Glossar
Aktualisiert
Was ist KI-Governance?
KI-Governance ist das System, mit dem eine Organisation Entscheidungen über KI trifft und für sie einsteht. Sie beantwortet praktische Fragen. Welche KI nutzen wir? Wer hat sie freigegeben, und unter welchen Bedingungen? Welche Gesetze gelten? Was darf jedes System, und wer kontrolliert das? Sie umfasst KI, die die Organisation selbst entwickelt, KI, die sie einkauft, KI, die in bereits genutzter Software mitkommt, und KI-Agenten, die in ihrem Auftrag handeln.
Was gehört zu einem KI-Governance-Programm?
Die meisten Programme haben sechs Bausteine gemeinsam. Ein KI-Inventar, das jedes System mit einem Verantwortlichen erfasst. Ein Antragsprozess, der neue KI prüft, bevor sie in Betrieb geht. Risikobewertung und Compliance, abgebildet auf die geltenden Gesetze und Standards. Kontrollen, die festlegen, was jedes Tool und jeder Agent darf. Überwachung nach dem Start. Und eine Dokumentation von Entscheidungen und Nachweisen, die standhält, wenn ein Auditor, eine Aufsichtsbehörde oder ein Kunde nachfragt.
Wer ist für KI-Governance verantwortlich?
Meist kein einzelnes Team. Sicherheit, Datenschutz, Recht, Risikomanagement, Responsible AI und Entwicklung sind jeweils beteiligt, und jedes Team baut gern seine eigene Prüfung auf. Das Ergebnis sind sich überschneidende Fragebögen und kein Gesamtbild der eingesetzten KI. Organisationen, bei denen es funktioniert, einigen sich auf ein gemeinsames Verzeichnis und einen einzigen Eingang für neue KI und lassen jedem Team seine eigenen Entscheidungen. Ein Sponsor auf Führungsebene und ein funktionsübergreifendes Gremium legen in der Regel die Richtlinien fest und schlichten Konflikte. Mehr dazu in unserem Beitrag zur teamübergreifenden Bündelung der KI-Governance.
Welche Frameworks prägen KI-Governance?
ISO/IEC 42001 definiert ein zertifizierbares KI-Managementsystem: KI-Politik, Rollen, Risikobewertung, Folgenabschätzung, Maßnahmen und fortlaufende Verbesserung. Das NIST AI RMF stellt Governance an den Anfang, mit einer GOVERN-Funktion für Richtlinien, Verantwortlichkeiten, Personal und Kultur. Der EU AI Act legt Pflichten für Anbieter und Betreiber fest, die eine solche Struktur voraussetzen.
Womit sollten Sie beginnen?
Beginnen Sie mit dem Inventar, denn alle anderen Bausteine setzen voraus, dass Sie wissen, was vorhanden ist. Schalten Sie dann einen einheitlichen Antragsprozess vor jede neue KI, mit einer schlanken Prüfung für risikoarme Verwendungen und einer gründlicheren, wo mehr auf dem Spiel steht. So ist der offizielle Weg zugleich der schnelle. Ergänzen Sie Frameworks und Kontrollen, wenn Ihre Risikoexposition wächst. Verfassen Sie früh eine kurze Nutzungsrichtlinie, und ergänzen Sie Details, sobald Sie wissen, was im Einsatz ist.
Enzai vereint diese Bausteine in einer Plattform: KI-Erkennung und -Inventar, KI-Antragsprozess und Prüfung, KI-Risiko und Compliance sowie KI-Agenten-Governance. Worauf Sie bei einem Tool achten sollten, lesen Sie unter KI-Governance-Software.
Beispiel
Eine global tätige Bank stellt fest, dass ihre Teams für Sicherheit, Datenschutz und Modellrisiko jeweils eigene KI-Prüfungen durchführen und keines eine vollständige Liste der eingesetzten KI hat. Sie baut ein einziges Inventar auf, ausgehend von Lieferantenverträgen und ihrem Modellinventar, und richtet ein einheitliches Antragsformular ein, das jede Anfrage an die betroffenen Teams weiterleitet. Risikoarme interne Tools erhalten eine kurze Prüfung, Verwendungen mit Kundenkontakt gehen an das vollständige Prüfgremium. Ein Ausschuss unter Vorsitz des Chief Risk Officer legt die Richtlinien fest und schlichtet Konflikte. Fragt eine Aufsichtsbehörde nach ihrer KI-Landschaft, antwortet die Bank aus einer einzigen Quelle.