Aufbau eines prüffähigen KI-Systeminventars für Enterprise Compliance

Regulatorische Compliance über mehrere Rechtsordnungen hinweg erfordert vollständige Transparenz über jedes eingesetzte KI-Modell, jede automatisierte Entscheidungs-Engine und jede API-Schnittstelle im Unternehmen. Ein umfassendes, prüffähiges KI-Systeminventar bildet die unverzichtbare Grundlage für die Einhaltung des EU AI Act, die ISO 42001-Zertifizierung und weitere internationale Governance-Vorgaben.

Datenstruktur für ein unternehmensweites KI-Register

Um den technischen Dokumentations- und Rechenschaftspflichten von Aufsichtsbehörden gerecht zu werden, darf ein KI-Inventar keine statische Tabelle sein. Es muss als dynamisches, maschinenlesbares Register geführt werden:

1. Systemidentität und Herkunft

• Eindeutige Systemkennung: Interne Register-URN und operativer Name.
• Systemverantwortlicher und technischer Leiter: Benannte Personen mit Freigabeberechtigung.
• Bereitstellungsmodell: Intern trainiertes Modell, feinabgestimmtes Open-Source-Modell oder externe kommerzielle API (z. B. Azure OpenAI, Anthropic).
• Modellversion und Herkunft: Commit-Hash, Basismodell-Checkpoint und Versions-Tag.

2. Operativer Kontext und Verwendungszweck

• Geschäftsfunktion: Konkreter Prozess (z. B. automatisierte Lebenslaufprüfung, Betrugserkennung, Kundenservice).
• Zielgruppe: Interne Mitarbeiter, Geschäftskunden oder Endnutzer in regulierten Märkten.
• Autonomiegrad: Vollautomatisiert, mit menschlicher Freigabe (Human-in-the-Loop) oder mit nachträglicher Übersteuerungsmöglichkeit (Human-on-the-Loop).

3. Regulatorische Einstufung und Pflichten

• EU AI Act-Kategorie: Verboten (Art. 5), Hochrisiko (Anhang III), Allzweck-KI (Kapitel V) oder Minimales Risiko.
• Sektorale Vorgaben: Relevante Rahmenwerke wie DORA, MDR, HIPAA oder ISO 42001.
• Geografischer Geltungsbereich: Einsatz in der EU, den USA, Großbritannien oder weiteren Regionen.

4. Kontrollen und Prüfnachweise

• Risikobewertung: Verknüpfung zu Auditberichten und Risikobehandlungsplänen.
• Datenherkunft: Dokumentation der Herkunft von Trainings-, Validierungs- und Abrufdaten.
• Kontinuierliche Telemetrie: Direkte Anbindung an Drift-Warnungen, Vorfallprotokolle und manuelle Übersteuerungen.

Automatisierung des Inventarisierungsprozesses

Manuelle Register veralten schnell. Führende Unternehmen scannen Code-Repositories in CI/CD-Pipelines, erfassen Modellaufrufe über zentrale KI-Gateways und lösen bei Änderungen von System-Prompts oder Modellversionen automatisch Prüfprozesse aus.