AI Governance
KI-Ermittlung und -Registrierung
Nur wenn Unternehmen genau wissen, welche KI-Systeme tatsächlich im Einsatz sind, kann eine effektive KI-Governance funktionieren. Formale Aufnahmeprozesse erfassen zwar einen Teil der Systeme, übersehen jedoch häufig eingebettete KI in SaaS-Anwendungen, interne Agenten, Modelländerungen sowie Schatten-KI, die außerhalb der etablierten Prüfprozesse eingeführt wurde. Die Funktionen zur KI-Ermittlung und -Registrierung von OneTrust AI Governance schaffen eine aktuelle, zentrale Referenzquelle für KI-Anwendungsfälle, Modelle, Agenten und SaaS-Lösungen mit integrierter KI. So können Teams Verantwortlichkeiten, Metadaten, Versionshistorien und den Bereitstellungsstatus an einem zentralen Ort nachverfolgen und Governance-Entscheidungen auf Grundlage eines bekannten KI-Inventars treffen.
Schaffen Sie ein aktuelles KI-Verzeichnis für fundierte Governance-Entscheidungen
Mit OneTrust wird das KI-Register zur zentralen Referenzquelle für KI-Governance. Es vereint KI-Ermittlung, standardisierte Metadaten, die Nachverfolgung von Verantwortlichkeiten und Lebenszyklusstatus, die Identifizierung von Schatten-KI sowie eine Änderungshistorie, die sich auf einzelne Einträge bezieht. So erhalten Teams einen umfassenden Überblick darüber, welche KI-Systeme existieren und in welchem Status sie sich befinden. Entdecken Sie die Funktionen, mit denen Sie Ihr KI-Verzeichnis aktuell halten und es über Aufnahme-, Governance- und Kontrollprozesse hinweg effektiv nutzen können.
Machen Sie deklarierte und nicht deklarierte KI-Systeme sichtbar
In den meisten Unternehmen kommt KI bereits zum Einsatz, bevor das Governance-Team überhaupt ein Aufnahmeformular erhält. Geschäftsbereiche beschaffen SaaS-Lösungen mit integrierten Copiloten. Entwickler testen externe Modell-APIs. Produktteams führen interne Agenten ein. Jedes einzelne System mag für sich genommen überschaubar erscheinen, doch insgesamt ist das KI-Inventar über viele unterschiedliche Quellen verteilt.
Ein praktikabler Ermittlungsprozess umfasst vier Schritte:
Ein praktikabler Ermittlungsprozess umfasst vier Schritte:
- Identifizieren Sie deklarierte KI-Systeme über Aufnahmeprozesse, Beschaffung, Architekturprüfungen und Modell-Onboarding.
- Ermitteln Sie nicht deklarierte KI durch Anbieterprüfungen, Bestätigungen der Systemverantwortlichen, Integrationen sowie regelmäßige Bestandsprüfungen.
- Klassifizieren Sie jedes System nach Verwendungszweck, Modelltyp, Geschäftsprozess und Bereitstellungsstatus.
- Überführen Sie festgestellte Lücken in Governance-Workflows, wenn eine formelle Überprüfung für ein neu entdecktes System erforderlich ist.
Erfassen Sie alle relevanten Metadaten für Ihr KI-Verzeichnis
Ein effektives KI-Verzeichnis enthält mehr als nur grundlegende Informationen. Teams benötigen einen klaren und konsistenten Überblick über jedes System, d. h. sie müssen wissen, welche Aufgaben es erfüllt, wer dafür verantwortlich ist, wie es aufgebaut ist, welche Daten es nutzt und an welchen Stellen Aufsicht erforderlich ist.
Damit legen Unternehmen zugleich den Grundstein für die Einhaltung regulatorischer Anforderungen und einschlägiger Rahmenwerke, die eine belastbare Dokumentation, klar geregelte Verantwortlichkeiten sowie eine eindeutige Zweckbestimmung des Systems voraussetzen.
OneTrust fasst all diese Informationen in einem einzigen, strukturierten Verzeichnis zusammen. Dadurch lassen sich Systeme einfacher vergleichen, Lücken schneller erkennen und Dokumentationen konsistenter erstellen. Es ist nicht mehr notwendig, dieselben Informationen für jede Prüfung erneut zusammenzutragen.
Behalten Sie Verantwortlichkeiten, Lebenszyklus und Änderungen im Blick
KI-Verzeichnisse veralten schnell, wenn niemand für die Einträge verantwortlich ist. Im Register sollte vermerkt sein, wer die Verantwortung trägt, in welcher Phase des Lebenszyklus sich ein System befindet und welche Änderungen seit der letzten Überprüfung vorgenommen wurden. Darüber hinaus muss aus dem Verzeichnis eindeutig ersichtlich sein, ob ein System vorgeschlagen wurde, sich in der Entwicklungs- oder Testphase befindet, für den Produktiveinsatz freigegeben wurde, eingeschränkt ist, neu bewertet wird oder bereits außer Betrieb genommen wurde.
Die Änderungshistorie ist von großer Bedeutung, da sich KI-Risiken häufig verändern, ohne dass dies durch eine Umbenennung des Produkts sichtbar wird. Aktualisierte Prompts, der Austausch eines Modells, Änderungen an Daten- oder Retrieval-Quellen sowie neue Agentenfunktionen können das Risikoprofil beeinflussen. Deshalb sollte der Datensatz nachvollziehbar ausweisen, welche Änderungen wann von wem vorgenommen wurden und ob eine Neubewertung notwendig ist.
Laut Gartner zählen KI-Ermittlung und -Registrierung zu den zentralen Funktionen bei der Bewertung von KI-Governance-Plattformen. Dies unterstreicht die Bedeutung eines KI-Verzeichnisses. Es bildet die operative Grundlage für Prüfungen, kontinuierliche Überwachung und klare Verantwortlichkeiten.
Schaffen Sie Transparenz über Schatten-KI und KI in SaaS-Anwendungen
Schatten-KI beschränkt sich nicht auf öffentlich verfügbare Chatbots. Zu ihr zählen auch Unternehmensanwendungen mit ungeprüften KI-Funktionen, interne Copilots aus Low-Code-Umgebungen sowie Softwareanbieter, die nachträglich KI in ihre Produkte integrieren. Da diese Systeme in der Regel über reguläre Softwarekanäle in das Unternehmen gelangen, bleiben sie im Governance-Prozess häufig unentdeckt.
Ein leistungsfähiges KI-Register ist darauf ausgerichtet, Schatten-KI fortlaufend zu ermitteln. Teams sollten regelmäßig Anbieter-Updates prüfen, die tatsächliche Nutzung mit den Systemverantwortlichen abgleichen und Beschaffungs- sowie Architekturinformationen vergleichen. Unbekannte Dienste sollten sie zur weiteren Prüfung kennzeichnen. Werden dabei Lücken identifiziert, sollten die betreffenden Systeme in das Register aufgenommen und in formale Governance-Prozesse überführt werden.
Anders als bei allgemeinen IT-Compliance-Tools, die sich vor allem auf Nachweise und den Kontrollstatus konzentrieren, sind für KI-Governance tiefere Einblicke erforderlich. Beispielsweise müssen der Systemzweck, die Datennutzung, die Aufsicht und Änderungen im Lebenszyklus berücksichtigt werden.
Verknüpfen Sie Ihre Verzeichniseinträge mit Governance und Produktionsüberwachung
Das Register ist die zentrale Referenzquelle für die KI-Governance, stellt jedoch nicht das gesamte Governance-Programm dar. Die Governance-Workflows unterstützen die Erfassung neuer KI-Systeme und die damit verbundenen Freigabe- und Prüfprozesse. Laufzeitkontrollen sorgen für die Durchsetzung von Richtlinien im Produktivbetrieb. All diese Prozesse sind auf die Informationen im Register angewiesen.
Diese Struktur erleichtert zudem die Einhaltung regulatorischer Anforderungen. Zur Umsetzung des EU AI Act können Teams dasselbe Verzeichnis nutzen, um Klassifizierungen, Dokumentation, Verantwortlichkeiten und Nachweise zentral zu verwalten. Anstatt Informationen zu KI-Systemen mehrfach zusammenzutragen, greift das gesamte Unternehmen auf eine gemeinsame Quelle zurück: das KI-Register.
Ein aktuelles KI-Register versorgt Teams mit den erforderlichen Informationen, damit Richtlinien, Risikobewertungen, Monitoring und Durchsetzungsmaßnahmen wirksam greifen können.
OneTrust im Gartner® Magic Quadrant™ 2026 für KI-Governance-Plattformen als „Visionary“ positioniert
Erfahren Sie, warum Gartner OneTrust im ersten Magic Quadrant für KI-Governance-Plattformen als „Visionary“ positioniert hat.
Häufig gestellte Fragen
Ein KI-Anwendungsfall-Register ist die zentrale Referenzquelle für KI-Systeme, -Modelle und -Agenten sowie für eingebettete KI-Funktionen. Es speichert wichtige Informationen wie den vorgesehenen Zweck, die zuständige Person, die Lebenszyklusphase, die Datenquellen und den Bereitstellungsstatus. Ein leistungsstarkes Register verfolgt zudem die Versionshistorie und verknüpft jeden Eintrag mit Genehmigungen, Bewertungen und Monitoring-Daten. Dadurch ist es nützlicher als eine statische Tabelle.
Unternehmen identifizieren Schatten-KI, indem sie verschiedene Informationsquellen systematisch abgleichen, statt nur auf Meldungen aus den Geschäftsbereichen zu warten. Häufig umfasst dies die Prüfung von Beschaffungsunterlagen und Anbieterfragebögen, den Abgleich mit Architekturinformationen, die Analyse der API-Nutzung sowie Bestätigungen durch die Systemverantwortlichen. Nicht deklarierte KI-Systeme sollten in das Register aufgenommen, klassifiziert und einem formalen Prüfprozess zugeführt werden. So lassen sich auch integrierte KI-Funktionen und von Geschäftsbereichen betriebene Agenten identifizieren, die bislang keinen offiziellen Aufnahmeprozess durchlaufen haben.
OneTrust unterstützt die Anforderungen des EU AI Act mit einem strukturierten Verzeichnis, das zentrale Informationen zu Zweckbestimmung, Verantwortlichkeiten, Datenquellen, Kontrollen und Nachweisen über den gesamten Lebenszyklus eines KI-Systems hinweg erfasst. Den Teams steht somit jederzeit eine aktuelle und belastbare Informationsgrundlage für das Risikomanagement, die technische Dokumentation, die Aufzeichnungspflichten und die Transparenzmaßnahmen zur Verfügung. Dadurch wird zudem die Lücke zwischen dokumentierten und tatsächlich eingesetzten KI-Systemen verringert.
OneTrust unterstützt Teams dabei, die für eine wirksame KI-Governance erforderlichen Informationen – darunter Zweck, Nutzungskontext, Verantwortlichkeiten und Rechenschaftspflichten – strukturiert zu erfassen. Gleichzeitig sorgt die Plattform dafür, dass diese Informationen konsistent dokumentiert und für Audits sowie Compliance-Anforderungen zentral verfügbar bleiben.
In der Praxis können Teams einen standardisierten Eintrag im KI-Verzeichnis erstellen und diesen über verschiedene Frameworks, Bewertungen und Audits hinweg wiederverwenden.
Die Funktionen zur KI-Ermittlung und -Registrierung liefern Antworten auf folgende Fragen: Welche KI-Systeme sind im Einsatz, wer trägt die Verantwortung für sie und in welchem Status befinden sie sich? Governance-Workflows steuern dagegen den Weg eines KI-Systems durch die Phasen Aufnahme, Prüfung, Freigabe und gegebenenfalls erneute Bewertung. Während die Workflows die Prozesse abbilden, dient das Register als zentrale Dokumentations- und Informationsgrundlage. Beide sind unverzichtbar, erfüllen jedoch unterschiedliche Aufgaben.
Das könnte Sie auch interessieren
Erstellen Sie eine aktuelle zentrale Referenzquelle aller KI-Systeme, Agenten und eingebetteten KI-Anwendungen in Ihrem Unternehmen.