AI Governance
KI-Governance-Workflows für eine kontinuierliche Audit-Bereitschaft
KI-Richtlinien allein reichen nicht aus, um Audits zu bestehen. Mit der zunehmenden Nutzung von KI werden manuelle Aufnahmeformulare, voneinander getrennte Freigabeprozesse und eine veraltetes Kontroll-Tracking selbst zum Compliance-Risiko. Die KI-Governance-Workflows von OneTrust bieten Unternehmen die operative Grundlage, um jeden KI-Anwendungsfall mit Aufnahme, Bewertung, Freigabe, Kontrollverantwortung und Nachweisen zu verknüpfen. So wird Governance als kontinuierliches System betrieben und nicht als manueller Prozess.
Von der Aufnahme bis zum Audit-Trail: Fünf Workflows für eine wirksame KI-Governance
Compliance-Automatisierungstools für IT-Sicherheits-Frameworks prüfen Kontrollen anhand von Standards wie SOC 2 oder ISO 27001. KI-Governance-Workflows erfüllen eine andere Funktion: Sie unterstützen den bereichsübergreifenden Prozess, der ein neues KI-System von der Risikobewertung über mehrstufige Freigaben bis hin zur kontinuierlichen Aufsicht begleitet – über einen Lebenszyklus hinweg, an dem Rechts-, Datenschutz-, Sicherheits- und Fachbereiche beteiligt sind. OneTrust bildet diesen Prozess in fünf miteinander verknüpften Workflows ab – von der initialen Aufnahme bis zum auditfähigen Nachweispaket.
KI-Aufnahme- und Anwendungsfallregister
OneTrust erfasst jedes KI-System, jedes Modell und jeden KI-Anwendungsfall über einen strukturierten Aufnahme-Workflow. Dabei werden bereits bei der Einreichung zentrale Informationen in definierten Feldern erfasst, darunter Verantwortliche, vorgesehener Verwendungszweck, Dateneingaben, Art der Ausgaben, Modell der menschlichen Aufsicht, Abhängigkeiten von Drittanbietern und regulatorische Relevanz. Die erfassten Informationen fließen automatisch in das Register für KI-Anwendungsfälle ein. Dadurch werden Verantwortlichkeiten, Klassifizierung und Lebenszyklusstatus bereits beim Eintritt in den Prozess festgelegt und nicht erst nachträglich ergänzt.
Der Aufnahme-Datensatz erfüllt zwei Funktionen gleichzeitig: Er erzeugt den Eintrag in der zentralen Referenzquelle und stößt unmittelbar den passenden nachgelagerten Workflow an. Wird ein KI-Anwendungsfall bereits bei der Aufnahme als kundenorientiert gekennzeichnet, wird er direkt einem erweiterten Bewertungsprozess zugeführt. Umfasst ein Anwendungsfall ein Modell eines Drittanbieters, wird die Nachverfolgung entsprechender Anbieterabhängigkeiten angestoßen. Werden personenbezogene Daten verarbeitet, wird ohne manuelle Weiterleitung eine Datenschutz-Folgenabschätzung eingeleitet. Jedes neue KI-Projekt durchläuft denselben konsistenten Governance-Prozess – ohne separate Tracking-Tabellen und ohne Mitwirkung anderer Teams.
Risikobewertungs- und Freigabe-Workflows
OneTrust stößt die passenden Risiko- und Freigabe-Workflows auf Basis der Klassifizierung des KI-Anwendungsfalls bereits bei der Erfassung an. KI-Folgenabschätzungen, Datenschutz-Folgenabschätzungen für KI, Sicherheitsprüfungen und maßgeschneiderte Bewertungen werden dabei automatisch gestartet. Freigaben werden anhand der jeweiligen Risikostufe gesteuert: Systeme mit geringem Risiko durchlaufen vereinfachte Prüfpfade, während Systeme mit höherem Risiko an mehrstufige Freigabeverfahren mit Beteiligung von Rechts-, Datenschutz-, Sicherheits-, Compliance- und Fachverantwortlichen eskaliert werden. Jede Freigabeentscheidung wird zusammen mit einer Begründung, einem Zeitstempel und der verantwortlichen Person dokumentiert.
Zuweisung, Prüfung und Wiederverwendung von Kontrollen über Frameworks hinweg
Sobald ein Anwendungsfall die Prüfung und Freigabe durchlaufen hat, weist OneTrust automatisch die erforderlichen Kontrollen aus einer zentralen Bibliothek zu und ordnet sie den jeweils relevanten Frameworks zu. Eine einzelne Kontrolle, beispielsweise die menschliche Aufsicht, kann Anforderungen mehrerer Standards gleichzeitig abdecken, ohne dass doppelte Einträge erstellt werden müssen.
Kontrollen werden im Rahmen des Workflows bestimmten Verantwortlichen zugewiesen. Jede Kontrolle umfasst einen Testplan, verknüpfte Nachweise und den aktuellen Status. Testergebnisse werden einmal erfasst und anschließend automatisch in Audit- oder Compliance-Berichte übernommen, die auf die Kontrolle Bezug nehmen.
Dieser Ansatz sorgt für klare Verantwortlichkeiten, konsistente Prozesse und eine kontinuierliche Verknüpfung von Kontrollen, Nachweisen und Zuständigkeiten. Dadurch verfügen Unternehmen jederzeit über einen aktuellen Überblick über ihren Compliance-Status, anstatt die erforderlichen Nachweise erst zum Zeitpunkt eines Audits zusammenstellen zu müssen.
Ausnahme- und Eskalationsmanagement
Wenn eine Kontrolle fehlschlägt, eine Prüfung versäumt wird oder ein KI-System von vorgegebenen Parametern abweicht, leitet OneTrust die Ausnahme automatisch an die zuständige Person weiter – einschließlich Fristen, klarer Verantwortlichkeiten und Statusverfolgung. Der Ausnahmeprozess folgt einem definierten Workflow – von der Erkennung über die Zuweisung, Behebung und Eskalation bis hin zum Abschluss. Wiederkehrende Ausnahmemuster werden im Zeitverlauf nachverfolgt, sodass Teams wiederholt auftretende Kontrollmängel und systemische Schwachstellen erkennen, bevor sie zu Auditfeststellungen werden.
Audit-Trail und Nachweiserfassung
OneTrust protokolliert jede Workflow-Aktion im gesamten Governance-Prozess mit Zeitstempel und verantwortlicher Person – von der Einreichung zur Aufnahme über Bewertungsantworten und Freigabeentscheidungen bis hin zu Testergebnissen und der Beendigung der Ausnahme. Der Audit-Trail ist eine fortlaufende Aufzeichnung, keine Momentaufnahme. Wenn Auditoren oder Regulierungsbehörden Dokumentation anfordern, wird das entsprechende Nachweispaket aus der bereits erfassten Workflow-Historie erstellt und nach Framework, Zeitraum oder regulatorischer Anforderung strukturiert.
OneTrust im Gartner® Magic Quadrant™ 2026 für KI-Governance-Plattformen als „Visionary“ positioniert
Erfahren Sie, warum Gartner OneTrust im ersten Magic Quadrant für KI-Governance-Plattformen als „Visionary“ positioniert hat.
Häufig gestellte Fragen
OneTrust organisiert KI-Governance als wiederholbaren, strukturierten Prozess. KI-Anwendungsfälle werden über strukturierte Aufnahme-Workflows erfasst, in denen Verantwortlichkeiten, Zweck, Daten und Abhängigkeiten dokumentiert werden. Die Klassifizierung bei der Aufnahme stößt den jeweils passenden Bewertungs- und Freigabeprozess an. Risikobewertungen werden auf Grundlage von Risikostufen und Richtlinienanforderungen den zuständigen Prüfern zugewiesen. Freigabeentscheidungen werden zusammen mit ihrer Begründung, Zeitstempeln und den verantwortlichen Personen dokumentiert. Nach der Freigabe werden die Systeme in das Verzeichnis aufgenommen, wo ihnen die relevanten Kontrollen zugeordnet und klare Verantwortlichkeiten festgelegt werden. Kontrollen werden nach einem festen Zeitplan getestet, Nachweise aus angebundenen Systemen erfasst, Ausnahmen durch definierte Abhilfeprozesse geführt und Audit-Pakete auf Basis der Workflow-Historie sowie der unterstützenden Nachweise erstellt, die Auditoren benötigen.
Gemäß Artikel 9 des EU AI Act muss für Hochrisiko-KI ein Risikomanagementsystem eingeführt werden. Artikel 17 fordert Qualitätsmanagementprozesse sowie einen dokumentierten Konformitätsnachweis. Artikel 61 verlangt eine kontinuierliche Beobachtung nach dem Inverkehrbringen. OneTrust strukturiert die dafür erforderlichen Workflows, Genehmigungsprozesse und Nachweiswege und unterstützt Unternehmen so dabei, die Anforderungen des EU AI Act in der Praxis umzusetzen und belastbare Prozessnachweise zu dokumentieren.
Die GOVERN-Funktion des NIST AI Risk Management Framework verlangt dokumentierte organisatorische Praktiken, klar definierte Verantwortlichkeiten und fortlaufende Governance-Prozesse für KI. Konkret umfasst GOVERN 1 Richtlinien und Verfahren, GOVERN 2 Verantwortlichkeiten und organisatorische Rollen sowie GOVERN 6 Risikotoleranz und Governance-Prozesse für KI-Anwendungsfälle. OneTrust setzt diese Kategorien operativ um: KI-Anwendungsfälle werden durch strukturierte Aufnahmeprozesse geführt, Verantwortlichkeiten klar zugewiesen, Prüf-Workflows standardisiert und Kontrollen in jedem Schritt mit Nachweisen und klarer Verantwortlichkeit verknüpft.
ISO/IEC 42001 stellt Anforderungen an die Dokumentation eines KI-Managementsystems sowie an interne Audits und Managementbewertungen. Bei OneTrust laufen Workflow-Historie, Kontrollzuweisungen, Nachweispakete und Audit-Trails zentral zusammen. So haben Teams die dokumentierten Aufzeichnungen, die im Rahmen von Audits nach ISO/IEC 42001 geprüft werden, jederzeit griffbereit.
Die Workflows von OneTrust lassen sich mit ServiceNow, Jira, Microsoft Teams, Identitätsanbietern und Cloud-Infrastrukturen verbinden. Freigaben, Verantwortlichkeitsdaten und Nachweise fließen direkt in den Workflow ein – ganz ohne manuelles Zusammentragen. Governance-Aufzeichnungen bleiben mit den Systemen verknüpft, in denen die eigentliche Arbeit ohnehin stattfindet. Dadurch lässt sich KI-Governance auch in großen Unternehmen praktikabel umsetzen, ohne einen parallelen administrativen Prozess aufzubauen.
Das könnte Sie auch interessieren
Erfahren Sie, wie OneTrust KI-Governance von der Aufnahme bis zum Audit-Trail strukturiert.