KI-Governance und EU AI Act | Anexia Digital Engineering

Unser Angebot richtet sich an CTOs, Sicherheitsverantwortliche und Produktleitungen mit mehreren KI-Anwendungen. Für Unternehmen in Deutschland, Österreich und der Schweiz planen wir die AI Governance anhand der bestehenden Systeme und der benötigten Zusammenarbeit.

Für die Gestaltung von KI-Kontrollen beginnen wir mit einer überschaubaren Bestandsaufnahme: Welche Anwendungen verwenden Modelle, welche Daten werden verarbeitet und wer entscheidet über den Einsatz? Daraus entstehen konkrete Zuständigkeiten und erlaubte Nutzungsformen. Eine allgemeine Richtlinie allein beantwortet noch nicht, ob eine bestimmte Anwendung Kundendaten verarbeiten oder verbindliche Entscheidungen vorbereiten darf. Diese Fragen werden pro Anwendungsfall geklärt und dokumentiert.

Bei der Umsetzung von KI-Betriebsregeln verbinden wir Vorgaben mit überprüfbaren Maßnahmen. Dazu gehören Zugriffsregeln, freigegebene Datenquellen, Versionsnachweise, Evaluationsanforderungen und ein definierter Umgang mit problematischen Ergebnissen. Für die KI-Governance wird auch festgelegt, welche Änderungen eine erneute Prüfung auslösen. Ein neues Modell, eine zusätzliche Datenquelle oder ein schreibendes Werkzeug kann den bisherigen Risikoumfang verändern. Die technische Dokumentation unterstützt zuständige Fachstellen bei ihrer Bewertung, ersetzt aber keine individuelle rechtliche Einordnung. Im Ergebnis erhält die AI Governance einen praktikablen Ablauf von der Idee über die Freigabe bis zur Änderung oder Außerbetriebnahme einer Anwendung. Verantwortlichkeiten bleiben auch nach dem Pilot sichtbar.

Leistungsumfang für die KI-Governance

Der vereinbarte Umfang für die Gestaltung von KI-Kontrollen kann folgende Ergebnisse enthalten: Anwendungsinventar, Risikoeinstufung, Datenregeln, Freigabeverfahren, Modellregister und Änderungsnachweise. Wir legen für jedes wesentliche Ergebnis fest, wozu es dient, wer es prüft und in welcher Form es übergeben wird. Damit können Entwicklung, Betrieb und Beschaffung dieselbe Leistung beurteilen. Unklare Sammelbegriffe werden im Angebot durch konkrete Arbeitspakete ersetzt.

Die Umsetzung von KI-Betriebsregeln umfasst außerdem die Abstimmung der notwendigen Schnittstellen zu Ihrem Team. Wir klären Zugänge, Ansprechpartner und verfügbare Testmöglichkeiten vor den betroffenen Umsetzungsschritten. Änderungen am Umfang werden mit ihrer Auswirkung auf Aufwand und Reihenfolge beschrieben. Sie behalten dadurch einen nachvollziehbaren Überblick über gelieferte Ergebnisse, noch offene Voraussetzungen und zusätzliche Wünsche.

Die wesentliche technische Entscheidung bei der KI-Governance

Die Kontrolltiefe folgt der Auswirkung eines Fehlers. Ein interner Entwurfsassistent benötigt andere Freigaben als eine Anwendung mit Folgen für Kundenentscheidungen. Für die AI Governance dokumentieren wir die dafür relevanten Annahmen und begründen die gewählte Variante. Wesentliche Alternativen werden anhand derselben fachlichen Anforderungen betrachtet. Das erleichtert spätere Anpassungen, wenn sich Last, Datenbestand oder organisatorische Zuständigkeit verändern.

Eine tragfähige Entscheidung berücksichtigt auch Wartbarkeit und Übergabe. Bei der Gestaltung von KI-Kontrollen prüfen wir, welche Kompetenzen intern vorhanden sind und welche Betreuung zusätzlich benötigt wird. Technische Möglichkeiten werden dadurch mit einem realistischen Betriebsmodell verbunden. Der Auftraggeber erkennt, welche Aufgaben nach dem Projekt regelmäßig anfallen und welche Entscheidungen bei ihm verbleiben.

Eine Richtlinie ohne technische Umsetzung lässt Schattennutzung bestehen und erzeugt lediglich zusätzlichen Dokumentationsaufwand. Diesen Punkt behandeln wir bei der Umsetzung von KI-Betriebsregeln als konkrete Prüffrage. Ein Risiko wird mit dem betroffenen Ablauf, seiner möglichen Auswirkung und einer geeigneten Maßnahme verbunden. Wo Voraussetzungen noch fehlen, bleibt die Aussage ausdrücklich offen, bis die notwendige Untersuchung erfolgt ist.

Wir prüfen stichprobenartig, ob inventarisierte Anwendungen, tatsächlich verwendete Modelle und technische Zugriffsregeln übereinstimmen. Für die KI-Governance halten wir Ausgangslage, getestete Konfiguration und Ergebnis fest. Die Abnahme bezieht sich auf den vereinbarten Umfang. Offene Einschränkungen werden sichtbar dokumentiert und einem verantworteten nächsten Schritt zugeordnet. So kann Ihr Team zwischen nachgewiesener Funktion, einer bewussten Entscheidung und einer noch unbestätigten Annahme unterscheiden.

Projektbeispiel als illustratives Szenario

Das folgende Szenario ist ein Anwendungsbeispiel und keine Kundenreferenz. Mehrere Fachbereiche erproben KI-Werkzeuge, während die IT erst nachträglich von Datenflüssen und laufenden Kosten erfährt. Bei der KI-Governance würde zunächst ein verständliches Verzeichnis tatsächlich genutzter Anwendungen entstehen. Entscheidend wären Zweck, verarbeitete Daten, technische Anbieter und verantwortliche Personen. Ein bloßer Katalog aller denkbaren Risiken würde die konkrete Steuerung noch nicht verbessern.

Für die AI Governance würden Freigaben an nachvollziehbare Merkmale gebunden. Eine interne Texthilfe hätte andere Prüfbedarfe als ein System, das Kundenauskünfte erteilt oder Geschäftsvorgänge auslöst. Das Team würde für relevante Anwendungen festlegen, welche Nachweise vor Einführung und nach wesentlichen Änderungen erforderlich sind. Der Pilot könnte einen vollständigen Freigabevorgang vom Antrag bis zur Betriebsübergabe durchlaufen. Dabei wäre zu prüfen, ob Zuständige erreichbar sind, offene Fragen entschieden werden und die Dokumentation im Alltag gepflegt werden kann.

Das Ergebnis von der Gestaltung von KI-Kontrollen wäre in diesem Szenario ein nutzbarer Entscheidungsprozess mit klaren Rollen, konkreten Prüffragen und dokumentierten Ausnahmen. Bestehende Fachstellen würden eingebunden, insbesondere wenn rechtliche oder datenschutzbezogene Bewertungen erforderlich sind. Eine technische Regel allein würde diese Bewertungen nicht ersetzen. Nach der Erprobung ließe sich erkennen, welche Kontrollen tatsächlich helfen und wo unnötige Doppelarbeit oder ungeklärte Verantwortlichkeiten die Einführung verzögern.

Unsere Erfahrung und unser Engineering Ansatz

Wir verbinden individuelle Softwareentwicklung mit den technischen Aufgaben der Einführung und Weiterentwicklung. Für die AI Governance bringen wir die Perspektiven von Anwendung, Integration und Betrieb in einen gemeinsamen Arbeitsablauf. Die fachlichen Anforderungen bleiben dabei mit den technischen Entscheidungen verbunden. Sie arbeiten mit einem benannten Leistungsumfang und nachvollziehbaren Ergebnissen.

Unsere Erfahrung soll für Ihr Vorhaben konkret überprüfbar werden. Deshalb erläutern wir im technischen Austausch, wie wir die relevanten Risiken untersuchen, welche Arbeitsergebnisse vorgesehen sind und wie Ihr Team diese beurteilen kann. Für die Gestaltung von KI-Kontrollen stimmen wir die beteiligten Rollen auf den tatsächlichen Bedarf ab. Verfügbare Referenzen werden mit dem jeweiligen Projekt- und Gesellschaftsbezug eingeordnet; vertrauliche Kundendetails werden nicht als allgemeine Werbeaussage verwendet.

Aufwand für die Gestaltung von KI-Kontrollen

Zahl der Anwendungen, organisatorische Zuständigkeiten und Qualität vorhandener Inventare bestimmen den Einführungsaufwand. Wir kalkulieren die KI-Governance deshalb anhand eines abgegrenzten Umfangs und ausdrücklich genannter Voraussetzungen. Ein erster Analyseschritt kann sinnvoll sein, wenn wesentliche technische Informationen noch fehlen. Danach lassen sich Arbeitspakete und Abnahmekriterien belastbarer vereinbaren.

Die AI Governance kann als begrenztes Projekt, als gemeinsame Umsetzung mit Ihrem Team oder mit anschließender Betreuung organisiert werden. Nutzungsrechte, Zugänge, Dokumentation und Verantwortlichkeiten werden im Auftrag geklärt. Laufende Betriebszeiten, Reaktionsfristen und externe Verbrauchskosten sind eigene Vereinbarungen. So bleibt erkennbar, welche Leistungen einmalig erbracht werden und welche Aufgaben nach der Einführung regelmäßig anfallen.

Abgrenzung von der KI-Governance

Die technische Umsetzung unterstützt die Fach- und Rechtsfunktionen, ersetzt aber keine verbindliche rechtliche Einordnung eines KI-Systems. Für die Umsetzung von KI-Betriebsregeln halten wir diese Grenze bereits im Angebot fest. Benötigte Zusatzleistungen werden mit ihrer fachlichen Begründung aufgenommen und nicht stillschweigend vorausgesetzt. Ihr Team kann dadurch passende interne Kompetenzen einplanen und die Gesamtleistung zwischen Beteiligten sinnvoll aufteilen.