Risikoausschuss
Jedes Team bewertet KI-Risiken auf eigene Weise, sodass die Tabellen kein Gesamtbild ergeben.
Interne Revision
Die Teams sagen, die Maßnahmen seien umgesetzt, doch die Nachweise sind über Postfächer und Netzlaufwerke verstreut.
Erste Linie
Der Chatbot läuft inzwischen auf einem neueren Modell, doch seine Einstufung steht noch auf „Mittel“.
So läuft es heuteWie es sein sollte
- So läuft es heute
KI als einzelner Eintrag unter Technologierisiken geführt
Wie es sein sollteJedes KI-System erfasst, samt seiner Risiken
- So läuft es heute
Bewertungen einmal im Jahr aktualisiert
Wie es sein sollteNeu bewertet, sobald sich Modell, Einsatz oder Anbieter ändern
- So läuft es heute
Die zweite Linie hakt bei der ersten ständig nach
Wie es sein sollteVerantwortliche der ersten Linie halten ihre Einträge selbst aktuell
- So läuft es heute
Nachweise erst in den Wochen vor dem Audit gesammelt
Wie es sein sollteBelege an den Kontrollen hinterlegt, während die Arbeit erledigt wird
Ist das noch eine Plattform, die mein Team pflegen muss?
Die Pflege übernehmen die Personen, die das jeweilige System betreiben. Jede Kontrolle erhält einen Verantwortlichen und ein Fälligkeitsdatum, Dashboards zeigen je KI-Produkt, was bald fällig und was überfällig ist, und Ihr Team legt die Frameworks fest und prüft die Arbeit, statt Aktualisierungen per E-Mail hinterherzulaufen.
Müssen wir KI-Risiken aus unserer GRC-Plattform herauslösen?
Nein. Ihre GRC-Plattform bleibt das führende System für Unternehmensrisiken. Enzai enthält die KI-Details darunter: jedes System, seinen Verantwortlichen, seine Bewertungen und Risiken, eingestuft nach Auswirkung und Eintrittswahrscheinlichkeit. Anhand der Berichte von Enzai entscheidet Ihr Team, was nach oben übernommen wird, und kann neben dem EU AI Act und ISO 42001 ein eigenes Kontrollframework nutzen.
Wie viel ist automatisiert, und wie viel bleibt an meinem Team hängen?
Nachweise aus erfassten Metriken werden automatisch eingetragen, und ein System erhält nur die Kontrollen, die seine Klassifizierung erfordert. Das Urteil bleibt beim Menschen: Ihre Prüfer bewerten jedes Risiko und geben jede Kontrolle frei, und die Verantwortlichen belegen, dass jede Minderungsmaßnahme umgesetzt wurde. Eine Bewertung ist erst abgeschlossen, wenn jede Kontrolle freigegeben ist.
Welche Daten gelangen in Enzai, und welche nicht?
Enzai enthält die Governance-Dokumentation: Systeme, Verantwortliche, Bewertungen, Risiken, Entscheidungen und die Nachweise, die Ihr Team anhängt. Importe aus Cloud-KI-Plattformen übernehmen Modelleinträge, nicht die zugrunde liegenden Daten. Wenn Sie die KI-Erkennung hinzunehmen, meldet sie in aggregierter Form, welche KI-Tools genutzt werden, ohne Personen zu nennen.
Wir stehen am Anfang. Brauchen wir zuerst ein bereinigtes Inventar?
Nein. Beginnen Sie mit Ihrer vorhandenen Liste. Erfassen Sie diese Systeme, weisen Sie jedem einen Verantwortlichen zu und wenden Sie ein Framework auf die wenigen an, die das größte Risiko tragen. Neue KI kommt dann über Anfragen hinzu, sodass der Bestand mit jeder Anfrage wächst. Aktivieren Sie später die KI-Erkennung, um die Tools zu finden, die niemand gelistet hat.
Hält der Prüfpfad stand, wenn die interne Revision ihn testet?
Er ist auf Stichproben ausgelegt. Jede Anfrage hält fest, wer sie geprüft und wer sie freigegeben hat, unter welchen Bedingungen und wann, und lässt sich als Bericht herunterladen. Jedes Risiko zeigt seine Einstufung vor und nach der Behandlung, mit den Minderungsmaßnahmen und Nachweisen hinter der Änderung. Ob das der Revision genügt, entscheidet die Revision.
Der Einstieg
