Eine Richtlinie ist keine Kontrolle
Eine KI-Richtlinie beschreibt, was erlaubt ist. Technische Kontrollen sorgen dafür, dass ein Agent diese Grenzen einhält. Soll er beispielsweise keine Kundenantwort ohne Prüfung versenden, müssen Systemrechte und Workflow den Versand ohne Freigabe verhindern. Eine Anweisung im Prompt allein genügt dafür nicht.
Was ein Kontrollrahmen enthält
Der Kontrollrahmen umfasst fünf Bereiche. Berechtigungen legen fest, welche Systeme und Felder der Agent lesen oder ändern darf. Schwellenwerte bestimmen, wann eine Zuordnung zu unsicher ist oder eine Geschäftsgrenze überschritten wird. Prüfpunkte weisen Ergebnisse einer verantwortlichen Person zur Freigabe zu. Protokolle dokumentieren Eingaben, Quellen, Ergebnisse und Entscheidungen. Eskalationsregeln legen fest, was bei Unsicherheit, fehlenden Daten oder manipulierten Eingaben passiert. Für die Aufbewahrung gelten die festgelegten Fristen und Datenschutzanforderungen.
Unterlagen für EU AI Act und DSGVO vorbereiten
Welche Pflichten nach dem EU AI Act gelten, hängt vom Verwendungszweck und der Rolle Ihres Unternehmens ab. Maßgeblich für Hochrisiko-Systeme sind insbesondere Art. 6 und die Anhänge I und III der KI-Verordnung; Transparenzpflichten regelt Art. 50. Die Einstufung nimmt Ihre Compliance oder Rechtsberatung vor. Der Kontrollrahmen liefert dafür Informationen zu Aufgaben, Datenflüssen, Berechtigungen und menschlicher Aufsicht. Für personenbezogene Daten müssen außerdem Zweck, Rechtsgrundlage, Datenkategorien und Löschfristen nach der DSGVO dokumentiert sein. Diese Unterlagen entstehen während der Umsetzung.
Der Schattenbetrieb liefert Nachweise für die Freigabe
Im Schattenbetrieb bearbeitet der Agent echte Fälle parallel zum Team, ohne selbst Entscheidungen wirksam zu machen. Sie vergleichen seine Vorschläge mit den menschlichen Ergebnissen und prüfen die vereinbarten Kriterien je Fallkategorie. Dokumentieren Sie diesen Vergleich als Grundlage für die Freigabe und spätere Prüfungen.
Kontrollen früh abstimmen
Wenn IT-Sicherheit, Datenschutz und gegebenenfalls Betriebsrat die vorgesehenen Zugriffe und Freigaben früh kennen, können sie konkrete Anforderungen prüfen. Ein dokumentierter Kontrollrahmen macht offene Punkte sichtbar und verhindert, dass Grundsatzfragen erst kurz vor dem Betriebsstart geklärt werden.