KI-Systemregister für Transparenz über Anwendungen, Risiken und Verantwortlichkeiten
Facility Management: AI » Strategie » KI-Systemregister
Vollständige Bestandsaufnahme
Ein Unternehmen kann KI nur steuern, wenn bekannt ist, wo sie eingesetzt wird. Das KI-Systemregister erfasst deshalb nicht nur offiziell beschaffte Anwendungen. Es berücksichtigt Pilotlösungen, KI-Funktionen in CAFM und ERP, Chatbots, Analyseplattformen, Kamerasysteme, Assistenzfunktionen, KI-Agenten und externe Dienste. Auch Anwendungen von FM-Dienstleistern sind aufzunehmen, wenn sie Daten, Gebäudeprozesse oder Entscheidungen des Auftraggebers beeinflussen.
KI-Systemregister zur strukturierten Governance etablieren
Verwendungszweck im Mittelpunkt
Dasselbe technische Modell kann je nach Einsatz geringe oder erhebliche Risiken erzeugen. Eine Textassistenz für interne Formulierungen ist anders zu bewerten als ein System, das Zutrittsentscheidungen vorbereitet oder Beschäftigtenleistungen bewertet. Das Register beschreibt daher den konkreten Verwendungszweck, betroffene Prozesse, Nutzergruppen, ausgeschlossene Anwendungen und mögliche Fehlanwendungen. Diese Angaben bilden die Grundlage für Risikoeinstufung, Datenschutzprüfung, Mitbestimmung und menschliche Aufsicht.
|
| Systemidentifikation | Produkt, Anbieter, Version und Hosting |
| Verwendungszweck | Aufgabe, Ziel und ausdrücklich ausgeschlossene Nutzung |
| Prozessbezug | Service Desk, Instandhaltung, Energie, Sicherheit oder Verwaltung |
| Betroffene Personen | Beschäftigte, Nutzer, Besucher, Dienstleister oder Öffentlichkeit |
| Daten | Quellen, Kategorien, Speicherorte und Datenflüsse |
| KI-VO-Rolle | Anbieter, Betreiber, Einführer, Händler oder sonstige Rolle |
| Risikostatus | Verboten, hochriskant, transparenzpflichtig oder sonstig |
| Verantwortlichkeit | Fachlicher Owner und technischer Owner |
| Kontrollstatus | Pilot, freigegeben, eingeschränkt, ausgesetzt oder beendet |
| Review | Letzte Prüfung, nächste Prüfung und Änderungsanlass |
Technische Lieferkette
Zu dokumentieren sind Anbieter, Produkt, Modell, Version, Hosting, Schnittstellen, Datenquellen und angebundene Systeme. Bei generativer KI ist zusätzlich festzuhalten, ob ein öffentliches Modell, eine unternehmenseigene Instanz oder eine eingebettete Funktion genutzt wird. Das Register muss erkennen lassen, ob Eingaben zum Training verwendet werden, in welchen Staaten Daten verarbeitet werden und welche Unterauftragnehmer oder Basismodelle beteiligt sind.
Shadow-AI sichtbar machen
Verbote allein verhindern keine unkontrollierte KI-Nutzung. Beschäftigte greifen häufig auf leicht verfügbare Anwendungen zurück, wenn freigegebene Werkzeuge fehlen oder zu kompliziert sind. Ein praktikabler Meldeweg, regelmäßige Befragungen, technische Erkennung und verständliche Regeln helfen, Shadow-AI aufzudecken. Ziel ist nicht die Sanktionierung jeder Abweichung, sondern die Überführung sinnvoller Anwendungen in einen kontrollierten Prozess und die Beendigung nicht vertretbarer Nutzungen.
Register als Lebenszyklusakte
Das Systemregister ist kein einmalig erstelltes Verzeichnis. Verantwortliche, Versionen, Datenquellen, Freigabestatus und Risikobewertungen müssen fortlaufend aktualisiert werden. NIST empfiehlt, auch eingesetzte Drittanbieter- und Basismodelle in die organisatorische KI-Governance einzubeziehen und mit Überwachung, Änderungsmanagement und Stilllegung zu verbinden.
