Vom KI-Inventar zur operativen KI-Governance

KI-Governance wird heute nicht mehr nur angestrebt, sondern vorausgesetzt – und dieser Anspruch kommt von mehreren Seiten gleichzeitig. Regulierungsbehörden formulieren konkrete Pflichten für bestimmte KI-Systeme, Prüfer:innen wollen wissen, wie diese Pflichten erfüllt werden, und Vorstände erwarten die Gewissheit, dass der KI-Einsatz keine unkalkulierten Risiken mit sich bringt.

Die naheliegende erste Reaktion darauf ist meist ein Inventar aller KI-Systeme und Anwendungsfälle. Damit lässt sich zumindest zeigen, wo im Unternehmen KI überhaupt eingesetzt wird. Offen bleibt aber alles, was danach kommt: Eine bloße Liste von Systemen sagt noch nichts über geltende Anforderungen, mögliche Risiken oder klare Verantwortlichkeiten aus. Diese zusätzlichen Ebenen muss ein Unternehmen erst noch aufbauen – sie sind es letztlich, die den Unterschied zwischen einer gut dokumentierten und einer wirklich gesteuerten KI-Landschaft ausmachen.

Tipp: Sie interessieren sich für das große Ganze? Lesen Sie, wie Datenmanagement, Risikomanagement, interne Kontrollen und Compliance zur KI-Bereitschaft im GRC beitragen.

Ein strukturiertes Inventar zeigt, wo im Unternehmen KI entwickelt, eingekauft, in bestehende Anwendungen integriert oder von einzelnen Teams genutzt wird – inklusive Anbieter, Zweck, fachlichem Verantwortlichen und aktuellem Status.

Auch das NIST AI Risk Management Framework erkennt solche Inventare ausdrücklich als Teil der Governance-Funktion an. Es stellt sie dort aber bewusst neben andere, ebenso wichtige Bausteine: klar definierte Rollen, Richtlinien, Dokumentation, Monitoring, die Aufsicht über Drittanbieter und ein Risikomanagement über den gesamten Lebenszyklus hinweg. Anders gesagt: Ein Inventar gewinnt seinen eigentlichen Wert erst durch das, was drumherum entsteht. Wer beim fertigen Register stehen bleibt, hat den größeren Teil der Arbeit noch vor sich.

Ein Eintrag im Register verrät vielleicht, dass die Personalabteilung ein KI-gestütztes Screening-Tool nutzt – mit Anbieter und zuständiger Abteilung. Die Fragen, die für GRC-Teams wirklich zählen, beantwortet das aber noch nicht:

• Welche Personalentscheidungen beeinflusst das Tool konkret?
• Mit welchen Kandidatendaten arbeitet es?
• Welche gesetzlichen und internen Vorgaben gelten dafür?
• Was kann schiefgehen – und welche Kontrollen fangen das auf?
• Wer darf den Einsatz genehmigen, einschränken oder stoppen?
• Und wie lässt sich zeigen, dass die vereinbarten Maßnahmen auch wirklich greifen?

Bei KI-Lösungen von Drittanbietern, eingebetteten Funktionen oder frei zugänglichen generativen KI-Tools zeigt sich dieselbe Lücke. Zu wissen, dass eine Technologie im Einsatz ist, sagt eben noch nichts über den geschäftlichen Kontext, die Abhängigkeiten oder das Kontrollumfeld dahinter aus.

Ein Inventar schafft also vor allem eines: Sichtbarkeit. Operative KI-Governance geht einen Schritt weiter und verknüpft jeden Anwendungsfall mit den Strukturen, die dafür sorgen, dass er auch wirklich kontrolliert bleibt.

GRC-Objekte sind genau diese Governance-Elemente: Zweck, Anforderungen, Risiken, Kontrollen, Verantwortliche und Informationen zu Drittparteien. Sie verwandeln einen gelisteten Anwendungsfall in einen, der tatsächlich gesteuert wird.

Operative KI-Governance setzt genau dort an, wo ein Anwendungsfall mit seinem Governance-Umfeld verknüpft wird:

• Zweck und betroffener Prozess liefern den nötigen Kontext
• Anforderungen zeigen, wozu das Unternehmen verpflichtet ist – und was es sich darüber hinaus vorgenommen hat
• Risiken machen sichtbar, was einem verantwortungsvollen Einsatz im Weg stehen könnte
• Kontrollen, Maßnahmen und menschliche Aufsicht setzen all das in die Praxis um
• Verantwortliche sorgen für klare Zuständigkeiten
• Informationen zu Drittparteien zeigen, wo man von Anbietern, Modellen oder Daten abhängt, die man nicht vollständig selbst in der Hand hat

Am Beispiel des Recruiting-Tools wird der Unterschied deutlich: Ein einfaches Inventar listet nur Name, Anbieter, Abteilung und Zweck. Ein gesteuerter Anwendungsfall geht darüber hinaus und verbindet dasselbe Tool mit dem Recruiting-Prozess, den es unterstützt, mit den Kandidatendaten, die es verarbeitet, mit den Fairness- und Datenschutzrisiken, die daraus entstehen, mit der menschlichen Prüfung vor jeder Ablehnung sowie mit Anbieterbewertung, Freigaben und Überprüfungsterminen, die den laufenden Einsatz absichern. Am System selbst ändert sich nichts – wohl aber daran, wie gut das Unternehmen erklären und belegen kann, wie es genutzt wird.

Wichtig ist dabei, das Maß zu halten: Ein wenig kritischer interner Assistent braucht nicht dieselbe Prüftiefe wie ein System, das über Einstellungsentscheidungen mitentscheidet – solange das Unternehmen dabei konsequent nach Zweck, Risiko und geltenden Anforderungen vorgeht. Auch NIST empfiehlt genau das: KI-Governance soll an bestehende Governance- und Risikostrukturen anknüpfen, mit Ressourcen, die sich an den jeweiligen Risikoprioritäten orientieren.

Richtlinien und Grundsätze beschreiben, was ein Unternehmen vorhat. Nachweise zeigen, ob davon in der Praxis auch etwas ankommt.

Für relevante Anwendungsfälle gehören dazu etwa: die Begründung einer Risikoeinstufung, abgeschlossene Risiko- oder Folgenabschätzungen, zugewiesene Kontrollen, Freigabeprotokolle, Testergebnisse, Anbieterunterlagen, dokumentierte Vorfälle und regelmäßige Überprüfungen. Genauso wichtig ist, dass sichtbar wird, was passiert, sobald sich Zweck, Modell, Daten, Anbieter oder Risikolage ändern.

Dieser Nachweisstandard ist längst nicht mehr nur gute Praxis, sondern wird zunehmend auch regulatorisch verlangt. Für Hochrisikosysteme fordert der EU AI Act etwa kontinuierliches Risikomanagement, lückenlose Protokollierung, menschliche Aufsicht, technische Dokumentation und eine fortlaufende Beobachtung des Systems nach der Markteinführung. Nicht jede dieser Pflichten trifft auf jeden Anwendungsfall in gleicher Form zu – doch sie machen ein grundlegendes Prinzip deutlich: Verantwortungsvoller KI-Einsatz muss sich belegen lassen, nicht nur behaupten.

Auch ISO/IEC 42001 folgt dieser Logik eines Managementsystems und versteht KI-Governance als etwas, das ein Unternehmen aufbaut, umsetzt, aufrechterhält und laufend weiterentwickelt. Dokumentation allein beweist noch nicht, dass eine Kontrolle wirkt oder ein Unternehmen compliant ist. Ohne nachvollziehbare Entscheidungen, klare Zuständigkeiten und belegte Ergebnisse bleibt wirksame Aufsicht jedoch kaum möglich.

KI-Governance wird erst dann wirklich operativ, wenn auf die Registrierung auch Bewertung, Kontrolle, Freigabe und laufende Überprüfung folgen.

Mit ADOGRC wird ein KI-Anwendungsfall einmal erfasst – und ist danach durchgehend und im jeweiligen Kontext mit allem verknüpft, was für ihn relevant ist: Risikobewertungen, Compliance-Anforderungen, Kontrollen, Verantwortliche, Drittparteien, Maßnahmen und Nachweise. Ein Blick in den Eintrag zum Screening-Tool genügt, um zu sehen, was dafür gilt, was bereits geprüft wurde, was noch offen ist – und wer sich darum kümmern muss.

Die Zeiten, in denen Informationen mühsam aus Tabellen und Ordnern verschiedener Teams zusammengesucht werden mussten, sind damit vorbei. Strukturierte Workflows weisen Verantwortlichkeiten zu, verfolgen Bewertungen und treiben offene Maßnahmen bis zum Abschluss voran. Dashboards und Reports geben GRC-Teams und dem Management jederzeit einen aktuellen Überblick über Lücken, Fristen und Umsetzungsstand – über die gesamte KI-Landschaft hinweg.

Und wächst der KI-Einsatz weiter, wächst die Struktur einfach mit – ohne dass jedes Mal alles neu aufgebaut werden muss.

Ein KI-Inventar ist ein notwendiger erster Schritt, aber eben nicht das Ziel von KI-Governance. Operative Governance zeigt darüber hinaus, warum ein System eingesetzt wird, welche Risiken und Anforderungen dafür gelten, wer verantwortlich ist, wie diese Risiken kontrolliert werden und welche Nachweise die getroffenen Entscheidungen stützen.

Erst wenn all diese Elemente miteinander verknüpft sind, entsteht die Nachvollziehbarkeit, die man braucht, um fundierte Entscheidungen zu treffen, offene Punkte konsequent zu verfolgen und den KI-Einsatz neu zu bewerten, sobald sich Systeme, Anbieter oder Rahmenbedingungen ändern.

Mit ADOGRC lassen sich all diese Informationen in einer einzigen, vernetzten Umgebung zusammenführen – der entscheidende Schritt von der reinen Dokumentation einzelner KI-Initiativen hin zu einer verantwortungsvollen, transparenten und kontinuierlich überwachten KI-Governance.