Die Schadenabteilung von Northbridge Mutual beabsichtigt, einen Copiloten auf Basis generativer KI einzusetzen, um Notizen von Schadenregulierern zusammenzufassen. Vor der Genehmigung muss das Governance-Team festlegen, wer für den Anwendungsfall verantwortlich ist, welche Daten verarbeitet werden dürfen, welche Risiken behandelt werden müssen und welche Nachweise die Entscheidung stützen. Wir entwickeln die operativen Strukturen für ein Programm, das Anfragen zur Einführung von KI in nachvollziehbare Entscheidungen, Kontrollmaßnahmen und Berichte für den Vorstand überführt. [Quellen][/Quellen]
Ein KI-Inventar erfasst jedes KI-System und jeden Anwendungsfall sowie die jeweiligen Verantwortlichen, den Zweck, die Daten, den Anbieter und die Risikoklasse. Ein KI-Risikoregister dokumentiert jedes identifizierte Risiko sowie den Verantwortlichen, die Bewertung, die Risikobehandlung und das Datum der nächsten Überprüfung. Zusammengenommen machen diese Artefakte das Programm transparent und bieten Prüfern eine verlässliche Ausgangsbasis. Das Betriebsmodell von Northbridge Mutual verknüpft die Phasen Aufnahme, Klassifizierung, Kontrolle, Überwachung und Berichterstattung:
Ein solides Programm macht transparent, wer befugt war, eine Entscheidung zu genehmigen, zu hinterfragen oder zu stoppen, und bewahrt die Belege für diese Entscheidung auf. Entscheidungsbefugnisse verteilen diese Kompetenzen auf Geschäftsbereichsverantwortliche, Risikomanagement und Compliance, Sicherheit, Rechtsabteilung, Einkauf und Führungsebene. Sie verhindern, dass sich ein Genehmigungsprozess in einem informellen E-Mail-Verlauf ohne klar verantwortliche Person verliert.
Das Programm erfordert zudem eine konsequente Umsetzung. Die für KI-Governance zuständige Person überprüft in den vom Unternehmen festgelegten Intervallen die Vollständigkeit des Bestandsverzeichnisses und achtet auf überfällige Überprüfungen. Die für Kontrollmaßnahmen Verantwortlichen liefern die entsprechenden Nachweise. Verstöße lösen Untersuchungen, Korrekturmaßnahmen und – sofern gerechtfertigt – die Aussetzung des betroffenen Anwendungsfalls aus. Ausnahmeregelungen dokumentieren den geschäftlichen Grund, die für die Risikoakzeptanz zuständige Stelle, das Ablaufdatum sowie die Bedingungen für die weitere Nutzung.
Nachweise sind entscheidend Eine Richtlinie wird erst dann zu einem echten Governance-Element, wenn die zuständigen Personen sie überprüfen, die Ergebnisse dokumentieren und bei Verstößen handeln.
Ein Änderungsmanagement (Change Control) hält die Dokumentation aktuell, wenn sich Zweck, Datenquellen, Anbieter, Modell oder die betroffene Personengruppe eines Systems ändern. Dies steht im Einklang mit dem NIST AI Risk Management Framework (NIST AI RMF): Dessen „Govern“-Funktion (Steuerung) umfasst Verantwortlichkeiten und organisatorische Richtlinien, während die Funktionen „Map“ (Erfassung/Zuordnung), „Measure“ (Messung) und „Manage“ (Steuerung/Handhabung) diese Entscheidungen mit identifizierten Risiken und entsprechenden Maßnahmen verknüpfen.
Das Programm funktioniert als wiederkehrender operativer Zyklus und nicht als einmalige Genehmigungshürde. Die erste Verteidigungslinie – das für den Anwendungsfall zuständige Geschäftsteam – trägt die Verantwortung für die sichere Nutzung und die Dokumentation. Die zweite Linie legt Richtlinien fest, hinterfragt Risikoentscheidungen und überwacht die Einhaltung von Vorgaben (Compliance). Die dritte Linie sorgt durch die interne Revision für eine unabhängige Überprüfung. Eskalationen an die Führungsebene erfolgen, wenn Restrisiken, wiederholte Verstöße oder wesentliche Änderungen die delegierten Befugnisse überschreiten.
Northbridge Mutual kann einen monatlichen Zyklus nutzen, um die Dokumentation zu pflegen und Lücken aufzudecken, bevor diese im Rahmen von Audits beanstandet werden. Wir können nachvollziehen, wie jede Aktivität die nächste Entscheidung unterstützt: