Kein Parallelsystem für KI
Bias, Halluzinationen, Modell-Drift, Datenschutzrisiken, Vendor-KI und Shadow-KI sind keine Sonderwelt. Sie müssen in das bestehende IKS und Risikomanagement übersetzt werden: mit Kontrollzielen, Ownern, Nachweisen und Eskalationswegen.
ISO/IEC 42001 bietet dafür einen Managementsystem-Rahmen. Der EU AI Act bringt zusätzlich konkrete Rollen-, Betreiber-, Hochrisiko-, Log- und Vorfallpflichten. Gute Governance verbindet beides mit den vorhandenen Prozessen der AG.
Mapping von KI-Risiken auf Kontrollziele
| KI-Risiko | Kontrollziel |
|---|---|
| Unvollständiges Inventar | Alle KI-Systeme sind erfasst, klassifiziert, einem Owner zugeordnet und regelmäßig aktualisiert. |
| Bias oder Diskriminierung | Risikoanalyse, Testkonzept, Human Oversight und Beschwerde-/Eskalationswege sind dokumentiert. |
| Modell-Drift | Leistungskennzahlen, Review-Zyklen und Schwellenwerte für Nachprüfung oder Abschaltung sind definiert. |
| Vendor-KI | Lieferanteninformationen, Art.-25-Rollenklärung, Vertragsunterlagen und Update-Prozesse sind nachvollziehbar. |
| Vorfälle | AI Act, DSGVO, DORA/NISG und interne Eskalationen werden getrennt geprüft und koordiniert gesteuert. |
Drei-Linien-Modell
In der ersten Linie liegen Fachbereich und Systemowner: Nutzung, Kontrollen und laufende Überwachung. Die zweite Linie koordiniert Compliance, Risiko, Datenschutz und Informationssicherheit. Die dritte Linie prüft unabhängig, ob das Modell funktioniert und Nachweise belastbar sind.
Der Regelkreis sollte regelmäßig an Vorstand und bei Bedarf an den Aufsichtsrat berichten: Inventarstatus, Hochrisiko-Systeme, offene Maßnahmen, Vorfälle, Audit-Feststellungen und wesentliche Änderungen.