OG-Bild

Wenn die Verantwortung für die KI-Governance auf die Bereiche Recht, Datenschutz, Beschaffung und Technologie aufgeteilt bleibt, geraten KI-Risiken durch die Maschen. Und genau das ist heute in den meisten Unternehmen der Fall.

Die KI-Governance versagt nicht, weil Menschen nachlässig sind. Sie versagt, weil niemand die durchgängige Verantwortung dafür trägt.

Wenn ein neues KI-Tool in das Unternehmen eingeführt wird, verläuft der Überprüfungsprozess in der Regel nach einem bekannten Schema. Das Unternehmen wählt das Tool aus. Ein Pilotprojekt wird gestartet. Interne Daten werden angebunden. Die Abteilungen für Recht, Datenschutz, Beschaffung und Sicherheit prüfen jeweils ihren Teil des Gesamtbildes, bevor das System in Betrieb genommen wird. Oberflächlich betrachtet sieht das nach Governance aus. Unbeantwortet bleibt jedoch die größere Frage: Wer ist dafür verantwortlich, dass dieses System so genutzt wird, dass das Unternehmen dessen Einsatz langfristig erklären, überwachen und verantworten kann?

Sobald KI aktiv zum Einsatz kommt, besteht die eigentliche Herausforderung nicht mehr darin, ob jemand einen Vertrag geprüft oder eine Richtlinie genehmigt hat. Die Herausforderung besteht vielmehr darin, ob die Organisation über ein funktionierendes Modell für die Überwachung nach der Einführung verfügt – ein Modell, das regelt, wie Systeme klassifiziert werden, welche Kontrollmaßnahmen erforderlich sind, wer die Leistung überwacht, wie Probleme eskaliert werden und wer die Verantwortung übernimmt, wenn etwas schiefgeht.

 

Warum GRC der richtige Rahmen für die KI-Governance ist

Es gibt einen Grund dafür, dass GRC so aufgebaut ist, wie es ist. Die Verknüpfung von Risiken, Kontrollen, Compliance und Berichterstattung zu einem unternehmensweiten Betriebsmodell ist kein Nebenprodukt dieser Funktion. Sie ist der eigentliche Sinn und Zweck. Und genau diese Konzeption macht GRC zum idealen Rahmen für die KI-Governance.

Das ist keine Kritik an der Rechtsabteilung. Die Rechtsabteilung ist unverzichtbar. Sie legt Verpflichtungen aus, definiert Grenzen und berät hinsichtlich von Risiken. Doch die Auslegung der Vorschriften und deren Umsetzung in die Praxis sind zwei unterschiedliche Aufgaben. Die Rechtsabteilung ist in der Regel nicht darauf ausgelegt, ein kontinuierliches Überwachungsprogramm durchzuführen. Workflows zur Erfassung, Risikoklassifizierung, Abgleich von Kontrollmaßnahmen, Prüfung von Belegen, Problemmanagement und Risikoberichterstattung an den Vorstand sind Aufgabenbereiche des GRC, nicht der Rechtsabteilung.

Angesichts des zunehmenden regulatorischen Drucks lässt sich diese Unterscheidung immer schwerer ignorieren. Die KI-Governance bewegt sich weg von der politischen Ebene hin zur operativen Umsetzung. So wird dies beispielsweise durch das EU-KI-Gesetz konkretisiert, dessen Relevanz weit über europäische Organisationen hinausreicht. Seine Struktur spiegelt die Logik eines ausgereiften GRC-Programms wider: Risikoklassifizierung, dokumentierte Kontrollmaßnahmen, fortlaufende Überwachung, Vorfallbearbeitung und festgelegte Zuständigkeiten. Dabei handelt es sich nicht um einmalige rechtliche Aufgaben, sondern um kontinuierliche Managementverpflichtungen.

Genau hier stößt eine rechtlich orientierte KI-Governance häufig an ihre Grenzen. Ein Unternehmen kann über eine umfassende Richtlinie, ein fundiertes Rechtsgutachten und einen vollständigen Satz von Überprüfungsnotizen verfügen und dennoch nicht in der Lage sein, die operativen Fragen zu beantworten, die Aufschluss darüber geben, ob Governance in der Praxis tatsächlich vorhanden ist:

  • Welche KI-Systeme werden derzeit im gesamten Unternehmen eingesetzt?
  • Wie wurden sie klassifiziert, und von wem?
  • Welche Genehmigungen waren vor der Inbetriebnahme erforderlich?
  • Welche Daten wurden vor dem Start erfasst?
  • Wer überwacht diese Systeme heute?
  • Was passiert, wenn die Leistung nachlässt oder sich der Anwendungsfall erweitert?

Wenn es auf diese Fragen keine klaren Antworten gibt, verfügt die Organisation über Dokumentation, aber nicht über Governance.

 

Wie ein GRC-gesteuertes KI-Governance-Modell tatsächlich aussieht

Die Einbindung von KI-Governance in das bestehende GRC-Modell bedeutet nicht, dass GRC isoliert funktioniert. Es bedeutet vielmehr, dass GRC die Struktur bereitstellt, die die Teams aus den Bereichen Recht, Datenschutz, Beschaffung, Sicherheit, Daten und Geschäft zu einem zusammenhängenden Ganzen verbindet. Ohne diese Struktur sieht jeder Bereich nur einen Teil des Risikos, das Kontrollumfeld bleibt fragmentiert, und die Rechenschaftspflicht geht in dem Moment verloren, in dem ein Tool in Betrieb genommen wird.

In der Praxis beginnt der Weg dorthin damit, dass man einige Grundlagen gut beherrscht.

  1. Erstellen Sie eine vollständige Bestandsaufnahme der verwendeten KI-Systeme. Dazu gehören nicht nur intern entwickelte Modelle, sondern auch KI-Funktionen, die in Plattformen von Drittanbietern und SaaS-Produkten integriert sind.
  2. Klassifizieren Sie diese Systeme nach ihrem Risiko auf eine Weise, die klar und reproduzierbar ist. Das Ziel besteht nicht darin, eine Theorie zu entwickeln. Das Ziel ist es, sicherzustellen, dass das Unternehmen weiß, welche Anwendungsfälle eine eingehendere Prüfung, strengere Kontrollen und eine genauere Überwachung erfordern.
  3. Legen Sie fest, wer was genehmigt. Geschäftsteams benötigen einen transparenten Ablauf für die Entgegennahme, Prüfung, Eskalation und Freigabe. Wenn die Genehmigung von Ad-hoc-Gesprächen abhängt, wird der Prozess nicht funktionieren.
  4. Legen Sie Mindestanforderungen für die Kontrolle fest. Tests, Überwachung, Protokollierung, Überprüfung von Lieferanten und Eskalation von Problemen sollten nicht jedes Mal der individuellen Auslegung überlassen bleiben.
  5. Die KI-Aufsicht sollte in bestehende GRC-Prozesse eingebunden werden. KI-Risiken sollten in dieselbe übergeordnete Struktur einfließen, die auch für das Problemmanagement, die Sicherstellung der Kontrollen und die Berichterstattung an den Vorstand genutzt wird.

Vom Compliance-Thema zum Unternehmensrisiko

Wenn die KI-Governance in das GRC-System eingebettet wird, vollzieht sich für Vorstände und die oberste Führungsebene eine wichtige Veränderung: KI wird nicht mehr als eng gefasstes Compliance-Thema betrachtet, sondern als Teil des Unternehmensrisikos gesteuert. Genau dort gehört sie hin. Die Risiken sind zu weitreichend und die geschäftlichen Auswirkungen zu real, als dass die KI-Aufsicht in einem Nebenprozess ohne klaren Verantwortlichen verbleiben könnte.

Unternehmen brauchen keinen neuen Ausschuss mit vagen Befugnissen. Sie brauchen eine klar definierte Funktion, die den Prozess steuert, das Nachweismodell pflegt und sicherstellt, dass die Rechenschaftspflicht nicht verloren geht, sobald ein Tool in Betrieb genommen wird. Diese Funktion ist GRC, und die Zuweisung dieser Aufgabe muss vor der nächsten Einführung erfolgen – nicht erst nach dem ersten Vorfall.

Wie Archer die KI-Governance unterstützt

Archer stellt GRC-Teams die Werkzeuge zur Verfügung, um KI-Risiken als operative Disziplin und nicht als reine Compliance-Maßnahme zu verwalten. Die Teams können ein zentralisiertes KI-Inventar erstellen, Systeme anhand einer auf den EU-KI-Gesetz abgestimmten Kontrollbibliothek klassifizieren und Datenschutz- sowie ethische Folgenabschätzungen durchführen – und das alles auf derselben Plattform, die auch für das Unternehmensrisikomanagement, die Überwachung von Drittanbietern und die Berichterstattung an den Vorstand genutzt wird.

Erfahren Sie hier mehr über Archer AI Governance: https://www.archerirm.com/ai-governance

Wenn Ihr Unternehmen bereit ist, die KI-Governance von der Theorie in die Praxis umzusetzen, ist Archer genau das Richtige für Sie. Fordern Sie eine Demo anoder kontaktieren Sie uns, um loszulegen.

Häufig gestellte Fragen

Wer sollte innerhalb einer Organisation für die KI-Governance zuständig sein?

Die Verantwortung für die KI-Governance sollte bei den GRC-Teams (Governance, Risk und Compliance) liegen, da diese dafür ausgelegt sind, Risikomanagement, Compliance-Anforderungen und operative Kontrollen unternehmensweit miteinander zu verknüpfen. Zwar spielen die Bereiche Recht, Datenschutz, Sicherheit und IT alle eine wichtige Rolle, doch bietet GRC die zentralisierte Struktur, die erforderlich ist, um eine einheitliche Aufsicht, Rechenschaftspflicht und ein einheitliches Lebenszyklusmanagement von KI-Systemen zu gewährleisten.

Warum reichen die Rechtsabteilung oder die IT-Abteilung allein für die KI-Governance nicht aus?

Rechts- und IT-Teams leisten einen entscheidenden Beitrag, sind jedoch nicht dafür ausgelegt, eine kontinuierliche Überwachung aller KI-Systeme zu gewährleisten. Die Rechtsabteilung konzentriert sich auf die Auslegung von Vorschriften und vertragliche Risiken, während die IT-Abteilung den Schwerpunkt auf die Implementierung und die Infrastruktur legt. KI-Governance erfordert eine kontinuierliche Überwachung, Risikoklassifizierung, Überprüfung der Kontrollmaßnahmen und Berichterstattung – Funktionen, die eher zum Kern von GRC-Betriebsmodellen gehören als zu isolierten Abteilungen.

Welche Risiken entstehen, wenn es bei der KI-Governance keinen einzigen Verantwortlichen gibt?

Ohne ein klares Zuständigkeitsmodell wird die KI-Governance auf verschiedene Abteilungen aufgesplittert, was zu uneinheitlichen Genehmigungsverfahren, eingeschränkter Transparenz hinsichtlich der eingesetzten KI-Systeme und unklaren Verantwortlichkeiten im Falle von Problemen führt. Dies erhöht das Risiko von Verstößen gegen gesetzliche Vorschriften, operativen Risiken und ethischen Bedenken, insbesondere da KI-Tools ohne zentrale Aufsicht auf verschiedene Unternehmensbereiche ausgeweitet werden.