Künstliche Intelligenz (KI) entwickelt sich in vielen Unternehmen vom Experiment zum festen Bestandteil des Arbeitsalltags. Fachbereiche identifizieren neue Anwendungsfälle, erste Produktivsysteme entstehen und der Wunsch nach mehr Effizienz ist groß.
Mit dem Übergang in den Produktivbetrieb wächst der Steuerungsbedarf: Unternehmen müssen Anwendungsfälle, Verantwortlichkeiten und Risiken dauerhaft im Blick behalten.
AI Governance beschreibt den organisatorischen Rahmen, mit dem Unternehmen den Einsatz von KI transparent, nachvollziehbar und kontrollierbar gestalten.
Genau diesem Spannungsfeld widmeten sich André Hanke und Maximilian Müller in einem Webinar zur praktischen Umsetzung von AI Governance. Dabei wurde deutlich: Viele Herausforderungen entstehen erst im produktiven Betrieb von KI-Anwendungen.
Die eigentliche Herausforderung beginnt nach dem Go-live
Viele Unternehmen investieren aktuell viel Zeit in die Auswahl geeigneter KI-Lösungen. Die schwierigeren Fragen stellen sich oft erst im laufenden Betrieb.
Werden Ergebnisse noch zuverlässig erzeugt? Haben sich Datenquellen oder Berechtigungen verändert? Und welche Folgen entstehen, wenn eine KI-Anwendung fehlerhafte Aussagen trifft?
Ein öffentlich bekannt gewordener Fall eines Kundenchatbots verdeutlicht diese Problematik. Der Fall ging weder auf einen Cyberangriff noch auf eine gezielte Manipulation des Systems zurück. Das Unternehmen hatte nicht sichergestellt, dass die Antworten des Chatbots mit den geltenden Richtlinien übereinstimmen.
Der Schaden entstand durch fehlende Governance.
Menschen werden KI nutzen, wenn sie darin einen Mehrwert für ihre Arbeit sehen. Die Frage ist deshalb nicht, ob das passiert, sondern ob Unternehmen dafür sichere und praktikable Rahmenbedingungen schaffen.
Maximilian Müller, Principal usd Security Consulting | AI Governance, usd AG
Warum für AI Governance der Anwendungsfall entscheidend ist
Das Beispiel zeigt, dass AI Governance weit über technische Fragen hinausgeht. Unternehmen müssen verstehen, an welcher Stelle und für welchen Zweck KI eingesetzt wird, welche Risiken aus dem jeweiligen Nutzungskontext entstehen und wie sich diese dauerhaft steuern lassen.
Der EU AI Act erhöht den Handlungsdruck zusätzlich. Wichtig ist dabei eine zentrale Grundannahme des Gesetzes:
Für die regulatorische Einordnung eines KI-Systems ist entscheidend, wofür und in welchem Kontext es eingesetzt wird.
Derselbe KI-Dienst kann je nach Einsatz sehr unterschiedliche Anforderungen auslösen. Ein KI-System ist für die Zusammenfassung von Besprechungsnotizen unkritisch. Wird dasselbe Sprachmodell zur Vorauswahl von Bewerbungen eingesetzt, handelt es sich jedoch um ein Hochrisiko-System mit entsprechend umfangreichen Pflichten. Unternehmen brauchen daher neben einer Übersicht der eingesetzten KI-Tools auch Transparenz über ihre tatsächlichen KI-Anwendungsfälle. Diese Transparenz bildet die Voraussetzung, um Risiken zu bewerten und geeignete Kontrollen abzuleiten.
Warum klassisches Risikomanagement allein nicht ausreicht
Bestehende Governance-, Risikomanagement- und ISMS-Prozesse schaffen eine wichtige Grundlage für AI Governance. KI-Systeme bringen jedoch zusätzliche Herausforderungen mit sich, die Unternehmen in diesen Prozessen berücksichtigen müssen.
Modellupdates, veränderte Datenquellen und neue Integrationen können die Ergebnisse eines KI-Systems beeinflussen. Das Risikoprofil eines KI-Systems ergibt sich daher aus dem gesamten Nutzungskontext:
- Modell,
- Daten,
- angebundene Systeme,
- Nutzergruppen,
- Grad der Autonomie,
- konkreter Anwendungsfall.
Ändert sich einer dieser Faktoren, kann sich auch das Risikoprofil ändern, ohne dass dies unmittelbar auffällt. Genau deshalb benötigen Unternehmen eine Governance-Perspektive, die über klassische System- und Asset-Betrachtungen hinausgeht.
Ein Risk Assessment bildet immer nur den aktuellen Stand ab. Ändern sich das Modell, die Datenquellen oder die Systemanbindungen, muss auch die Risikobewertung aktualisiert werden. Andernfalls beruhen die Kontrollen schnell auf Voraussetzungen, die so nicht mehr gelten.
André Hanke, ISO/IEC 42001 Lead Implementer und Senior IT Security Consultant, usd AG
AI Governance darf Innovation nicht ausbremsen
Ein häufiger Fehler besteht darin, Governance ausschließlich über Verbote abzubilden.
Dadurch entsteht oft genau das Problem, das eigentlich vermieden werden soll: Mitarbeitende nutzen nicht freigegebene KI-Anwendungen außerhalb der definierten Prozesse. Die Folge sind Intransparenz und sogenannte Shadow AI.
Erfolgreiche AI Governance sorgt dafür, dass neue KI-Anwendungsfälle kontrolliert eingeführt und betrieben werden können, ohne KI von Anfang an zu bremsen.
Fazit: KI-Anwendungen dauerhaft steuerbar halten
Mit zunehmender Verbreitung von KI gewinnt die kontinuierliche Steuerung an Bedeutung. AI Governance schafft dafür klare Zuständigkeiten, eine belastbare Risikobewertung und wirksame Kontrollen über den gesamten Lebenszyklus eines KI-Anwendungsfalls.
Sie möchten KI in Ihrem Unternehmen dauerhaft sicher und kontrolliert einsetzen? Gemeinsam betrachten wir Ihre KI-Anwendungsfälle, ordnen bestehende Strukturen ein und schauen, welche nächsten Schritte für Ihre konkrete Situation sinnvoll sind. Kontaktieren Sie uns gern.
