KI Governance in der Praxis: Von der Richtlinie zum funktionierenden Prozess

Ist bekannt, welche KI-Anwendungen ein Unternehmen nutzt und welche Anforderungen dafür gelten, beginnt die eigentliche Implementierungsarbeit.

Denn eine KI-Richtlinie allein schafft noch keine wirksame Governance.

Entscheidend ist, wie Verantwortlichkeiten, Risiken, Freigaben und Kontrollen in bestehende Unternehmensprozesse integriert werden.

Keine regulatorische Parallelwelt für KI schaffen

KI betrifft zahlreiche bereits vorhandene Strukturen. Ein externer KI-Anbieter gehört in das Third Party Risk Management. Zugriffe auf KI-Systeme gehören in das Berechtigungsmanagement.

Sicherheitsvorfälle gehören in bestehende Incident-Prozesse. Personenbezogene Daten bleiben ein Thema der DSGVO.

Änderungen an KI-Anwendungen müssen in Change- und Freigabeprozessen berücksichtigt werden.

Für mittelständische Unternehmen ist es daher meist sinnvoller, vorhandene GRC-, ISMS-, Datenschutz-, Risiko- und Kontrollstrukturen zu erweitern, statt für KI eine neue Parallelorganisation zu schaffen.

ISO/IEC 42001 als Managementsystemansatz

ISO/IEC 42001 kann als Referenz für ein Artificial Intelligence Management System, kurz AIMS, genutzt werden.

Der Managementsystemansatz ermöglicht es, KI Governance strukturiert mit vorhandenen Verantwortlichkeiten, Risikoanalysen, Kontrollen und kontinuierlichen Verbesserungsprozessen zu verbinden.

Unternehmen mit bestehenden Strukturen nach ISO/IEC 27001 oder anderen Managementsystemen können darauf aufbauen.

Das Ziel ist nicht maximale Regulierung.
Das Ziel ist ein angemessen gesteuerter Einsatz von KI.

NIS2, Datenschutz und Third Party Risk mitdenken

KI verändert auch bestehende Informationssicherheits- und Lieferantenrisiken.

Diese Fragen gehören nicht in voneinander getrennte Projekte. Sie sollten im jeweiligen KI-Use-Case zusammengeführt werden.

Wie wird KI prüfbar?

Spätestens Management, Interne Revision oder Wirtschaftsprüfer werden fragen:

Wie stellen Sie sicher, dass Ihre Vorgaben
tatsächlich eingehalten werden?

Dafür benötigt KI konkrete interne Kontrollen. Mögliche Kontrollen sind:

Für die Prüfung von KI-Systemen kann IDW PS 861 als fachliche Referenz berücksichtigt werden. Die Prüfungsperspektive sollte dabei nicht erst unmittelbar vor einem Audit berücksichtigt werden.

Kontrollen und Nachweise sollten bereits bei der Implementierung mitgedacht werden.

Mitarbeiter entscheiden mit über die Wirksamkeit der Governance

Mitarbeiter müssen im Arbeitsalltag erkennen können:

KI-Kompetenz muss deshalb rollen- und kontextbezogen vermittelt werden. Eine allgemeine KI-Schulung kann die notwendigen Prozesse und Verantwortlichkeiten nicht ersetzen.

Von der Beratung bis zur Verankerung

compliance-net verbindet bei regulatorischen Projekten vier Perspektiven im BIPS-Ansatz:

Gerade bei KI Governance greifen diese vier Perspektiven unmittelbar ineinander.

Governance soll KI ermöglichen

KI Governance hat nicht die Aufgabe, sinnvolle KI-Nutzung auszubremsen.

Geschäftsprozess, Daten, Technologie und regulatorische Anforderungen müssen so zusammengebracht werden, dass aus einem KI-Use-Case ein belastbarer Unternehmensprozess entsteht.

Dafür müssen Unternehmen nicht alles gleichzeitig umsetzen. Eine Standortbestimmung zeigt, welche Strukturen bereits vorhanden sind, wo Lücken bestehen und welche Maßnahmen nach Risiko und Handlungsdruck zuerst sinnvoll sind.

Von der KI-Richtlinie zum funktionierenden Prozess

compliance-net unterstützt von der Standortbestimmung über Risiko-, Kontroll- und Freigabeprozesse, AI Impact Assessments und Third Party Risk bis zur Audit Readiness und rollenbezogenen KI-Kompetenz.