AI Governance im Engineering: fünf technische Leitplanken

Viele KI-Richtlinien formulieren Anforderungen, ohne deren Umsetzung im Arbeitsalltag zu regeln. Technische Guardrails verbinden diese Vorgaben mit überprüfbaren Entscheidungen und Abläufen.

Leitplanke 1: Datenklassifikation für konkrete Werkzeugentscheidungen

Drei oder vier Datenklassen reichen häufig aus, etwa öffentlich, intern, vertraulich und streng vertraulich. Für jede Klasse wird festgelegt, welche Verarbeitung zulässig ist.

Die Einteilung muss so eindeutig sein, dass Teams damit im Arbeitsalltag über ein Werkzeug oder einen Anwendungsfall entscheiden können.

Leitplanke 2: Freigegebene Werkzeuge technisch absichern

Pauschale Verbote können dazu führen, dass Beschäftigte private Konten oder nicht verwaltete Dienste nutzen. Eine gepflegte Liste freigegebener Werkzeuge schafft eine praktikable Alternative.

Unternehmenszugänge, Single Sign-on und Netzwerkregeln setzen wichtige Grenzen technisch durch. Ein verlässlicher Freigabeprozess sorgt dafür, dass neue Werkzeuge zeitnah und nach einheitlichen Kriterien geprüft werden.

Leitplanke 3: Verantwortung und Nachvollziehbarkeit in der Entwicklung

Bei KI-gestütztem Code muss eindeutig sein, wer die Änderung fachlich und technisch verantwortet. Zuständig bleibt das Teammitglied, das den Code prüft, übernimmt und in die Codebasis einbringt.

Dokumentieren Sie für kritische Bereiche, welche Werkzeuge eingesetzt werden, welche Systemzugriffe sie besitzen und wo ihre Ergebnisse in sicherheitsrelevante Abläufe einfließen.

Dafür ist meist kein neues Prüfsystem nötig. Häufig genügt es, bestehende Entwicklungs- und Architekturunterlagen um wenige Angaben zu ergänzen.

Leitplanke 4: Review-Regeln an Risiko und Umfang ausrichten

Für KI-gestützte und konventionell erstellte Änderungen gelten dieselben Qualitätsanforderungen. Sicherheitskritische Bereiche benötigen eine vertiefte Prüfung.

Kleine, klar abgegrenzte Änderungen lassen sich zuverlässiger bewerten. So kann ein höheres Entwicklungstempo bewältigt werden, ohne die Prüfung zu verkürzen.

Leitplanke 5: Entscheidungen zum Zeitpunkt der Freigabe dokumentieren

Bei Kundenprüfungen, Zertifizierungen oder regulatorischen Anfragen muss nachvollziehbar sein, welches KI-Werkzeug für welchen Zweck freigegeben wurde und wer die Entscheidung getroffen hat.

Werden diese Angaben erst bei einer Anfrage zusammengesucht, entsteht vermeidbarer Aufwand und wichtiger Kontext kann fehlen.

Ein kurzer Eintrag pro Werkzeugfreigabe genügt häufig. Er hält Zweck, zulässige Datenklassen, relevante Anbieterzusagen, verantwortliche Person und Datum an einem festen Ort fest.

Das Protokoll kann an einen bestehenden Entscheidungsprozess anknüpfen und benötigt keine separate Genehmigungskette.

Mit den ersten Leitplanken beginnen

Starten Sie mit einer einfachen Datenklassifikation und einer Liste freigegebener Werkzeuge. Ergänzen Sie anschließend gemeinsame Review-Regeln und dokumentieren Sie neue Freigaben von Beginn an.

Dafür braucht es eine benannte verantwortliche Person, ausreichend Arbeitszeit und die organisatorische Unterstützung, Entscheidungen zeitnah zu treffen.

Fazit

AI Governance wird wirksam, wenn sie konkrete technische Entscheidungen und Arbeitsabläufe prägt. Die fünf Leitplanken schaffen dafür eine praktikable Grundlage.

Zusätzliche Regeln sollten aus tatsächlichen Risiken, regulatorischen Anforderungen oder Erfahrungen im Betrieb abgeleitet werden.