Kontext

Branche

branchenuebergreifend

Prozess

AI Governance

Schutzgut

Verantwortlichkeit

Ursachen

• fehlendes Rollenmodell
• unklare Freigabewege
• keine dokumentierte Eskalation

Auswirkungen

• Haftungs- und Auditrisiken
• verzoegerte Incident-Bearbeitung
• fehlende Nachvollziehbarkeit von Entscheidungen

Praxisbeispiel

• Ein Fachbereich nutzt ein KI-System produktiv
• ohne dass Model Owner
• Fachverantwortung und Eskalationsweg dokumentiert sind.

Stakeholder

• Geschaeftsleitung
• AI Governance Manager
• Fachbereich
• Compliance
• IT

Massnahmen

• Rollenmodell mit Model Owner, Fachverantwortung und Kontrollfunktion definieren
• Freigabeprozess fuer KI-Systeme dokumentieren
• Eskalationswege fuer Fehlverhalten festlegen

Praeventive Massnahmen

• KI-Governance-Richtlinie verabschieden
• RACI-Matrix fuer jedes KI-System pflegen
• Verantwortlichkeiten vor Produktivsetzung pruefen

Detektive Massnahmen

• quartalsweise Rollen-Review durchfuehren
• Stichproben gegen Freigabedokumentation pruefen
• ungeklaerte Owner im Register kennzeichnen

Korrektive Massnahmen

• fehlende Owner nachbenennen
• unklare KI-Anwendungen bis zur Klaerung sperren
• Governance-Prozess nach Auditfeststellungen anpassen

Pruefziele

• Nachweisen
• dass Verantwortlichkeiten fuer Einsatz
• Betrieb
• Ueberwachung und Eskalation eindeutig geregelt sind.

Auditfragen

• Welche Rolle verantwortet Einsatz, Ueberwachung und Freigabe des KI-Systems?
• Ist fuer jedes produktive KI-System ein fachlicher und technischer Owner benannt?
• Wie werden Eskalationen und Ausnahmen dokumentiert?

Normbezuege

• ISO/IEC 42001
• ISO/IEC 27001
• DSGVO Erwaegungsgrund 75

Normhinweise

• Originale Risikobeschreibung auf Basis der Anforderungen an Governance
• Verantwortlichkeit
• Informationssicherheit und risikobasierte Steuerung; keine Normtexte uebernommen.

Nachweise

• KI-Rollenmodell
• RACI-Matrix
• Freigabeprotokolle
• KI-Governance-Richtlinie

Nachweistypen

• Richtlinie
• Rollenmatrix
• Protokoll
• Registerauszug

Kontrollen

• Keine Produktivsetzung ohne dokumentierten Owner
• Verantwortlichkeiten mindestens quartalsweise pruefen

Verwandte Risiken

Noch keine Beziehungen hinterlegt.