Einsatz von KI einzuführen, aufrechtzuerhalten und kontinuierlich zu verbessern. Damit stellt sie eine nützliche Ergänzung zu einem globalen Rahmenwerk für KI-Governance dar.
Was sollte in allen Märkten einheitlich sein?
Der Kernbestand, die Risikoklassifizierungsmethode, der Erfassungsprozess, das Nachweismodell, die Eigentümerstruktur, der Ausgabeprozess und die Berichtslogik sollten soweit wie möglich einheitlich sein. Lokale Anforderungen sollten Felder, Dokumente, Genehmigungen oder Berichtsansichten nur dort hinzufügen, wo dies erforderlich ist.
Wie kann Archer ein globales KI-Governance-Modell unterstützen?
Archer kann dabei helfen, KI-Bestandserfassung, Bewertung, Kontrollabbildung, Lieferantenüberprüfung, Arbeitsabläufe, Problemverfolgung, Nachweise und Berichterstellung in einem strukturierten GRC-Modell miteinander zu verknüpfen. Dies unterstützt sowohl die unternehmensweite Konsistenz als auch lokale Governance-Vorgaben.
Quellen
[*1] AI Act Service Desk, Artikel 2: Geltungsbereich: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-2
[*2] AI Act Service Desk, Zeitplan für die Umsetzung des EU-KI-Gesetzes: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
[*3] Europäische Kommission, Fragen und Antworten zur KI-Kompetenz: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
[*4] ISO, ISO/IEC 42001:2023 Informationstechnologie – Künstliche Intelligenz – Managementsystem: https://www.iso.org/standard/42001
[*5] NIST, Rahmenwerk für das Risikomanagement im Bereich der künstlichen Intelligenz 1.0: https://www.nist.gov/itl/ai-risk-management-framework
[*6] OECD, Grundsätze zur künstlichen Intelligenz: https://oecd.ai/en/ai-principles
