KI Compliance Beratung für den stabilen Betrieb

Ein KI-Prototyp kann innerhalb weniger Wochen entstehen. Die belastbare Überführung in den Fachbetrieb dauert meist deutlich länger. Denn mit der produktiven Nutzung entstehen Fragen, die sich nicht durch ein Modellhandbuch oder eine Datenschutzfreigabe allein beantworten lassen: Wer verantwortet die fachliche Entscheidung? Welche Daten fließen ein? Wie werden Änderungen kontrolliert? Und welche Nachweise müssen im Audit verfügbar sein? KI Compliance Beratung ordnet diese Fragen in eine umsetzbare Betriebsstruktur ein.

Besonders anspruchsvoll wird das bei KI-Systemen, die in bestehende SAP-Prozesse, Datenplattformen oder Fachanwendungen eingebunden sind. Dort beeinflussen Datenqualität, Berechtigungen, Schnittstellen und Release-Zyklen nicht nur die technische Leistung, sondern auch die Nachvollziehbarkeit von Entscheidungen. Compliance ist in diesem Kontext keine nachgelagerte Prüfung. Sie muss Teil von Architektur, Projektsteuerung und Betrieb sein.

Warum KI-Compliance im Betrieb entschieden wird

Viele Organisationen beginnen mit einer einzelnen Anwendung: etwa der automatisierten Dokumentenklassifikation, einer Prognose im Vertrieb oder einem Assistenten für den Service. Das ist ein sinnvoller Einstieg, solange Zweck, Datenquellen und Entscheidungsgrenzen klar bleiben. Mit der Skalierung verändern sich jedoch die Anforderungen. Ein Modell wird angepasst, zusätzliche Datenquellen werden angebunden, Ergebnisse fließen in Folgeprozesse ein oder weitere Fachbereiche greifen auf dieselbe Plattform zu.

Spätestens dann reicht es nicht mehr, Risiken nur vor dem Go-live zu bewerten. Erforderlich ist ein geregelter Lebenszyklus von der Idee über Entwicklung, Test und Freigabe bis zur Überwachung im Produktivbetrieb. Dazu gehören nachvollziehbare Rollen, dokumentierte Entscheidungen und ein Verfahren, das auf Abweichungen reagieren kann.

Der EU AI Act bildet dabei einen wesentlichen regulatorischen Rahmen, aber nicht den einzigen. Datenschutzrechtliche Anforderungen, Informationssicherheit, vertragliche Vorgaben und interne Kontrollsysteme greifen je nach Einsatzfall ineinander. Ob ein Unternehmen als Anbieter, Betreiber oder in einer anderen Rolle betroffen ist, hängt von der konkreten Wertschöpfung, dem Systemeinsatz und den Beteiligten ab. Pauschale Einstufungen sind deshalb wenig belastbar.

KI Compliance Beratung beginnt mit dem tatsächlichen Einsatzfall

Der sinnvollste erste Schritt ist keine Sammlung abstrakter Richtlinien, sondern eine strukturierte Bestandsaufnahme. Im Mittelpunkt steht nicht nur das Modell, sondern das gesamte System: fachlicher Zweck, Nutzerkreis, Eingabedaten, Ausgaben, Schnittstellen, menschliche Kontrolle und Auswirkungen auf betroffene Personen oder Geschäftsprozesse.

Ein Dokumentenassistent, der Informationen für Sachbearbeiter vorbereitet, stellt andere Anforderungen als ein System, dessen Bewertung unmittelbar eine Reihenfolge, Freigabe oder Eskalation auslöst. Entscheidend ist auch, ob Mitarbeitende Ergebnisse eigenständig prüfen können, wie fehlerhafte Ausgaben erkannt werden und ob der Prozess bei einem Ausfall kontrolliert fortgeführt werden kann.

Inventar, Risikobild und Verantwortlichkeit zusammenführen

In vielen Unternehmen liegen die nötigen Informationen verteilt: Der Fachbereich kennt den Nutzen, IT den technischen Betrieb, Data Teams die Datenflüsse, Informationssicherheit die Schutzbedarfe und Compliance die Kontrollanforderungen. Eine wirksame Analyse führt diese Perspektiven zusammen. Sie dokumentiert nicht nur vorhandene Anwendungen, sondern auch geplante Vorhaben, externe KI-Dienste und bereits integrierte Funktionen in Standardsoftware.

Aus diesem Inventar lässt sich ein belastbares Risikobild entwickeln. Relevant sind unter anderem die Kritikalität des Prozesses, die Qualität und Herkunft der Daten, mögliche Diskriminierungs- oder Fehlerrisiken, der Grad der Automatisierung und die Fähigkeit zur menschlichen Übersteuerung. Das Ergebnis sollte priorisieren: Welche Systeme benötigen kurzfristig verbindliche Maßnahmen, welche lassen sich mit Standards absichern und bei welchen Vorhaben fehlt zunächst eine ausreichende Entscheidungsgrundlage?

Governance muss an Projekt- und Betriebsprozesse anschließen

Governance scheitert häufig nicht an fehlenden Grundsätzen, sondern an unklarer Anwendung. Eine Richtlinie hilft wenig, wenn Projektteams nicht wissen, wann sie eine Prüfung auslösen müssen oder wer eine produktive Änderung freigibt. Wirksam wird Governance erst dann, wenn sie in bestehende Abläufe integriert wird.

Für KI-Vorhaben bedeutet das, klare Entscheidungspunkte festzulegen. Bereits in der Initiierung sollten Zweck, erwarteter Nutzen und Datenbedarf erfasst werden. Vor Entwicklung oder Beschaffung braucht es eine Einordnung des Einsatzfalls. In Test und Abnahme müssen fachliche Qualität, Sicherheitsanforderungen, Datenverarbeitung und Kontrollmechanismen nachweisbar geprüft werden. Vor dem Go-live ist zu klären, ob Betriebsverantwortung, Monitoring und Eskalationswege tatsächlich eingerichtet sind.

Dabei ist eine angemessene Tiefe entscheidend. Für ein begrenztes internes Assistenzsystem wäre ein umfangreiches Freigabeverfahren möglicherweise unverhältnismäßig. Für KI in regulierten, sicherheitsrelevanten oder geschäftskritischen Prozessen kann derselbe Minimalansatz dagegen unzureichend sein. Governance sollte deshalb risikoorientiert aufgebaut sein und dennoch eine einheitliche Dokumentationslogik schaffen.

Rollenmodelle verhindern Verantwortungsverschiebung

Eine häufige Schwachstelle ist die diffuse Zuständigkeit zwischen Fachbereich, IT und externem Anbieter. Der Fachbereich verantwortet den Nutzen nicht automatisch auch für Modellgrenzen oder Datenqualität. IT kann den Betrieb absichern, ohne fachliche Angemessenheit bewerten zu können. Externe Anbieter liefern Komponenten, übernehmen jedoch nicht zwangsläufig die Verantwortung für den konkreten Einsatz im Unternehmen.

Ein praxistaugliches Rollenmodell trennt daher Produktverantwortung, technische Betriebsverantwortung, Datenverantwortung, Informationssicherheit und Kontrollfunktionen. Wichtig ist weniger die Bezeichnung der Rolle als die verbindliche Zuordnung von Aufgaben: Wer genehmigt den Einsatz? Wer kontrolliert Datenänderungen? Wer bewertet auffällige Ergebnisse? Wer entscheidet über Abschaltung oder Rückfallprozesse? Diese Fragen müssen auch bei Urlaub, Personalwechsel und Incident-Situationen beantwortet sein.

Datenflüsse, Schnittstellen und Änderungen kontrollierbar machen

KI-Governance wird besonders konkret an den Datenflüssen. Bei einer Integration in SAP oder eine Datenplattform ist zu dokumentieren, aus welchen Quellsystemen Daten stammen, welche Transformationen stattfinden, welche Berechtigungen gelten und wohin Ergebnisse zurückgeschrieben werden. Ohne diese Transparenz bleiben Aussagen über Zweckbindung, Datenqualität oder Fehlerursachen unvollständig.

Auch Änderungen benötigen eine kontrollierte Behandlung. Ein neues Modell, ein angepasster Prompt, eine geänderte Datenquelle oder ein Update eines externen Dienstes kann das Risikoprofil verändern. Das gilt ebenso für scheinbar kleine Anpassungen an Rollen, Schnittstellen oder Bewertungslogiken. Ein geregeltes Change-Verfahren verbindet technische Tests mit fachlicher Abnahme und aktualisiert die erforderlichen Nachweise.

Für produktive Systeme sollte Monitoring mehr leisten als die Beobachtung von Verfügbarkeit und Antwortzeiten. Je nach Anwendung sind Qualitätskennzahlen, Auffälligkeiten in Eingaben und Ausgaben, Nutzungsgrenzen sowie Sicherheitsereignisse relevant. Die Kennzahlen müssen zum Einsatzfall passen. Eine hohe technische Verfügbarkeit ist kein ausreichender Beleg dafür, dass Ergebnisse fachlich vertretbar bleiben.

Revisionssicheres Reporting entsteht nicht erst im Audit

Auditfähigkeit ist das Ergebnis kontinuierlicher Projektarbeit. Wenn Entscheidungen, Tests und Freigaben erst vor einer Prüfung rekonstruiert werden, fehlen häufig Versionen, Zuständigkeiten oder nachvollziehbare Begründungen. Ein schlankes, aber verbindliches Reporting schafft hier Sicherheit.

Dazu zählen eine aktuelle Systemübersicht, die Einordnung des Einsatzfalls, Rollen und Freigaben, Datenflussdokumentationen, Testnachweise, bekannte Einschränkungen sowie Protokolle zu wesentlichen Änderungen und Vorfällen. Der Umfang richtet sich nach Risiko und Regelungsbedarf. Entscheidend ist, dass die Unterlagen fachlich konsistent sind und mit dem tatsächlichen Betrieb übereinstimmen.

Wo rechtliche Fragen zur Auslegung des EU AI Act, zu Datenschutz, NIS2 oder IT-Recht betroffen sind, braucht es eine klare Abgrenzung. Die technische Umsetzung von Governance, Datenflüssen und Kontrollen kann eng mit rechtlicher Einordnung verzahnt werden. Die rechtliche Beratung erfolgt dabei durch die rechtlich eigenständige Quteco Rechtsanwaltsgesellschaft mbH.

KI-Governance in laufenden Projekten verankern

Quteco kann mit einem KI-Governance-Quick-Check oder einem fokussierten Workshop den aktuellen Einsatzbestand, kritische Datenflüsse und offene Verantwortlichkeiten strukturieren. Darauf aufbauend lassen sich Governance-Vorgaben in laufende SAP-, Daten- und KI-Projekte überführen - von Rollenmodellen und Testnachweisen bis zu Betriebs- und Reportingprozessen. Ein belastbarer Betrieb entsteht, wenn Anforderungen dort entschieden und dokumentiert werden, wo Systeme tatsächlich verändert und genutzt werden.