Datenweg und Verantwortung klären
Der Arbeitsauftrag lautet, zulässige KI-Nutzung praktisch und verständlich zu regeln. Dafür werden Zweck, Owner und zulässiger Betriebsrahmen vor dem ersten Test festgelegt.
Für die fachliche Prüfung werden folgende Punkte dokumentiert: Geltungsbereich, Datenklassen, Konten, Freigaben, Vorfälle und Schulung. Annahmen und fehlende Informationen bleiben im Ergebnis sichtbar.
Kontrollen im Ablauf verankern
- Geltungsbereich, erlaubte Konten und betriebliche Datenklassen mit den Verantwortlichen festlegen.
- Freigaben und den Meldeweg bei Vorfällen anhand konkreter Arbeitsbeispiele beschreiben.
- Die Richtlinie mit Mitarbeitenden auf Verständlichkeit und ungeklärte Fälle prüfen.
- Schulung, Ansprechpartner und einen Termin zur Überprüfung der Regeln festhalten.
Freigabe anhand von Evidenz prüfen
Mitarbeitende können anhand repräsentativer Aufgaben erklären, welches Konto und welche Daten zulässig sind, wann eine Freigabe nötig ist und wohin sie einen Vorfall melden. Offene Auslegungsfragen sind dokumentiert.
Zu vermeiden: eine Vorlage ohne betriebliche Anpassung zu veröffentlichen. Eine unverändert veröffentlichte Vorlage bietet keine ausreichende Orientierung, wenn sie weder reale Datenklassen noch betriebliche Ansprechpartner und Freigabewege abbildet.
Entscheidungsmatrix
| Prüfpunkt | Weiter, wenn | Stoppen, wenn |
|---|---|---|
| Daten und Verantwortung | Dokumentiert: Geltungsbereich, Datenklassen, Konten, Freigaben, Vorfälle und Schulung. | Scope, Daten oder Verantwortung sind noch ungeklärt. |
| Kontrollnachweis | Mitarbeitende können anhand repräsentativer Aufgaben erklären, welches Konto und welche Daten zulässig sind, wann eine Freigabe nötig ist und wohin sie einen Vorfall melden. Offene Auslegungsfragen sind dokumentiert. | Es liegt nur eine unbewertete Demo ohne Abnahmenachweis vor. |
| Freigabegrenze | Owner, Freigabe, Ersatzweg und nächster Prüftermin sind festgelegt. | Zu vermeiden: eine Vorlage ohne betriebliche Anpassung zu veröffentlichen. Eine unverändert veröffentlichte Vorlage bietet keine ausreichende Orientierung, wenn sie weder reale Datenklassen noch betriebliche Ansprechpartner und Freigabewege abbildet. |
Nachvollziehbar bleiben
Primärquellen
- NIST: AI Risk Management Framework coreQuellenstand:
- EUR-Lex: Regulation (EU) 2016/679Quellenstand:
