AI Governance
KI-Richtlinienmanagement
KI-Programme geraten ins Stocken, wenn Richtlinien in Form von Dokumenten vorliegen, Standards in separaten Systemen verwaltet werden und Review-Teams einschätzen müssen, welche Kontrollen für den jeweiligen Anwendungsfall relevant sind. Dies führt zu uneinheitlichen Entscheidungen, schwachen Leitplanken und wiederkehrenden Diskussionen über Richtlinien. Die KI-Richtlinienmanagement-Funktionen von OneTrust wandeln dagegen Nutzungsregeln, Kontrollanforderungen und Risikologik in versionierte Richtlinienobjekte um, die mit KI-Anwendungsfällen, Systemen und regulatorischen Vorgaben verknüpft sind. Teams definieren eine Richtlinie einmal, ordnen sie Risikoklassen und Rechtsräumen zu und wenden sie anschließend über Reviews, Validierungen, Reporting und die damit verbundene Durchsetzung hinweg an.
Erstellen Sie die Richtlinienebene hinter Ihren KI-Leitplanken
Die KI-Richtlinienmanagement-Funktionen von OneTrust verwandeln KI-Richtlinien aus statischen Dokumenten in versionierte Richtlinienobjekte mit definiertem Geltungsbereich, Kontrollanforderungen und einem verwalteten Lebenszyklus. Jedes Richtlinienobjekt dokumentiert, für welche Systeme und Anwendungsfälle es gilt, welche Kontrollen erforderlich sind, welche Ausnahmen genehmigt wurden und welche Änderungen zwischen den einzelnen Versionen vorgenommen wurden. Teams können diese Richtlinienobjekte über Reviews, Validierungen, Ausnahmeprozesse und Revalidierungen definieren, anwenden und pflegen. Dabei bleiben sie während ihres gesamten Lebenszyklus mit bestimmten Anwendungsfällen und Systemen verknüpft.
Machen Sie aus Nutzungsrichtlinien operative Regeln
Die meisten Unternehmen beginnen mit allgemeinen KI-Prinzipien wie Fairness, Rechenschaftspflicht, Transparenz, Sicherheit und menschlicher Aufsicht. Diese Prinzipien sind zwar wichtig, beantworten jedoch keine operativen Fragen. Beispielsweise bleibt unklar, ob bei einem Anwendungsfall sensible Daten verarbeitet werden können, ob ein Modell in einem kundenorientierten Workflow eingesetzt werden kann oder welcher Review-Pfad gilt, wenn die menschliche Aufsicht eingeschränkt ist.
Die Nutzungsrichtlinien sind in vier klar definierte Bereiche unterteilt:
- Grundsatzerklärung: Nach Themenbereichen gegliederte Regeln mit definiertem Geltungsbereich, etwa für Datenhandhabung, Modellnutzung, eingeschränkte Anwendungsfälle, menschliche Überprüfung oder KI von Drittanbietern. Sie legen fest, was für ein bestimmtes System oder einen bestimmten Anwendungsfall zulässig, eingeschränkt oder untersagt ist.
- Anwendbarkeitsbedingungen: Jeder Grundsatzerklärung ist eine Logik zugeordnet, die bestimmt, wann die entsprechende Regel gilt, beispielsweise abhängig von der Risikostufe, der geografischen Region, der Datensensitivität oder der Art der Bereitstellung. So kann eine Grundsatzerklärung zu Anforderungen an die menschliche Aufsicht beispielsweise so konfiguriert werden, dass sie nur für kundenorientierte Systeme oberhalb einer bestimmten Risikostufe gilt.
- Kontrollanforderungen: Nachweise und Validierungsschritte, die eine Grundsatzerklärung verlangt, bevor ein System genehmigt werden kann. Sie werden im Rahmen des Reviews geprüft und nach wesentlichen Änderungen revalidiert.
- Ausnahmeregister: Ein strukturierter Ausnahmeprozess dokumentiert die jeweilige Richtlinienvorgabe, die Begründung, kompensierende Kontrollen, die zuständige Genehmigungsinstanz, das Ablaufdatum und die Abschlusskriterien, wenn ein System eine Kontrollanforderung in der vorgegebenen Form nicht erfüllen kann.
Mithilfe dieser Struktur werden Richtlinienvorgaben in ein Format überführt, das die Plattform über verschiedene Anwendungsfälle hinweg konsistent anwenden, verfolgen und prüfen kann.
Ordnen Sie die Richtlinie den Risikostufen, Frameworks und Vorschriften zu
Bei KI-Richtlinien müssen sowohl interne Vorgaben als auch externe Anforderungen berücksichtigt werden. Ein Richtliniensatz kann beispielsweise eine menschliche Überprüfung für beschäftigungsbezogene KI, zusätzliche Validierungen für generative KI mit vertraulichen Daten oder Einschränkungen bei der Bereitstellung von Systemen, die den Schwellenwert für Hochrisiko-KI gemäß dem EU AI Act erreichen, vorsehen.
OneTrust ordnet Richtlinien Risikoklassifizierungen und Framework-Anforderungen zu. Dadurch wird beispielsweise ein interner Assistent mit niedrigem Risiko nicht nach derselben Richtlinienlogik geprüft wie ein kundenorientiertes Entscheidungsunterstützungssystem.
Validieren Sie Kontrollen vor und nach der Bereitstellung
Damit eine Richtlinie wirksam ist, müssen Teams bestätigen können, dass die erforderlichen Kontrollen vorhanden sind. Vor der Bereitstellung sollten Reviewer prüfen, wer verantwortlich ist, welche Datenquellen freigegeben wurden, welche Anforderungen an die menschliche Überprüfung gelten, welche Prompt-Muster eingeschränkt sind, welche Modelldokumentation vorliegt und welche Drittanbieterprüfungen relevant sind.
Auch nach der Bereitstellung müssen Kontrollen weiterhin validiert werden. Änderungen am Modell oder den zugrunde liegenden Datenquellen, neue Ausgabeaktionen oder ein neuer Bereitstellungskontext können dazu führen, dass eine bereits erteilte Freigabe ungültig wird. Das Richtlinienmanagement sollte nachverfolgen, welche Kontrollen vorgeschrieben waren, welche weiterhin aktiv sind und welche nach einer wesentlichen Änderung revalidiert werden müssen.
Hier zeigt sich der Unterschied zu Laufzeitkontrollen. Laufzeitkontrollen setzen technische Maßnahmen in der Produktivumgebung um. Das Richtlinienmanagement definiert hingegen, welche Vorgaben durchgesetzt werden sollen, für welche Systeme sie gelten und durch welche Nachweise diese Entscheidungen gestützt werden.
Verwalten Sie Ausnahmen, Abhilfemaßnahmen und Richtlinienänderungen
Richtlinien bleiben nicht statisch. Neue regulatorische Vorgaben entstehen, der Einsatz von KI verändert sich, und Audit-Ergebnisse decken Schwachstellen auf. Teams benötigen daher einen Prozess für Ausnahmen und Richtlinien-Updates, nicht nur einen Ort zur Ablage bestehender Regeln. Jede Ausnahme sollte strukturiert dokumentiert werden, einschließlich der betroffenen Regel, der Begründung, der kompensierenden Kontrollen, der genehmigenden Instanz, des Ablaufdatums sowie der Abschlusskriterien. Fehlt diese Struktur, können Ausnahmen unbemerkt zu Präzedenzfällen werden, und die Qualität von Reviews nimmt mit der Zeit ab.
OneTrust verknüpft Ausnahmen direkt mit den jeweiligen Anwendungsfällen, Systemen und Verantwortlichen. So erkennen Teams auf einen Blick, wo Richtlinien immer wieder zu Reibungspunkten führen und ob eine Regel, eine Kontrolle oder ein Workflow angepasst werden sollte.
Unterscheiden Sie KI-Richtlinienmanagement von herkömmlichen IT-Compliance-Tools
Klassische Compliance-Tools helfen dabei, Nachweise, Probleme und den Status von Kontrollen im Blick zu behalten. Was ihnen jedoch häufig fehlt, ist die Fähigkeit, KI-Richtlinien als operatives Objekt zu behandeln, das mit dem vorgesehenen Anwendungszweck, dem Verhalten von Modellen, der menschlichen Aufsicht und KI-spezifischen Risikokategorien verknüpft ist.
Gartner stuft Richtlinienmanagement und -durchsetzung als eigenständige Fähigkeit innerhalb der KI-Governance ein – aus gutem Grund. Unternehmen benötigen mehr als reine Kontrollnachweise. Sie brauchen eine belastbare Richtlinienebene, die auch dann Bestand hat, wenn sich KI-Systeme, Anwendungsfälle und regulatorische Anforderungen weiterentwickeln.
Mit KI-Richtlinienmanagement legen Unternehmen klar fest, was als zulässige KI-Nutzung gilt, stimmen dies mit Risiken und regulatorischen Anforderungen ab und schaffen so die Grundlage für eine konsistente Durchsetzung und aussagekräftige Berichterstattung. Entdecken Sie, wie sich diese Fähigkeit in OneTrust AI Governance einfügt.
OneTrust im Gartner® Magic Quadrant™ 2026 für KI-Governance-Plattformen als „Visionary“ positioniert
Erfahren Sie, warum Gartner OneTrust im ersten Magic Quadrant für KI-Governance-Plattformen als „Visionary“ positioniert hat.
Häufig gestellte Fragen
OneTrust strukturiert KI-Richtlinien nicht als Dokumente, sondern als benannte Objekte. Jedes Richtlinienobjekt umfasst eine Richtlinienerklärung zu einem klar abgegrenzten Thema wie Datenhandhabung, Modelleinsatz oder menschliche Aufsicht. Darüber hinaus enthält es Anwendbarkeitsbedingungen, die festlegen, wann die Regel gilt – beispielsweise abhängig von der Risikostufe, dem geografischen Geltungsbereich oder dem Bereitstellungstyp. Hinzu kommen Kontrollanforderungen, die definieren, welche Nachweise oder Validierungsschritte erforderlich sind, sowie ein Ausnahmeregister für den Fall, dass ein System die Kontrolle nicht wie vorgeschrieben erfüllen kann. Die Versionierung erfolgt auf Objektebene. So können Teams genau nachvollziehen, welche Regel zum Zeitpunkt der Genehmigung eines Systems galt und welche Änderungen danach vorgenommen wurden.
Tritt eine wesentliche Änderung ein, etwa durch ein Modell-Update, eine Änderung der zugrunde liegenden Datenquelle, eine zusätzliche Ausgabeaktion oder einen neuen Bereitstellungskontext, markiert OneTrust die betroffenen Richtlinienobjekte und erforderlichen Kontrollen automatisch zur Revalidierung. Die Plattform dokumentiert dabei, welche Kontrollen zum Zeitpunkt der ursprünglichen Freigabe erfüllt waren, welche weiterhin gelten und welche aufgrund der Änderung erneut nachgewiesen werden müssen. So müssen Teams kein vollständiges Review von Grund auf neu durchführen. Stattdessen können sie die Revalidierung gezielt auf die tatsächlich betroffenen Kontrollen konzentrieren.
OneTrust unterstützt Unternehmen bei der Umsetzung der Anforderungen des EU AI Act, indem interne KI-Richtlinien den Bereichen Risikomanagement, Daten-Governance, menschliche Aufsicht und Systemqualität zugeordnet werden. Teams können jede Richtlinienerklärung mit den erforderlichen Kontrollen, Nachweisen und Prüfschritten verknüpfen. Dadurch lässt sich leichter nachvollziehen, wie interne Richtlinien die Erfüllung externer Anforderungen unterstützen.
OneTrust unterstützt Frameworks wie NIST AI RMF und ISO 42001, indem Richtlinien in ein operativ nutzbares Governance-Instrument überführt werden. Statt Anforderungen in separaten Dokumenten zu verwalten, führt OneTrust Richtlinien, Kontrollen und Verantwortlichkeiten an einem zentralen Ort zusammen. So erhalten Richtlinienverantwortliche eine klare, strukturierte Grundlage, um KI-Richtlinien zu definieren, mit den passenden Kontrollen zu verknüpfen und deren Umsetzung nachzuweisen. Dadurch wird das Richtlinienmanagement vereinfacht und die praktische Anwendung von Richtlinien im Rahmen der KI-Governance erleichtert.
Das KI-Richtlinienmanagement definiert die Regel, ihren Geltungsbereich und die erforderliche Kontrolle. Laufzeitkontrollen setzen die technische Maßnahme in der Produktivumgebung um, indem sie beispielsweise Aktionen blockieren oder einschränken, Inhalte schwärzen oder Prozesse umleiten. Die eine Fähigkeit definiert die Richtlinienlogik, die andere setzt sie durch. Beide sind für eine wirksame KI-Governance erforderlich, erfüllen jedoch unterschiedliche Aufgaben.
Das könnte Sie auch interessieren
Definieren Sie KI-Richtlinien einmal, ordnen Sie sie Risiken und regulatorischen Anforderungen zu und sorgen Sie dafür, dass Leitplanken auch bei einer Weiterentwicklung der KI-Nutzung konsistent bleiben.