AI Governance Framework: Rollen, Genehmigung, Prüfung und Reaktion auf Vorfälle

Gewinne:

• Definieren von Governance-Rollen mit einer RACI-Matrix
• Richten Sie einen ausgewogenen Genehmigungsprozess und ein regelmäßiges Auditprogramm ein
• Implementieren Sie einen Reaktionsplan für KI- und Datenschutzverletzungen mit einer 72-Stunden-Regel

Von der ersten Einheit bis zu diesem Punkt haben wir die Richtlinie geschrieben, uns mit der Gesetzgebung vertraut gemacht und die Risiken bewertet. Jetzt ist es an der Zeit, all dies in ein funktionierendes System einzubinden. Unabhängig davon, wie gut eine Richtlinie geschrieben ist, bleibt sie als Dokument im Regal, wenn es keine Rollen, Genehmigungsabläufe, Audits und Vorfallreaktionen gibt. In dieser Abschlusseinheit kombinieren wir die vier Mechanismen, die die KI-Governance am Leben erhalten – Rollen (RACI), Genehmigungsprozess, regelmäßige Prüfung und Reaktion auf Vorfälle – und vervollständigen das Framework.

Rollenklärung: die RACI-Matrix

Die erste Governance-Regel: Jede Aufgabe muss einen Eigentümer haben. Das klassische Hilfsmittel zur Klärung ist die RACI-Matrix. RACI leitet sich aus den Initialen von vier Rollen ab:

• R (Verantwortlicher/Macher): Derjenige, der die Arbeit tatsächlich ausführt.
• A (verantwortlich): Es sollte nur eine Person geben, die letztendlich verantwortlich ist.
• C (konsultiert): Derjenige, dessen Meinung berücksichtigt wird.
• Ich (informiert): Informiert.

Suche

Hergestellt von (R)

Verantwortlich (A)

Konsultiert (C)

Informiert (I)

Schreiben der Richtlinie

KI-Offizier

Compliance-Manager

Recht, IT, HR

leitendes Management

Neufahrzeuggenehmigung

IT/Sicherheit

Compliance-Manager

Gesetz

Geschäftseinheit

DPIA-Ausführung

Datenschutzbeauftragter

Compliance-Manager

Zugehöriges Team

leitendes Management

Reaktion auf Verstöße

Sicherheitsteam

leitendes Management

Recht, Kommunikation

gesamte Institution

Prüfung

interne Revision

Compliance-Manager

Einheiten

leitendes Management

Tipp: Verwenden Sie nur ein „A“ (Accountable) pro Zeile. Letztendlich sind zwei verantwortlich, null ist verantwortlich; Daher kommt in Krisenzeiten der Satz „Ich dachte, du würdest hinschauen“. Die Festlegung der Verantwortung auf eine einzelne Rolle ist die Faustregel der Governance.

Ausgewogener Genehmigungsprozess

Ein neues KI-Tool bzw. dessen Einsatz erfordert einen Genehmigungsprozess. Zwei Fallen werden vermieden: zu locker (alles ist kostenlos, Schatten-KI) und zu starr (alles wartet monatelang auf Genehmigung, niemand kümmert sich darum). Der Kompromiss besteht in einer schrittweisen Genehmigung basierend auf dem Risiko:

Risikostufe

Beispiel

Genehmigungspfad

niedrig

Textentwurf mit offenen Daten

Keine Genehmigung erforderlich, kostenlos im Rahmen der Police

mittel

Analyse mit internen Daten

Abteilungsleiter + genehmigte Fahrzeuganforderung

hoch

Persönliche/private Daten, automatische Entscheidung

Compliance + rechtliche Genehmigung + DSFA

Durch die Freigabe risikoarmer Verwendungen können Teams die Verantwortung für den Prozess übernehmen. Durch die strenge Kontrolle hochriskanter Risiken wird das reale Risiko bewältigt. Somit ist der Prozess sowohl schnell als auch sicher.

Regelmäßige Inspektion

Governance ist ein lebendiges System; Ohne regelmäßige Aufsicht stirbt es. Bei der Prüfung wird Folgendes überprüft: Stehen die verwendeten Fahrzeuge noch auf der genehmigten Liste, gibt es Anzeichen von Schatten-KI, gelten Aufbewahrungsfristen, sind die DSFAs auf dem neuesten Stand, wurden Vorfälle aufgezeichnet? Die Häufigkeit der Prüfungen richtet sich nach dem Risiko (z. B. vierteljährlich für Systeme mit hohem Risiko, alle sechs Monate für allgemeine Systeme).

Achtung: Auditing ist kein Werkzeug, um „jemandem die Schuld zuzuschieben“, sondern ein Werkzeug, um „das System zu verbessern“. Eine auf Bestrafung ausgerichtete Prüfungskultur zwingt Mitarbeiter dazu, Probleme zu verbergen, und fördert die Schatten-KI. Ziel ist es, Probleme frühzeitig zu erkennen und zu beheben.

Reaktion auf Vorfälle und die 72-Stunden-Regel

Egal wie gut verwaltet, eines Tages wird es zu einem Vorfall kommen: Datenleck, falsche KI-Entscheidung, vertrauliche Daten gelangen in das falsche Tool. Ein Vorfallreaktionsplan schreibt vor, was zu tun ist:

1. Erkennung und Eindämmung: Erkennen Sie den Vorfall und stoppen Sie seine Ausbreitung (z. B. Sperren des Zugangs).
2. Auswertung: Welche Daten, wie viele Personen, wie stark waren betroffen?
3. Benachrichtigung: Im Falle einer Verletzung des Schutzes personenbezogener Daten benachrichtigen Sie die zuständige Behörde (KVKK-Vorstand) und bei Bedarf die relevanten Personen. Die DSGVO erfordert eine Benachrichtigung der Behörde innerhalb von 72 Stunden nach Kenntnisnahme des Verstoßes. KVKK erwartet ebenfalls eine Benachrichtigung „schnellstmöglich“.
4. Korrektur und Lernen: Beheben Sie die Grundursache, ergreifen Sie Maßnahmen, um ein ähnliches Problem zu verhindern, dokumentieren Sie den Vorfall.

Achtung: Die 72-Stunden-Benachrichtigungsfrist beginnt ab dem Zeitpunkt, an dem Sie von dem Vorfall erfahren; Der Ansatz „Lass es uns erst intern lösen, dann sagen wir dir Bescheid“ wird die Frist verfehlen. Wenn Sie im Vorfeld einen Plan zur Reaktion auf Vorfälle und eine Kommunikationskette vorbereitet haben, können Sie im Krisenfall Zeit sparen.

drei Mini-Koffer

Fall 1 – Nicht beanspruchte Aufgabe. Ein Unternehmen verfügt über eine KI-Richtlinie, aber es ist nicht klar, „wer die Liste der genehmigten Werkzeuge aktualisiert“. Die Liste wird 8 Monate lang nicht aktualisiert, Teams beginnen, Tools zu verwenden, die nicht auf der Liste stehen. Wenn eine RACI-Matrix diese Aufgabe einer Rolle zuordnen würde, würde die Lücke nicht auftreten.

Fall 2 – 72 Stunden versäumt. Ein Mitarbeiter gibt eine Testkäuferliste in das falsche Tool ein. Das Team versucht, dies intern zu klären und informiert drei Tage später das Gesetz. Die Meldefrist ist übrigens abgelaufen. Ein vorbereiteter Vorfallreaktionsplan und eine klare Kommunikationskette hätten den Vorfall innerhalb der ersten Stunde an den richtigen Kanal weitergeleitet.

Fall 3 – Schatten-KI durch Audit erfasst. Eine Organisation entdeckt während einer routinemäßigen halbjährlichen Prüfung drei nicht genehmigte KI-Tools im Netzwerkverkehr. Anstatt zu bestrafen, spricht er mit den Teams, versteht, warum sie diese Tools benötigen, bewertet die beiden und fügt sie der genehmigten Liste hinzu. Audit schließt das Risiko und macht den tatsächlichen Bedarf sichtbar.

Kopierbare Vorlagen

VORLAGE 1 – Übersicht über die RACI-Matrix: „Entwerfen Sie die RACI-Matrix für die KI-Governance unserer Organisation. Aufgaben: Richtlinienerstellung, Tool-Genehmigung, DPIA, Reaktion auf Verstöße, Prüfung, Schulung. Rollen: KI-Leiter, Compliance-Manager, Rechtsabteilung, IT, Personalwesen, leitendes Management. Nur ein „A“ in jeder Rolle.“

VORLAGE 2 – Abgestufter Genehmigungsprozess: „Entwerfen Sie einen abgestuften KI-Genehmigungsprozess entsprechend dem Risiko: separate Genehmigungspfade für niedriges/mittleres/hohes Risiko. Schreiben Sie Beispielverwendung, Genehmigerrolle und erforderliches Dokument (DPIA usw.) für jede Ebene. Machen Sie den Prozess sowohl schnell als auch sicher.“

VORLAGE 3 – Audit-Checkliste: „Bereiten Sie eine Checkliste für ein sechsmonatiges AI-Governance-Audit vor: Einhaltung genehmigter Tools, Schatten-KI-Indikationen, Aufbewahrungsfristen, DPIA-Währung, Ereignisprotokolle, Schulungsabschlussrate. Fügen Sie jedem Element die Methode „Überprüfung“ hinzu.“

VORLAGE 4 – Ablaufkarte für die Reaktion auf Vorfälle: „Schreiben Sie eine einseitige Ablaufkarte für die Reaktion auf Vorfälle bei einem KI-/Datenverstoß: Schritt für Schritt (Erkennung, Eindämmung, Bewertung, Benachrichtigung, Behebung), verantwortliche Rolle und Kontaktinformationen bei jedem Schritt, 72-Stunden-Benachrichtigung. Halten Sie es einfach genug, um in einer Krise auf dem Tisch zu bleiben.“

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

SCHWACH: „Was sollten wir für die KI-Governance tun?“ -> Das Modell gibt eine allgemeine Liste; Rollen, Genehmigungspfade und Vorfallpläne wären nicht institutsspezifisch und anwendbar. STARK: „Wir sind eine Organisation mit 60 Mitarbeitern. Damit die KI-Governance funktioniert: (1) Erstellen Sie eine 5-Aufgaben-RACI-Matrix, (2) einen abgestuften Genehmigungsfluss für niedriges/mittleres/hohes Risiko, (3) eine einseitige Vorfallreaktionskarte mit einer 72-Stunden-Regel. Lassen Sie in jeder Aufgabe ein einziges „A“ stehen; einfach und anwendbar.“ -> Das Modell erstellt organisationsspezifische, sofort verwendbare Governance-Tools.

Häufige Fehler

• Der Rolle keine Aufgaben zuordnen; Es entsteht eine „Jedermanns Job geht niemanden etwas an“-Lücke.
• Definieren von mehr als einem „A“ (letzter Verantwortlicher) für eine Aufgabe.
• Den Genehmigungsprozess entweder zu lax oder zu streng gestalten; keine Stratifizierung nach Risiko.
• Die Inspektion überhaupt nicht durchführen oder sie zu einem Instrument der Bestrafung machen und die Probleme verheimlichen.
• Berücksichtigung des Vorfallreaktionsplans nach Eintreten des Vorfalls.
• Die Kündigungsfrist von 72 Stunden wurde nicht eingehalten, nur um „das Problem zuerst intern zu beheben“.
• Governance einmalig etablieren und nicht noch einmal überprüfen; Es handelt sich jedoch um ein lebendes System.

Zusammenfassend

• Vier Mechanismen sorgen dafür, dass Governance funktioniert: Rollen (RACI), abgestufte Genehmigung, regelmäßige Prüfungen und Reaktion auf Vorfälle.
• In der RACI-Matrix sollte jede Aufgabe eine einzige letztendlich verantwortliche Person (A) haben.
• Der Genehmigungsprozess sollte risikoorientiert erfolgen; geringes Risiko ohne, hohes Risiko strenge Kontrolle.
• Regelmäßige Prüfungen halten die Governance am Leben; Es dient der Heilung, nicht der Bestrafung.
• Der Vorfallreaktionsplan sollte im Voraus erstellt werden; Die 72-Stunden-Benachrichtigungsregel sollte im Falle einer Verletzung des Schutzes personenbezogener Daten nicht vergessen werden.

Anwendungsaufgabe

Stellen Sie in einem einzigen Dokument ein vollständiges Governance-Framework für Ihre Organisation zusammen. Erstellen Sie zunächst eine RACI-Matrix mit mindestens fünf Aufgaben. Stellen Sie sicher, dass es in jeder Aufgabe nur ein „A“ gibt. Entwerfen Sie dann einen abgestuften Genehmigungsablauf für niedriges, mittleres und hohes Risiko und fügen Sie auf jeder Ebene Beispielverwendung, genehmigende Rolle und erforderliche Dokumentation hinzu. Erstellen Sie dann eine sechsmonatige Audit-Checkliste. Schreiben Sie abschließend eine einseitige Vorfallreaktionskarte für einen KI-/Datenverstoß; Beinhaltet eine 72-Stunden-Benachrichtigung und Kommunikationskette. Diese vier Teile bilden das Dokument, das das, was Sie im Laufe des Moduls gelernt haben, in ein funktionierendes System umwandelt.

Checkliste

• [ ] Ich habe die RACI-Matrix eingerichtet; In jeder Mission gibt es nur ein „A“.
• [ ] Ich habe einen schrittweisen Genehmigungsablauf entsprechend dem Risiko entworfen.
• [ ] Ich habe Anwendungen mit geringem Risiko einigermaßen großzügig belassen.
• [ ] Ich habe eine sechsmonatige Audit-Checkliste erstellt.
• [ ] Ich habe Auditing als Werkzeug zur Verbesserung positioniert.
• [ ] Ich habe eine einseitige Karte zur Reaktion auf Vorfälle geschrieben.
• [ ] Ich habe die 72-Stunden-Benachrichtigungsregel und die Kommunikationskette eingefügt.

Modulprüfung

1. Welches Konzept bezieht sich auf den unbefugten Einsatz von KI durch Mitarbeiter, der auftritt, wenn Organisationen keine schriftliche KI-Richtlinie haben?

• A) Schatten-KI (Schatten-KI) ✔
• B) Offene Gewichts-KI
• C) Multimodale KI
• D) Überwachte KI

Beschreibung: Der Einsatz von KI ohne Wissen und Genehmigung der Institution wird als „Schatten-KI“ bezeichnet und birgt ernsthafte Risiken wie Datenlecks.

2. Was sollte der Grundansatz einer guten Unternehmens-KI-Richtlinie sein?

• A) Den Einsatz von KI möglichst vollständig verbieten
• B) Ein Rahmen sein, der einen verantwortungsvollen Umgang ermöglicht und Klarheit und Vertrauen schafft ✔
• C) Es handelt sich um ein technisches Dokument, das nur der IT-Abteilung bekannt ist
• D) So lang wie möglich und nur in juristischer Sprache verfasst

Erläuterung: Eine gute Richtlinie ist keine Verbotsliste, sondern ein Rahmenwerk, das einen verantwortungsvollen Umgang ermöglicht. Ein vollständiges Verbot wird die Nutzung nicht verhindern; Es macht es einfach unsichtbar und unkontrollierbar.

3. Was bestimmt die Datenklassifizierung, den kritischsten Teil einer Unternehmens-KI-Richtlinie?

• A) Der Token-Preis des KI-Modells
• B) Das jährliche KI-Budget des Unternehmens
• C) Welche Art von Daten können in welches KI-Tool eingegeben werden ✔
• D) Welcher Mitarbeiter erhält welches Gehalt?

Beschreibung: Datenklassifizierung; Es legt klare Regeln fest, welche Arten von offenen, internen, vertraulichen und proprietären Daten in welches KI-Tool eingegeben werden dürfen und welche nicht.

4. Was bedeutet das KVKK-Prinzip „Datenminimierung“ (Relevanz, begrenzt und verhältnismäßig) beim Einsatz von KI?

• A) Nur die notwendigen Daten in die KI eingeben und nicht mehr ✔
• B) Erzielen Sie bessere Ergebnisse, indem Sie so viele Daten wie möglich in die KI eingeben
• C) Daten auf unbestimmte Zeit speichern
• D) Stellen Sie sicher, dass Sie alle Daten ins Ausland übertragen

Erläuterung: Datenminimierung bedeutet, dass in die KI nur die für den Zweck erforderlichen Daten eingegeben werden und nicht mehr. Die Dateneingabe erfolgt nach Möglichkeit anonymisiert oder maskiert.

5. Was ist im Hinblick auf KVKK zu beachten, wenn ein Text mit personenbezogenen Daten in ein KI-Tool eingegeben wird, das die Daten auf dem Server des Anbieters verarbeitet?

• A) Eine gewöhnliche Transaktion ohne rechtliche Konsequenzen
• B) Eine Handlung, die unter allen Umständen strengstens verboten ist
• C) Eine Operation, die nur dann von Bedeutung ist, wenn die Daten offen sind
• D) Eine Transaktion und oft eine Überweisung; Erfordert Rechtsgrundlage und Zusicherung ✔

Erläuterung: Hierbei handelt es sich um eine „Verarbeitung“ und oft um eine „Übermittlung“, da die Daten auf dem Server des Anbieters (oftmals im Ausland) verarbeitet werden; Es bedarf einer gültigen Rechtsgrundlage und eines entsprechenden Vertrags/einer entsprechenden Garantie.

6. Was ist der Grundansatz des EU-KI-Gesetzes?

• A) Alle KI-Systeme denselben strengen Regeln unterwerfen
• B) KI-Systeme nach ihrem potenziellen Risiko klassifizieren und Regeln entsprechend anwenden ✔
• C) Den Einsatz von KI in der gesamten EU vollständig verbieten
• D) Nur den Token-Preis des Modells kontrollieren

Erläuterung: Das EU-KI-Gesetz fasst nicht alle KI in einen Topf; Es unterteilt Systeme nach ihrem potenziellen Schaden in vier Risikoklassen (verboten, hoch, begrenzt, minimal) und verschärft die Regeln bei steigendem Risiko.

7. In welche Risikoklasse würde laut EU-KI-Gesetz ein KI-System, das Kandidaten bei Einstellungsentscheidungen aussortiert, am ehesten fallen?

• A) Hohes Risiko ✔
• B) Minimales Risiko
• C) Begrenztes Risiko
• D) Risikofrei

Beschreibung: Bereiche, die das Leben von Menschen ernsthaft beeinträchtigen, wie z. B. Personalbeschaffung, Kreditwesen und Gesundheitsfürsorge, fallen im Allgemeinen in die Kategorie „hohes Risiko“ und unterliegen strengen Verpflichtungen (Aufzeichnung, menschliche Überwachung, Datenqualität).

8. In welche Kategorie fallen nach dem EU-KI-Gesetz staatlich geförderte „Social Scoring“-Systeme, die Menschen anhand ihres Verhaltens oder ihrer Merkmale bewerten und sie sozial benachteiligen?

• A) Begrenztes Risiko
• B) Hohes Risiko
• C) Verbotene (inakzeptables Risiko) Praxis ✔
• D) Minimales Risiko

Beschreibung: Social Scoring, unterschwellige Manipulation und bestimmte biometrische Überwachungspraktiken gehören zu den „verbotenen Praktiken“; Diese dürfen auch bei reduziertem Risiko nicht freigegeben werden, sie sind gänzlich verboten.

9. Wovor schützt Artikel 22 DSGVO den Einzelnen?

• A) Gegen die hohen Preise von KI-Tools
• B) Nur gegen Werbe-E-Mails
• C) Gegen den Einsatz defizitgewichteter Modelle
• D) Gegen Entscheidungen, die die Person erheblich beeinträchtigen und nur automatisch getroffen werden ✔

Erläuterung: Artikel 22 der DSGVO schützt den Einzelnen vor Entscheidungen, die ihn in rechtlicher oder ähnlich erheblicher Weise beeinträchtigen und ausschließlich auf einer automatisierten Verarbeitung (einschließlich KI) beruhen; Es gewährt das Recht, menschliches Eingreifen und Einspruch zu verlangen.

10. Was ist im Sinne der KVKK/DSGVO erforderlich, wenn Sie personenbezogene Daten auf dem Server eines KI-Anbieters im Ausland verarbeiten möchten?

• A) Keine zusätzlichen Bedingungen; Daten können frei übertragen werden
• B) Angemessene Zusicherung (Verpflichtungserklärung/Standardvertragsklauseln) oder ein Mechanismus wie die ausdrückliche Zustimmung ✔
• C) Nur die Verschlüsselung der Daten ist ausreichend
• D) Es genügt die mündliche Zustimmung des Arbeitnehmers

Erläuterung: Grenzüberschreitende Übermittlungen erfordern in der Regel Mechanismen, die eine ausdrückliche Einwilligung oder eine angemessene Schutzverpflichtung beinhalten (geeignete Garantien wie Verpflichtungserklärung, Standardvertragsklauseln); Daten können nicht zufällig übertragen werden.

11. Was bestimmt, ob eine KI-generierte Ausgabe in den meisten Rechtssystemen urheberrechtlich geschützt ist?

• A) Grad der menschlichen Kreativität und Beitrag zum Inhalt ✔
• B) Token-Preis des verwendeten Modells
• C) Nur die Länge der Ausgabe
• D) Herkunftsland des KI-Tools

Beschreibung: In vielen Rechtssystemen erfordert der Urheberrechtsschutz menschliche Kreativität. Je größer die menschliche Führung, Auswahl, Regulierung und der einzigartige Beitrag sind, desto größer ist die Wahrscheinlichkeit, dass der Output erhalten bleibt.

12. Worauf bezieht sich „menschliche Kontrolle“, das wichtigste Prinzip des KI-Governance-Frameworks?

• A) KI trifft alle Entscheidungen alleine und automatisch
• B) Die Leute hören vollständig auf, KI zu nutzen
• C) KI ist ein Werkzeug; Das letzte Wort und die Verantwortung bei wichtigen Entscheidungen liegt immer bei der Person ✔
• D) Verwenden Sie nur das teuerste Modell

Beschreibung: Das Prinzip der menschlichen Kontrolle betont, dass KI ein Werkzeug ist und die Verantwortung immer beim Menschen verbleibt. Bei wichtigen Entscheidungen hat eine befugte Person das letzte Wort; „KI hat es gesagt“ ist keine Entschuldigung.

13. Wann sollte in der Regel eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt werden?

• A) Nach einer Datenschutzverletzung
• B) In der Entwurfsphase, bevor mit der Hochrisikoverarbeitung begonnen wird ✔
• C) Nur wenn der Prüfer es verlangt
• D) Routinemäßig, Jahre nach dem Projekt

Beschreibung: Die DPIA sollte in der Entwurfsphase durchgeführt werden, BEVOR mit einer KI-Verarbeitungsaktivität begonnen wird, die neue Technologien nutzt, eine groß angelegte oder systematische Überwachung erfordert oder ein hohes Risiko für Einzelpersonen darstellt.

14. Was ist gemäß den „Zweckbindungs-“ und Aufbewahrungsgrundsätzen der KVKK mit personenbezogenen Daten im Chatverlauf eines KI-Tools zu tun?

• A) Es sollte für immer aufbewahrt werden
• B) Keine Regeln erforderlich, es ist das Problem des Anbieters
• C) Eine jährliche Überprüfung erfolgt nur auf Antrag des Managers.
• D) Es sollte mit einer Speicher- und Vernichtungsrichtlinie verknüpft sein und nach Zweckerfüllung gelöscht oder anonymisiert werden ✔

Erläuterung: Personenbezogene Daten dürfen nicht länger aufbewahrt werden, als es für den Zweck, für den sie verarbeitet werden, erforderlich ist. KI-Chatverläufe sollten außerdem an eine Aufbewahrungs- und Vernichtungsrichtlinie gebunden sein; Wenn der Zweck nicht mehr gegeben ist, sollte es gelöscht oder anonymisiert werden.

15. Welches Register ist für Datenverantwortliche erforderlich, die bestimmte Schwellenwerte überschreiten, um ihre Aktivitäten zur Verarbeitung personenbezogener Daten in der Türkei zu registrieren?

• A) VERBIS (Data Controllers Registry Information System) ✔
• B) MERSIS-Handelsregister
• C) Datenbank zum EU-KI-Recht
• D) Steuerzahlerregister

Beschreibung: VERBIS (Data Controllers Registry Information System) ist das offizielle Register, in dem Datenverantwortliche ihre Verarbeitungsbestände registrieren. Eine neue KI-basierte Verarbeitungstätigkeit muss sich im Inventar und ggf. im VERBIS-Datensatz widerspiegeln.