Aufbau eines KI-System-Repositorys für den EU AI Act mit ArchiMate

Künstliche Intelligenz wird zunehmend zu einem festen Bestandteil des täglichen Geschäftsbetriebs. Unternehmen setzen KI-Assistenten, KI-Agenten, Copiloten und generative KI-Funktionen in unterschiedlichsten Bereichen ein – vom Kundenservice über die Softwareentwicklung bis hin zu HR, Finanzen und zahlreichen weiteren Geschäftsbereichen. Während technische Discovery-Quellen KI-bezogene Komponenten identifizieren können, stehen Organisationen heute vor einer anderen Herausforderung: der gezielten Steuerung und Verwaltung dieser Systeme.

Der EU AI Act bringt neue Verpflichtungen für Unternehmen mit sich, die KI-Systeme entwickeln oder einsetzen. Um diese Anforderungen zu erfüllen, benötigen Organisationen ein Inventar, das erklärt, was ein KI-System tut, warum es existiert, wo es eingesetzt wird, wer dafür verantwortlich ist und welche Geschäftsprozesse und Daten davon betroffen sind.

Dieser Artikel stellt ein auf ArchiMate basierendes Pattern zum Aufbau eines solchen AI System Repositorys vor.

Fragt man heutzutage ein Unternehmen, wie viele KI-Agenten aktuell im Einsatz sind, kann oft keine klare Antwort gegeben werden. Schnell entstehen Fragen wie:

• Welche KI-Agenten werden im Unternehmen eingesetzt?
• Welche Geschäftsprozesse nutzen KI?
• Welche Anwendungen enthalten KI-Funktionen?
• Welche KI-Modelle kommen zum Einsatz?
• Wer ist für die einzelnen KI-Agenten verantwortlich?
• Welche Daten werden verarbeitet?
• Welche KI-Systeme gelten nach dem EU AI Act als Hochrisiko-KI-Systeme?

Unternehmen können verschiedene Discovery-Quellen nutzen, darunter Microsoft Entra, Azure AI Foundry, Microsoft Defender, Cloud-Plattformen und CI/CD-Pipelines, um KI-bezogene Komponenten zu identifizieren. Diese Quellen liefern wertvolle Hinweise darauf, dass KI vorhanden ist – sie erklären jedoch nicht, warum sie eingesetzt wird, wie sie im Unternehmen genutzt wird oder wer dafür verantwortlich ist.

Der EU AI Act schafft daher die Notwendigkeit für ein unternehmensweites KI-Inventar anstatt lediglich für eine weitere Liste technischer Assets.

Der EU AI Act verfolgt einen risikobasierten Ansatz. Je nach Klassifizierung eines KI-Systems unterscheiden sich die Anforderungen. Grundsätzlich müssen Unternehmen jedoch Informationen wie die folgenden dokumentieren:

• KI-System oder KI-Agent
• Zweckbestimmung
• Anbieter
• Betreiber
• Fachlicher Eigentümer
• Risikoklassifizierung
• Geschäftlicher Kontext
• Verarbeitete Daten
• Menschliche Aufsicht
• Relevante Governance- und regulatorische Vorgaben

Für Hochrisiko-KI-Systeme werden zusätzliche Anforderungen besonders wichtig, darunter technische Dokumentation, Protokollierung, Risikomanagement und menschliche Kontrolle.

Die Verordnung verlangt also nicht nur, dass Unternehmen wissen, dass ein KI-System existiert. Sie müssen auch nachweisen können, wie dieses System über seinen gesamten Lebenszyklus hinweg gesteuert und kontrolliert wird.

Technische Discovery-Quellen liefern wertvolle Informationen darüber, welche KI-bezogenen Komponenten in der IT-Landschaft eines Unternehmens vorhanden sind. Um jedoch die Anforderungen des EU AI Act zu erfüllen, müssen diese technischen Informationen in ihren geschäftlichen und architektonischen Kontext eingeordnet werden.

Genau hier kommt Enterprise Architecture Management ins Spiel.

Enterprise Architecture Management verbindet KI-Funktionen mit den Geschäftsprozessen, die sie unterstützen, den Anwendungen, die sie bereitstellen, den Daten, die sie verarbeiten, den verantwortlichen Personen sowie den Governance-Anforderungen, die sie erfüllen müssen. Statt voneinander getrennte Inventare zu pflegen, entsteht dadurch ein zentrales Repository, das Geschäfts-, Anwendungs-, Daten- und Governance-Perspektiven miteinander verbindet.

ArchiMate eignet sich besonders gut für diese Aufgabe, da das Framework bereits über die notwendigen Konzepte verfügt, um diese Beziehungen abzubilden.

ArchiMate-Pattern zur Dokumentation von KI-Agenten

In diesem Modell wird ein KI-Agent als Spezialisierung eines Applikationsservice dargestellt. Der KI-Agent wird mit den Geschäftsprozessen und Geschäftsrollen verknüpft, die ihn nutzen, sowie mit der Applikationskomponente, die ihn implementiert, dem Grundmodell (LLM), das seine KI-Funktionen bereitstellt, und den Datenobjekten, die er verarbeitet. Anwendbare Einschränkungen erfassen regulatorische Anforderungen wie den EU AI Act oder interne Governance-Richtlinien. Zusätzlich können Artefakte, die durch automatisierte Überwachung erkannt wurden, mit dem KI-Agenten verknüpft werden. Dadurch entsteht ein Nachweis für dessen Existenz und es lassen sich bisher undokumentierte KI-Funktionen identifizieren.

Neben diesen Beziehungen speichert der KI-Agent selbst wichtige Governance-Informationen als Eigenschaften – darunter Zweck, fachlicher Eigentümer, Risikoklassifizierung, Hochrisiko-Status, Version, Lebenszyklusstatus und Kritikalität. Durch die Kombination dieser Beziehungen und Eigenschaften entsteht ein umfassendes Inventar der KI-Fähigkeiten – sowohl aus geschäftlicher als auch aus Governance-Perspektive.

Das ArchiMate-Modell bildet die Grundlage für eine praxisnahe KI-Governance. ADOIT unterstützt die vollständige Verwaltung des KI-Inventars über den gesamten Lebenszyklus hinweg:

Formulare – Erfassen und verwalten Sie KI-Agenten, ihren Geschäftskontext, Verantwortlichkeiten, Risikoklassifizierung und Governance-Informationen strukturiert.

ADOIT Forms zur Registrierung von KI-Agenten

Berichte – Erstellen Sie KI-Inventare, Compliance-Berichte, Verantwortlichkeitsübersichten und weitere Dokumentationen für Governance, Audits und regulatorisches Reporting.

Berichterstattung zu KI-Agenten in ADOIT

KI-gestützte Risikoklassifizierung – Analysieren Sie dokumentierte KI-Agenten und lassen Sie automatisch eine Risikoklassifizierung nach dem EU AI Act auf Basis ihrer Metadaten vorschlagen. Der ADOIT AI Assistant erläutert seine Bewertung, weist auf fehlende Informationen hin und unterstützt transparente, vom Menschen überprüfte Compliance-Entscheidungen.

KI-gestützte Risikoklassifizierung in ADOIT

Dashboards – Visualisieren Sie KI-Inventare, Dokumentationsgrad, Hochrisiko-KI-Systeme, Governance-Status und erkannte Artefakte, die überprüft werden müssen.

Dashboard-Visualisierung des KI-Inventars in ADOIT

Integrationen – Verbinden Sie Discovery-Quellen wie Microsoft Entra, Azure AI Foundry, ServiceNow oder andere Unternehmenssysteme, um KI-bezogene Artefakte zu identifizieren eine kontinuierliche Synchronisation zwischen technischer Discovery und dem Architektur-Repository sicherzustellen

Konfiguration von Konnektoren in ADOIT

Die größte Herausforderung durch den EU AI Act besteht nicht darin, KI zu entdecken. Sie besteht darin, KI zu steuern.

Technische Discovery-Quellen können KI-bezogene Komponenten identifizieren. Sie können jedoch nicht erklären, warum ein KI-Agent existiert, wer dafür verantwortlich ist, welche Geschäftsprozesse davon abhängen oder welche regulatorischen Anforderungen gelten.

Enterprise Architecture Management schließt diese Lücke, indem sie den geschäftlichen Kontext liefert, den technische Discovery allein nicht bereitstellen kann.

Durch die Verwendung von ArchiMate als Modellierungssprache können Unternehmen ein herstellerunabhängiges KI-Repository aufbauen, das Geschäftsbereiche, Anwendungen, Daten, Governance und Überwachungsnachweise in einem einzigen Architekturmodell verbindet. Dadurch entsteht eine belastbare Grundlage für AI Governance, die Einhaltung des EU AI Act und fundierte Entscheidungen, während der Einsatz von KI weiter wächst.

Durch die Kombination aus automatisierter Erkennung und Enterprise Architecture Management können Unternehmen über einfache Asset-Listen hinausgehen und ein lebendiges KI-Repository schaffen, das Transparenz, Governance und kontinuierliche Compliance unterstützt.