Richtlinie für KI-Verantwortlichkeit und Rollen

1. Zweck

Diese Richtlinie definiert, wer bei [Name der Organisation] für KI-Governance-Aktivitäten zuständig und verantwortlich ist. Sie legt die Governance-Gremien, einzelnen Rollen, Entscheidungsbefugnisse und Eskalationswege fest, sodass jedes KI-System einen benannten Verantwortlichen und jede Governance-Entscheidung einen klaren Entscheidungsträger hat.

2. Geltungsbereich

Diese Richtlinie umfasst:

• Alle Governance-Gremien, die an der KI-Aufsicht beteiligt sind (Ausschüsse, Beiräte, Arbeitsgruppen).
• Alle einzelnen Rollen mit KI-Governance-Verantwortlichkeiten.
• Alle KI-Systeme unabhängig von der Risikoklassifizierung.
• Alle Phasen des KI-Lebenszyklus.

3. Governance-Gremien

Platzhaltertext. Füllen Sie mit der Sprache Ihrer Organisation für 3. Governance-Gremien aus.

3.1 KI-Governance-Ausschuss

Der KI-Governance-Ausschuss ist das primäre Entscheidungsgremium für die KI-Governance. Er fungiert als funktionsübergreifender Lenkungsausschuss mit folgendem Mandat:

Zusammensetzung: Exekutiv-Sponsor (Vorsitzender), Rechts-/Compliance-Verantwortlicher, CISO oder Sicherheitsverantwortlicher, Datenschutzbeauftragter, Leiter Engineering/Data Science, Leiter Risikomanagement, Vertreter des operativen Geschäftsbetriebs.

Beschlussfähigkeit: Entscheidungen erfordern die Anwesenheit von mindestens 5 Mitgliedern, einschließlich des Vorsitzenden oder dessen Stellvertreter. Entscheidungen werden im Sitzungsprotokoll festgehalten und im Governance-Portal gespeichert.

Turnus: Monatliche reguläre Sitzung, mit Ad-hoc-Sitzungen für dringende Eskalationen.

• Genehmigung oder Ablehnung von Hochrisiko-KI-Anwendungsfällen.
• Festlegung von Governance-Standards, Risikoschwellen und Richtlinienausrichtung.
• Lösung von Eskalationen und Schlichtung von Streitigkeiten zwischen Teams.
• Vierteljährliche Überprüfung der Gesamt-KI-Risikolage der Organisation.
• Beauftragung interner Überprüfungen oder Audits bei Bedarf.
• Überwachung der Erkennung und Behebung von Schatten-KI.

3.2 KI-Ethik-Beirat (optional)

Organisationen mit bedeutendem KI-Einsatz können einen Beirat aus internen und externen Experten einrichten, der unverbindliche Empfehlungen zu ethischen Überlegungen, aufkommenden Risiken und Stakeholder-Bedenken gibt.

4. Einzelne Rollen

Platzhaltertext. Füllen Sie mit der Sprache Ihrer Organisation für 4. Einzelne Rollen aus.

4.1 Exekutiv-Sponsor

• Leitet den KI-Governance-Ausschuss.
• Verantwortet das KI-Governance-Budget und die strategische Ausrichtung.
• Rechenschaftspflichtig gegenüber dem Vorstand für die KI-Risikolage.
• Genehmigt die KI-Governance-Richtlinie und wesentliche Aktualisierungen.

4.2 KI-Governance-Verantwortlicher

• Koordiniert den täglichen Governance-Betrieb.
• Pflegt das KI-Systeminventar und den Compliance-Tracker.
• Bereitet Unterlagen für Ausschusssitzungen vor und verfolgt Maßnahmen.
• Ist erste Eskalationsstelle für KI-Belange.
• Verwaltet Ausnahmeanträge und verfolgt deren Ablauf.
• Koordiniert die Erkennung und Meldung von Schatten-KI.

4.3 Modellverantwortlicher

Jedes KI-System muss einen benannten Modellverantwortlichen haben, der für Folgendes verantwortlich ist:

Modellverantwortliche sind typischerweise erfahrene Ingenieure, Data Scientists oder Produktmanager mit direkter Kenntnis des Systems.

• Die Dokumentation des Systems (Modellkarte, Datenblatt, Risikobewertung).
• Das Bestehen der Lifecycle-Gate-Reviews vor der Bereitstellung.
• Die laufende Überwachung und Leistung im Produktivbetrieb.
• Die Reaktion auf Vorfälle im Zusammenhang mit dem System.
• Die Einleitung einer Revalidierung, wenn sich das System oder sein Kontext ändert.
• Die Einleitung der Stilllegung, wenn das System seinen Zweck nicht mehr erfüllt.

4.4 Datenverantwortlicher / Datenverwalter

• Verantwortlich für Qualität, Herkunft und Compliance der in KI-Systemen verwendeten Daten.
• Genehmigt Datenzugriffsanträge und stellt sicher, dass die Datennutzung mit Einwilligung und Rechtsgrundlage übereinstimmt.
• Dokumentiert die Datenherkunft und pflegt Datenklassifizierungsunterlagen.
• Überprüft Trainingsdaten auf Verzerrungen, Repräsentativität und Lizenzkonformität.
• Stellt sicher, dass Datenaufbewahrung und -löschung den organisatorischen Richtlinien und Vorschriften entsprechen.

4.5 Recht und Compliance

• Überprüft KI-Anwendungsfälle auf regulatorische Verpflichtungen.
• Berät zu vertraglichen Bedingungen mit KI-Anbietern.
• Überwacht regulatorische Änderungen und kommuniziert deren Auswirkungen an den Ausschuss.
• Beteiligt sich an Konformitätsbewertungen und Grundrechte-Folgenabschätzungen.

4.6 Informationssicherheit

• Führt Sicherheitsüberprüfungen von KI-Systemen und -Infrastruktur durch.
• Verwaltet KI-bezogene Bedrohungserkennung und Vorfallreaktion.
• Überprüft die Sicherheitslage von Anbietern für Drittanbieter-KI.
• Stellt die Sicherheit der KI-Lieferkette sicher (Modelle, Bibliotheken, Abhängigkeiten).

4.7 Alle Mitarbeitenden

• Befolgen diese Richtlinie und zugehörige KI-Verfahren.
• Melden nicht autorisierte KI-Tool-Nutzung (Schatten-KI) an den KI-Governance-Verantwortlichen.
• Absolvieren die erforderliche KI-Awareness-Schulung für ihre Rolle.
• Eskalieren Bedenken bezüglich des KI-Verhaltens über die etablierten Kanäle.

5. RACI-Matrix

Die folgende RACI-Matrix definiert die Verantwortlichkeiten für zentrale KI-Governance-Aktivitäten. R = Responsible (führt aus), A = Accountable (letztverantwortlich), C = Consulted (Mitwirkung erforderlich), I = Informed (wird informiert).

Diese Matrix wird vierteljährlich überprüft und bei organisatorischen Änderungen aktualisiert.

6. Schulungsanforderungen nach Rolle

7. Nachfolge und Stellvertretung

• Jede Governance-Rolle muss einen benannten Stellvertreter haben, der bei Abwesenheit des Hauptverantwortlichen handeln kann.
• Stellvertreter müssen im Governance-Portal mit Gültigkeitsdaten dokumentiert sein.
• Rollenvakanzen von mehr als 30 Tagen erfordern, dass der KI-Governance-Verantwortliche den Exekutiv-Sponsor für Interimsregelungen informiert.
• Bei Übergabe der Hauptverantwortung müssen Übergabenotizen dokumentiert werden.

8. Eskalationswege

• Betriebliche Probleme (Modellleistung, Drift): Modellverantwortlicher → KI-Governance-Verantwortlicher.
• Datenqualitätsbedenken: Jedes Team → Datenverantwortlicher → KI-Governance-Verantwortlicher.
• Risiko- und Compliance-Bedenken: Jeder Mitarbeitende → KI-Governance-Verantwortlicher → Recht/Compliance → KI-Governance-Ausschuss.
• Sicherheitsvorfälle: Jeder Mitarbeitende → Sicherheitsteam → KI-Governance-Verantwortlicher → Exekutiv-Sponsor.
• Schatten-KI-Meldungen: Jeder Mitarbeitende → KI-Governance-Verantwortlicher → Sicherheit (zur Bewertung) → KI-Governance-Ausschuss (bei systemischen Problemen).
• Ethische Bedenken: Jeder Mitarbeitende → KI-Governance-Verantwortlicher → KI-Governance-Ausschuss.
• Richtlinienausnahmen: Antragsteller → KI-Governance-Verantwortlicher → KI-Governance-Ausschuss (bei Hochrisiko).

9. Wirksamkeitsmessung

Der KI-Governance-Ausschuss verfolgt die folgenden Kennzahlen, um zu beurteilen, ob Governance-Rollen und -Prozesse funktionieren:

• Prozentualer Anteil der KI-Systeme mit zugewiesenem Modellverantwortlichem und aktueller Dokumentation.
• Durchschnittliche Dauer von der Anwendungsfall-Aufnahme bis zur Bereitstellungsgenehmigung.
• Anzahl der Governance-Eskalationen und deren Lösungszeit.
• Erkennungsrate und Behebungsrate von Schatten-KI.
• Schulungsabschlussquoten nach Rolle.
• Audit-Feststellungen im Zusammenhang mit Rollenlücken oder Verantwortlichkeitsmängeln.

10. Regulatorische Ausrichtung

• EU AI Act: Artikel 4a (KI-Kompetenz), Artikel 9 (Risikomanagement-Verantwortlichkeiten), Artikel 26 (Betreiberpflichten).
• ISO/IEC 42001: Abschnitt 5.3 (Organisatorische Rollen, Verantwortlichkeiten und Befugnisse).
• NIST AI RMF: GOVERN-Funktion (GV-1: Governance-Strukturen, GV-2: Rollen und Verantwortlichkeiten).

11. Überprüfung

Diese Richtlinie wird vierteljährlich im Einklang mit den Sitzungen des KI-Governance-Ausschusses überprüft, oder früher, wenn dies durch organisatorische Umstrukturierungen, wesentliche Rollenänderungen oder Audit-Feststellungen ausgelöst wird.

Dokumentenlenkung