Überprüfbare KI-Governance.
Der Leitfaden.
Fast alle Organisationen verfügen bereits über eine KI-Richtlinie. Nur sehr wenige können jedoch nachweisen, dass diese in einem konkreten System, zu einem bestimmten Zeitpunkt und unter der Leitung einer bestimmten Person umgesetzt wurde. Dieser Leitfaden erklärt, wie diese Lücke geschlossen werden kann.
Überprüfbare KI-Governance:Von der „
“ – also der Frage, was passieren sollte – hin zum Nachweis, was tatsächlich passiert ist.
„Alle Modelle mit hohem Risiko werden vor ihrer Einführung einer Bewertung unterzogen.“
„Das Modell v3.2 hat am 14. März die E-114-Prüfung bestanden. Die Risikobeauftragte hat es genehmigt. Fingerabdruck 7f2a…: Jeder kann überprüfen, dass sich nichts geändert hat.“
Bis vor kurzem reichte eine gut formulierte Richtlinie noch aus. Nun kommen vier Änderungen gleichzeitig, die sie überholt erscheinen lassen.
Handelnde Akteure
Die KI eröffnet Tickets, führt Code aus und überträgt Daten. Eine Aktion, bei der nicht nachweisbar ist, wer sie genehmigt hat, stellt ein betriebliches und rechtliches Risiko dar.
Sich wandelnde Modelle
Was im Januar bewertet wurde, entspricht möglicherweise nicht mehr dem, was im Juni gilt. Ohne versionsspezifische Belege verliert die Bewertung innerhalb weniger Wochen ihre Gültigkeit.
Vorschriften, die einen Nachweis verlangen
Der EU-KI-Gesetz und die Norm ISO/IEC 42001 werden anhand von Fakten geprüft: Aufzeichnungen, Versionen, menschliche Überwachung. Nicht anhand von Absichten.
Kunden, die fragen
Großkunden und der öffentliche Sektor möchten wissen, wie die von ihnen beauftragten Leistungen verwaltet werden. Eine überprüfbare Antwort beendet das Gespräch.
Nicht alle Beweise belegen dasselbe.
Jede Ebene beantwortet eine Frage.
Die Verwechslung der Ebenen ist der häufigste Fehler bei der Konzeption eines überprüfbaren Governance-Programms. Jede Ebene bietet eine zusätzliche Sicherheit und hat klare Grenzen.
Integrität
Kryptografischer Fingerabdruck des Vermögenswerts. Was heute geprüft wird, ist genau das, was zum Zeitpunkt der Registrierung vorhanden war.
Es wird nicht gesagt, wer es getan hat und ob es richtig war.
Identität und Autorität
Wer hat die Beweise erfasst, in welcher Funktion und gemäß welchen Richtlinien?
Es heißt nicht, dass diese Person den Inhalt im Detail geprüft hätte.
Menschliche Überwachung
Was wurde geprüft, was hat sich geändert, was wurde genehmigt oder abgelehnt? Was Artikel 14 des EU-KI-Gesetzes vorschreibt.
Sie ersetzt nicht die Qualität der Überprüfung, sondern macht sie nachweisbar.
Wetter
Als es noch Belege gab. Damit lässt sich nachweisen, dass einer Einsatzvorbereitung eine Bewertung vorausging.
Das V-Seal™-Registrierungssiegel ist kein eIDAS-konformes Zeitstempel.
Fünf Stücke, die sich in unterschiedlichem Tempo verändern.
Ein und dieselbe Beweisaufnahme.
Die KI einer Organisation ist kein Objekt. Im Rahmen einer überprüfbaren Governance wird jedes Element einzeln behandelt und im V-Seal™-Register miteinander verknüpft.
Systeme und Modelle
- Bestandsaufnahme und Zweck
- Risikostufe
- Versionen und Bewertungen
- Genehmigungen
Beamte
- Identität und Autorität
- Grenzen und Hilfsmittel
- Wichtige Maßnahmen
- Menschliche Eingriffe
Code
- Änderungen und Überarbeitung
- Verhältnis KI · Mensch
- Einsätze
- Nebengebäude
Daten und Unterlagen
- Rechtsgrundlage und Aufbewahrung
- Technische Dokumentation
- Richtlinien in kontrollierten Versionen
Menschliche Entscheidungen
- Zustimmungen und Ablehnungen
- Ausnahmen mit Frist
- Störungen und Schließung
So funktioniert V-Seal™: Der Umriss wird erfasst, der Inhalt bleibt innerhalb dieses Umrisses.
Fußabdruck
SHA-256 des Assets oder des Manifests. Die Datei wird weder an V-PROOF gesendet noch dort gespeichert.
Kontext
System, Version, Richtlinie, Verantwortlicher, KI-Verhältnis · Mensch und Überwachung, in Verbindung mit dem Fußabdruck.
Stempel
Eintrag mit eindeutiger Referenznummer und Datum. Jede spätere Änderung bricht die Zuordnung.
Überprüfung
Ein Dritter überprüft auf dem öffentlichen Portal ohne Konto: „Stimmt überein“ oder „Nicht gefunden“.
Nachprüfbare Unternehmensführung und Compliance:
– Jeder Rahmen stellt bestimmte Anforderungen, doch die Nachweise sind dieselben.
Es ist nicht nur ein weiterer Rahmen. Es ist die Art und Weise, die Dinge zu präsentieren, die man bereits besitzt oder noch besitzen wird.
Man muss nicht schon am ersten Tag alles regeln.
Zunächst muss man sich erst einmal beweisen.
Programme scheitern an ihrem Ehrgeiz: Sie wollen den gesamten Bereich der KI abdecken, bevor sie auch nur einen einzigen nachprüfbaren Beweis vorweisen können. Der umgekehrte Weg funktioniert.
Bestandsliste
Welche KI-Systeme gibt es, wer ist für die einzelnen Systeme verantwortlich und wie hoch ist ihr Risikograd?
Diagnose
Welche Verpflichtungen gelten bereits, welche Nachweise liegen vor und welche sind lediglich deklaratorischer Natur? Eine Woche.
Ein System
Das mit dem höchsten Risiko oder das, nach dem die Kunden am häufigsten fragen. Es wird von Anfang bis Ende gesteuert.
Erste Hinweise
Prüfung, Freigabe, Versionierung und Überwachung – versiegelt und nachprüfbar. Dann von vorne.
Was oft gefragt wird, bevor es losgeht.
Worin unterscheidet es sich von einem GRC-Tool oder einem SIEM?
Ein GRC-System organisiert Richtlinien, Risiken und Kontrollen; ein SIEM-System erfasst Sicherheitsereignisse. Keines der beiden liefert Nachweise, die ein Dritter überprüfen kann, ohne sich auf das jeweilige Tool selbst verlassen zu müssen. Eine überprüfbare Governance stützt sich auf beide und fügt diese Ebene hinzu: Fingerabdruck, Kontext und unabhängiges Protokoll.
Ersetzt es die Prüfung oder die Zertifizierung?
Nein. Es ändert sich der Zeitaufwand und die Zuverlässigkeit: Anstatt Belege anhand von E-Mails und Screenshots zu rekonstruieren, überprüft der Prüfer Aufzeichnungen mit Zeitstempel, Datum und verantwortlicher Person.
Was verlässt den Perimeter meiner Organisation?
Der Fingerabdruck und der Governance-Kontext, die Sie erfassen möchten. Der Inhalt des Assets – sei es ein Dokument, eine Vorlage, Daten oder Code – wird nicht an V-PROOF gesendet oder dort gespeichert. Sie können ihn Schritt für Schritt in „Confianza“ einsehen.
Was passiert, wenn sich das Dokument oder das Formular nach dem Abstempeln ändert?
Jede Änderung hinterlässt einen anderen Fingerabdruck, und die geänderte Kopie liefert die Meldung „Nicht gefunden“. Die Originalversion bleibt weiterhin überprüfbar; eine neue, legitime Version wird als solche gekennzeichnet, und die Kette zwischen beiden bleibt erhalten.
Ist das dasselbe wie eine elektronische Signatur?
Nein. Die qualifizierte elektronische Signatur bestätigt die Identität des Unterzeichners gemäß eIDAS. Das V-Seal™-Siegel bestätigt die Integrität eines Nachweises, dessen Governance-Kontext und den Zeitpunkt, zu dem er im Register vorlag. Beide ergänzen sich.
Ist das für die KI geeignet, die wir von Dritten beziehen?
Ja, und das ist der häufigste Fall. Dabei wird die Nutzung des Systems durch die Organisation geregelt: Zweck, Bewertung, Genehmigung, Konfiguration, Überwachung und Vorfälle.