Vom KI-Blindflug zur nachvollziehbaren Verantwortung

Show-Notes & Transkript

[00:00:00] Speaker A: Die meisten Unternehmen setzen heute ja bereits künstliche Intelligenz ein. Also das ist wirklich keine Zukunftsmusik mehr. Das ist einfach der völlig normale Arbeitsalltag.

[00:00:09] Speaker B: Absolut.

[00:00:10] Speaker A: Aber für Sie, liebe Zuhörerinnen und Zuhörer in den Geschäftsführungen, Vorständen oder Compliance Abteilungen haben wir gleich zu Beginn eine ziemlich harte Realität.

Fast kein einziges dieser Unternehmen könnte heute in einer Prüfung lückenlos belegen, wo genau diese KI eigentlich eingesetzt wird.

[00:00:28] Speaker B: Richtig.

[00:00:28] Speaker A: Oder wer dafür verantwortlich ist und was ja noch wichtiger ist, welche Risiken konkret bewertet wurden. Wir haben uns für unsere heutige Analyse, also für diesen strategischen Deep Dive, durch einen riesigen Stapel an Quellen gewö aktuelle Whitepaper Auszüge aus dem EU Act und detaillierte Fallstudien zur sogenannten KI Governance.

[00:00:49] Speaker B: Und das war eine Menge Material.

[00:00:51] Speaker A: Oh ja. Und unsere Mission Wir wollen heute herausfinden, wie Organisationen ihre KI-Nutzung tatsächlich nachweisbar steuern. Können. Also anstatt nur so zu tun, als ob. Denn wenn wir mal ehrlich sind, wir kennen doch alle diese typische Situation auf

[00:01:09] Speaker B: der C Level Ebene, die berühmte Managementillusion.

[00:01:12] Speaker A: Genau. Die Geschäftsführung sitzt im Meeting und ist fest davon ü Wir haben doch dieses eine freigegebene, teure Enterprise KI Tool und nur das wird genutzt.

[00:01:22] Speaker B: Ja, schön wär's eben.

[00:01:23] Speaker A: In der absoluten Realität der Fachabteilungen sieht das nämlich ganz anders aus. Dann nutzen die Mitarbeitenden längst Schatten KI für das schnelle Umschreiben von Texten, komplexe Datenanalysen oder sogar für die direkte Kundenkommunikation.

[00:01:38] Speaker B: Und das völlig unbemerkt.

[00:01:40] Speaker A: Richtig. Die Leitfrage unserer heutigen Analyse lautet also ganz Wer steuert hier eigentlich? Wen steuert das Unternehmen, die KI oder steuert die unregulierte KI Nutzung inzwischen das Unternehmen?

[00:01:56] Speaker B: Ja, das ist exakt der Wundepunkt. Und wenn wir uns diese Materialien so ansehen, kristallisiert sich eines wirklich ganz klar heraus.

Es geht hierbei nicht primär um ein Technologieproblem, sondern es geht um ein massives strategisches Führungsproblem.

Wir sehen ja den flächendeckenden Einzug von KI in absolut alle Geschäftsbereiche. Das passiert im HR, bei der Bewerberauswahl, im Marketing, bei irgendwelchen Kampagnen, im Kundenservice, in der Softwareentwicklung, also wirklich überall, überall.

Das technologische Verständnis bei den Mitarbeitern, das ist oft sogar da, aber diese organisatorische Übersicht von oben, die fehlt in der Regel komplett. Es herrscht da wirklich so eine Art Managementillusion.

[00:02:38] Speaker A: Lass uns da mal direkt einhaken. Du beobachtest das ja ständig in der Praxis. Warum herrscht denn diese Illusion? Warum glauben so viele Führungskräfte, sie hätten das im Griff, obwohl sie eigentlich im totalen Blindflug unterwegs sind?

[00:02:51] Speaker B: Naja, weil die Implementierung von KI in den meisten Organisationen extrem organisch, ja fast

[00:02:58] Speaker A: schon schleichend ablief von unten nach oben quasi.

[00:03:00] Speaker B: Genau ein Werkzeug. Hier ein kleines Pilotprojekt, dort eine Abteilung, die sich einfach über die Firmenkreditkarte schnell einen Account klickt. Es gab halt selten diesen einen formalen Moment, in dem das Management gesagt Stopp. Wer ist hier eigentlich geschult und wo

[00:03:15] Speaker A: konzentriert sich das rechtliche Risiko exakt?

[00:03:18] Speaker B: Das Problem ist also nicht zwangsläufig, dass die Organisationen keine KI Kompetenz hätten. Das Problem ist, sie können diese Kompetenz nicht belastbar belegen, wenn es hart auf hart kommt.

[00:03:28] Speaker A: Stellen Sie sich das mal plastisch vor, liebe Zuhörer. Morgen früh um 8 Uhr steht plötzlich ein Auditor vor Ihrer Tür oder ein wichtiger Großkunde schickt ihnen so einen 50-seitigen Compliance Fragebogen zur KI Nutzung, bevor er den nächsten Millionenvertrag unterschreibt.

[00:03:44] Speaker B: Ein absoluter Albtraum für viele.

[00:03:46] Speaker A: Ja, Und haben Sie in diesem Moment die harten Fakten auf den Tisch, um Ihre KI Reife zu belegen? Wenn ich jetzt mal in die Rolle der Geschäftsführung schlüpfe und dich Welche KI Anwendungen laufen denn aktuell bei uns?

[00:04:00] Speaker B: Keine Ahnung.

[00:04:01] Speaker A: Welche sensiblen Kundendaten fließen da gerade ab?

Sind die Leute, die diese Tools bedienen, überhaupt qualifiziert? Was bekomme ich dann in der Praxis als Antwort?

[00:04:11] Speaker B: In den allermeisten Fällen bekommst du betretenes Schweigen oder halt wilde Ausflüchte. Wenn du diese Fragen heute in einem typischen mittelständischen Unternehmen stellst oder auch in vielen Konzernen, dann findest du die Antworten meistens verstreut in irgendwelchen E Mails oder in Excel Listen. Ja, genau, in Excel Listen, die irgendwo auf einem Sharepoint verwesen oder in Einzelgesprächen, die nie protokolliert wurden. Solange das der Fall ist, existiert schlichtweg keine belastbare Governance.

[00:04:38] Speaker A: Das leuchtet ein.

[00:04:40] Speaker B: Eine Antwort, die man erst mühsam aus alten Postfächern rekonstruieren muss, ist im Ernstfall eben keine Antwort. Das ist reines Compliance Theater.

[00:04:49] Speaker A: Aber Moment, da würde ich als typischer Geschäftsführer eines Mittelständlers jetzt sofort dazwischen grätschen Ich baue doch gar keine eigenen KI Modelle. Ich bin ja kein Tech Gigant aus dem Silicon Valley.

[00:05:00] Speaker B: Das höre ich oft.

[00:05:01] Speaker A: Ja, wir sind reine Nutzer. Wir kaufen Lizenzen für unsere Textverarbeitung oder unser CRM. Betrifft uns dieser ganze regulatorische Wahnsinn, den wir hier in den Dokumenten sehen, rechtlich überhaupt in diesem Ausmaß?

[00:05:16] Speaker B: Also das ist ein extrem weit verbreiteter, aber leider bringt gefährlicher Irrtum der EU AI Act, also die Europäische KI Verordnung, die ist da unmissverständlich.

[00:05:26] Speaker A: Inwiefern?

[00:05:27] Speaker B: Das Gesetz unterscheidet ganz klar zwischen dem Anbieter, also dem Provider, der ein System entwickelt, und dem Betreiber, dem sogenannten Deployer. Wenn Sie als Unternehmen eine KI für berufliche Zwecke einsetzen, sind Sie Betreiber und

[00:05:42] Speaker A: damit in der Haftung.

[00:05:43] Speaker B: Absolut. Und auch wenn die Pflichten für Betreiber natürlich etwas schlanker sind als für die Entwickler der Modelle, sind sie trotzdem strikt Du musst als Unternehmen die menschliche Aufsicht sicherstellen, du musst Protokolle aufbewahren. Und das ist der wirklich kritische Punkt, der oft übersehen Du hast eine gesetzliche Pflicht zur KI Kompetenz. Das ist der Artikel 4 der Verordnung.

[00:06:05] Speaker A: Und das ist ja nicht nur graue Theorie für irgendwann 2030 dieser Artikel 4 der gilt doch bereits, oder?

[00:06:12] Speaker B: Exakt. Artikel 4 gilt bereits seit dem 2. Februar 2025 unabhängig davon, in welcher Risikoklasse du KI nutzt. Du musst nachweisen können, dass das Personal, das diese Systeme bedient, über ein ausreichendes Maß an KI Kompetenz verfügt.

[00:06:28] Speaker A: Okay, wow. Die Schonzeit ist also abgelaufen.

[00:06:32] Speaker B: Definitiv abgelaufen.

[00:06:33] Speaker A: Und wie reagieren die Unternehmen in der Praxis darauf? Also aus unseren Fallstudien lese ich da oft, dass sie versuchen, dieses hochdynamische Problem mit den Werkzeugen von gestern zu lösen.

[00:06:44] Speaker B: Oh ja.

[00:06:45] Speaker A: Da wird dann eine KI-Richtlinie als 20-seitiges PDF im Intranet. Hochgeladen. Die Mitarbeitenden müssen einmalig so eine minütige Online Schulung durchklicken, am besten noch ohne Ton. Richtig ohne Ton, während sie nebenbei E Mails beantworten. Und die IT führt dann eine Excel Liste mit zugelassenen Tools. Warum genau scheitert dieser klassische Ansatz kläglich?

[00:07:10] Speaker B: Weil eine Organisation lebt, während ein PDF oder eine Excel Tabelle tot ist.

Lass uns das mal kurz durchspielen. Eine Excel Liste beweist im besten Fall, dass es in der Vergangenheit mal eine Aktivität gab, jemand hat da mal etwas

[00:07:22] Speaker A: eingetragen, ein grünes Häkchen gesetzt.

[00:07:25] Speaker B: Genau. Sie beweist aber nicht, dass in der Gegenwart ein Risiko aktiv gesteuert wird. Ein Schulungs PDF von vor zwei Jahren erkennt ja nicht, dass das Zertifikat des Mitarbeiters heute abläuft.

[00:07:39] Speaker A: Oder noch schlimmer, es erkennt organisatorische Veränderungen nicht.

[00:07:42] Speaker B: Richtig. Stell dir vor, ein Mitarbeiter wechselt von einer risikoarmen Rolle im Marketing in eine Hochrisikorolle im HR Bereich.

[00:07:50] Speaker A: Okay.

[00:07:51] Speaker B: Plötzlich lässt dieser Mitarbeiter Lebensläufe von Bewerbern durch eine KI filtern.

Das ist nach dem I Act ein Hochrisikoszenario wegen. Potenzialdiskriminierung.

[00:08:00] Speaker A: Und die Person hat aber nur dieses Basistraining für Marketing absolviert.

[00:08:04] Speaker B: Ganz genau. Eine statische Tabelle schlägt in diesem Moment keinen Alarm. Das Risiko im Unternehmen steigt massiv an, aber die Geschäftsführung ahnt von nichts, der

[00:08:15] Speaker A: echten Nachweisfähigkeit extrem gut auf den Punkt bringt.

Es ist wie ein digitales Kassenbuch, das in Stein gemeißelt wird.

[00:08:24] Speaker B: Ah, das Append only Audit Log.

[00:08:26] Speaker A: Ja genau.

Bei einer einfachen Excel Tabelle kann doch jeder im Nachhinein eine Zeile löschen oder ein Datum ändern, wenn die Behörde klopft. Aber bei echten Governance Systemen sprechen wir von diesem Append only Ansatz.

[00:08:40] Speaker B: Das heißt, du kannst Daten nur hinzufügen.

[00:08:41] Speaker A: Richtig. Man kann zwar einen Fehler korrigieren, indem man eine neue Zeile hinzufügt, aber man kann nicht den digitalen Tipp Ex rausholen und Vergangenheit ausradieren.

[00:08:52] Speaker B: Und das ist für Auditoren das allerwichtigste Element. Es macht das System ehrlich. Wenn es hart auf hart kommt und eine Behörde prüft, dann hält eine manipulierbare Excel Tabelle einfach keiner kritischen Überprüfung stand,

[00:09:03] Speaker A: zumal der Druck ja auch steigt.

[00:09:05] Speaker B: Und Wie? Ab dem 2. August 2026 erhalten die nationalen Aufsichtsbehörden die formale Durchsetzungsbefugnis. Das heißt, ab diesem Stichtag kann die Einhaltung der KI Kompetenzpflicht, die ganz konkret geprüft und bei Verstößen sanktioniert werden.

[00:09:24] Speaker A: Genau hier liegt ja der gigantische Unterschied zwischen bloßer Dokumentation und echter Nachweisfähigkeit. Wenn wir uns in den Quellen anschauen, wie Unternehmen dieses Problem innovativ lösen, dann taucht in unseren Fallstudien immer wieder ein sehr interessanter Ansatz auf.

[00:09:40] Speaker B: Garrion.

[00:09:41] Speaker A: Genau. Die Plattform Garrion AI Governance. Wir betrachten das heute einfach mal als Fallstudie. Für einen echten Paradigmenwechsel in der Compliance. Das wird dort als Organization AI Readiness Intelligence beschrieben. Was genau ist die Philosophie dahinter?

[00:09:57] Speaker B: Also die Doktrin lautet im Readiness, also die organisatorische Bereitschaft führt zur präzisen Erkennung von Risiken. Okay, diese Risiken decken dann Lücken in der Kompetenz oder der Freigabe auf und daraus berechnet das System konkrete handlungsorientierte Empfehlungen. Das Ziel ist es, die KI Reife eines Unternehmens messbar zu belegen, und zwar lange bevor ein Auditor überhaupt die erste Frage stellt.

[00:10:24] Speaker A: Man ist also vorbereitet.

[00:10:25] Speaker B: Ja, es geht darum, aus völlig verstreuten Fakten über Menschen, Rollen und Schulungsnachweise ein einziges erklärbares und vor allem prüffähiges Bild zu erstellen.

[00:10:36] Speaker A: Aber ganz ehrlich, wenn ich diesen Pitch jetzt in einem Vorstandsbereich halte, kommt doch sofort der Reflex local first eine macOS oder Windows Anwendung im Jahr 2024 oder 2025 das klingt für einen modernen CISO doch erstmal nach einem Maß Rückschritt in die ER Jahre.

[00:10:54] Speaker B: Das stimmt, das hört man oft.

[00:10:55] Speaker A: Warum nutzen die keine gigantische Cloud Software oder eine etablierte Suite wie OneTrust? Wie soll eine Desktop App in einem globalen Unternehmen skalieren?

[00:11:04] Speaker B: Das ist ein exzellenter Einwand und auf den ersten Blick wirkt das auch wirklich kontraintuitiv. Aber wenn man etwas tiefer in die Architekturstrategie blickt, ist dieser Local First Ansatz eigentlich genial.

[00:11:17] Speaker A: Warum das?

[00:11:19] Speaker B: Jeder CISO verdreht ja sofort die Augen, wenn es um Datentransfers in die USA geht. Man sitzt wochenlang an Transfer Impact Assessments, prüft den US Cloud Act, diskutiert endlos mit dem Betriebsrat, weil sensible HR Daten und Governance Lücken in eine fremde Cloud geladen werden sollen.

[00:11:35] Speaker A: Das heißt, durch diesen lokalen Ansatz fällt dieser komplette bürokratische Albtraum einfach weg.

[00:11:41] Speaker B: Vollkommen die einfachste Form der Datensicherheit ist Datensparsamkeit.

Es gibt bei Garion keine zentrale Cloud des Anbieters, kein externes Nutzerkonto und vor allem keinen Datenabfluss.

[00:11:53] Speaker A: Die Daten bleiben also im Haus.

[00:11:55] Speaker B: Genau, sie bleiben auf dem Endgerät des Compliance-Verantwortlichen oder im eigenen strikt abgeriegelten Firmennetzwerk. Was nie übertragen wird, muss auch nicht aufwendig abgesichert oder vor ausländischen Behörden gerechtfertigt werden.

[00:12:10] Speaker A: Und das wirkt sich ja sicher auch massiv auf die Kosten aus, oder?

[00:12:13] Speaker B: Absolut.

Anstatt eines endlosen, nutzerbasierten Abo Modells für hunderte Mitarbeiter, das jedes Jahr teurer wird, gibt es hier laut den Unterlagen eine Einmallizenz für den Core Nutzer. Also genannt wird hier ein Pilot für Das ist überschaubar. Total.

Die Total Cost of Ownership ist also eine völlig andere, weil man sich eben nicht in so eine Cloud Abhängigkeit begibt.

[00:12:38] Speaker A: Okay, das leuchtet im Hinblick auf Datensouveränität absolut ein. Ein weiteres Schlagwort, das mir in den technischen Whitepapern aufgefallen Die Architektur ist rein

[00:12:49] Speaker B: deterministisch Ja ein wichtiges Wort.

[00:12:51] Speaker A: Wir wissen beide, was deterministisch bedeutet. Gleiche Eingabe führt immer exakt zum gleichen Ergebnis. Aber lass uns das mal auf eine echte Prüfungssituation übertragen. Warum ist es juristisch und strategisch so unglaublich wichtig, dass hier gerade keine künstliche Intelligenz den Governance Score berechnet?

[00:13:10] Speaker B: Weil eine KI, insbesondere diese großen Sprachmodelle, immer stochastisch arbeitet. Sie schätzt Wahrscheinlichkeiten, wenn du vor einem Richter oder einem Auditor stehst und erklären musst, warum dein Unternehmen in einem bestimmten Bereich konform ist. Kannst du nicht. Unser Sprachmodell hat heute Morgen geträumt, dass unser Risiko bei 12 Prozent liegt.

[00:13:31] Speaker A: Das würde nicht so gut ankommen.

[00:13:33] Speaker B: Wahrscheinlich nicht. Nein. Du brauchst harte Mathematik. Eine KI halluziniert. Sie würfelt quasi.

Sie verändert ihre Antworten bei gleicher Eingabe. Gurian nutzt KI, wenn überhaupt und nur auf explizite Freigabe, höchstens um erklärende Texte

[00:13:52] Speaker A: flüssiger zu formulieren, aber nicht für die Bewertung.

[00:13:55] Speaker B: Genau. Die gesamte Berechnungslogik der Risiken und der Lücken folgt unumstößlichen deterministischen Regeln. Das macht das System gerichtsfest.

[00:14:05] Speaker A: Lass uns mal etwas tiefer in den Maschinenraum schauen, um das greifbar zu machen. Wie sieht diese operative Steuerung im Alltag konkret aus? Ich sehe hier in den Dokumenten, dass das System mit 24 vordefinierten Rollen arbeitet.

[00:14:19] Speaker B: Richtig. Zum Beispiel für Recruiting, für Marketing oder für die Softwareentwicklung.

[00:14:24] Speaker A: Das heißt, man fängt nicht bei dem weißen Blatt Papier an und das Risiko wird exakt dort gewichtet, wo es im Unternehmen sitzt. Das ist dann dieses viel zitierte Prinzip der Verhältnismäßigkeit. Richtig?

[00:14:36] Speaker B: Absolut.

Der EU AI Act verlangt ja keinen pauschalen, einheitlichen Schulungskatalog für jeden einzelnen Mitarbeiter.

Das wäre reine Ressourcenverschwendung. Klar, eine Person in der Logistik, die vielleicht ab und zu einen Chatbot nutzt, um eine E Mail zu formulieren, braucht ein völlig anderes Kompetenzniveau, als ein Entwickler, der KI gestützten Code in die Kerninfrastruktur pusht.

[00:14:59] Speaker A: Das ergibt Sinn.

[00:15:00] Speaker B: Das System ordnet diese rechtlichen Risiken den spezifischen Rollen zu. Eine Hochrisikorolle ohne den passenden Kompetenznachweis zieht dann den Gesamtscore der Organisation drastisch nach unten.

[00:15:12] Speaker A: Schön jetzt stelle ich mir vor, ich habe als Compliance Officer dieses System mit unseren Daten gefüttert. Es analysiert die Zertifikate, die Rollen, die Tools und am Ende spuckt es mir einen Score von, sagen wir, 61 aus. Was mache ich jetzt damit?

[00:15:27] Speaker B: Naja, 61 ist eine schöne Zahl, aber sie löst dein Problem ja noch nicht, ne?

[00:15:31] Speaker A: Genau das dachte ich mir.

[00:15:32] Speaker B: Und genau da kommt die sogenannte GAP Engine ins Spiel, also die Lückenengine.

Eine Zahl allein ist wertlos. Diese deterministische Engine analysiert das Reifebild und priorisiert die Probleme nach dem sogenannten Uplift.

[00:15:46] Speaker A: Wie genau berechnet die Engine diesen Uplift? Kannst du da mal ein ganz konkretes Beispiel aus dem HR Bereich machen?

[00:15:53] Speaker B: Gerne Nehmen wir an, das System identifiziert den Fehler GR ES Hier gibt es eine Hochrisikorolle. Bleiben wir mal beim Recruiter, der KI nutzt, um hunderte Lebensläufe automatisch vorzufiltern.

[00:16:07] Speaker A: Das wäre Hochrisiko.

[00:16:08] Speaker B: Ja.

Die Engine sieht, dass die Person auf dieser Rolle zwar ein allgemeines KI Zertifikat hat, aber eben nicht die gesetzlich erforderliche tiefgehende Kompetenz zum Thema Diskriminierungsrisiken durch algorithmischen Bias.

[00:16:22] Speaker A: OK, und was sagt mir das System dann?

[00:16:24] Speaker B: Die GAP Engine sagt dir jetzt nicht hey, du hast ein Problem im HR. Sie berechnet den maximalen Hebel und exakt Sie müssen Person X auf Rolle Y genau zum Thema Bias schulen.

[00:16:35] Speaker A: Und wenn ich das mache, wenn sie

[00:16:37] Speaker B: das tun, schließen sie nicht nur eine rechtliche Lücke, sondern ihr Reife Score steigt deterministisch um genau acht Punkte. Die wirksamste Maßnahme steht immer ganz oben.

[00:16:47] Speaker A: Ah OK.

[00:16:48] Speaker B: Du arbeitest also nicht blind eine To Do Liste ab, sondern steuerst das Unternehmen nach echtem Risiko.

[00:16:54] Speaker A: Das ist natürlich Gold wert für die Priorisierung im Alltag, weil es den CISO aus dieser ständigen Überforderung holt.

Aber jetzt wird es noch einmal komplexer. Wenn wir auf ein Phänomen schauen, das in fast jedem Unternehmen Schatten KI das Lieblingsthema jedes Datenschützers. Genau. Wie navigiert man da zwischen Sicherheit und Mitarbeiterüberwachung? Die Quellen sprechen hier von einem Verified AI Inventory. Das klingt nach einem ziemlich cleveren Abgleich.

[00:17:23] Speaker B: Das ist der Moment, wo Theorie und Praxis hart aufeinanderprallen. Die Herausforderung ist ja Das Management hat eine wunderschöne Liste mit drei offiziell freigegebenen Tools. Aber was passiert wirklich auf den Laptops der Mitarbeiter?

[00:17:36] Speaker A: Oft was ganz anderes.

[00:17:38] Speaker B: Genau. Das Verified AI Inventory gleicht anonymisierte Telemetriedaten aus dem Netzwerk mit dieser offiziellen Freigabeliste ab. Wenn also das Marketingteam plötzlich in großem Stil ein nicht genehmigtes generative KI Tool für Bilder nutzt, vielleicht sogar für eine Kampagne, die noch unter Sperrfrist steht, taucht es sofort als Differenz auf.

[00:18:00] Speaker A: Das System identifiziert diese Schatten KI, also treffsicher. Und wie wird dann verhindert, dass das zu so einer automatisierten Überwachungsmaschine wird?

[00:18:08] Speaker B: Durch das Prinzip Human in Command. Das System blockiert nicht blind oder verschickt automatisch irgendwelche Abmahnungen. Es schlägt eine Risikoklassifizierung vor.

[00:18:19] Speaker A: Der Mensch entscheidet also richtig.

[00:18:21] Speaker B: Der Mensch, also der Compliance Officer, entscheidet, wie damit umgegangen wird. Wird das Tool nachträglich geprüft und legalisiert oder wird die Nutzung konsequent untersagt? Die Technologie liefert nur die Sichtbarkeit. Die Entscheidung trifft weiterhin die Führung.

[00:18:38] Speaker A: Ein weiteres Konzept, das mir bei der Lektüre wirklich ins Auge gesprungen ist, ist die sogenannte Temporal Governance.

Das klingt erstmal furchtbar abstrakt, aber wenn man genauer hinsieht, geht es dabei um ein massives Haftungsrisiko, nämlich das Überwachen von harten Fristen.

[00:18:54] Speaker B: Ganz genau. Regulierung läuft heute zunehmend gegen die Uhr. Nehmen wir mal NES 2 die europäische Richtlinie zur Cybersicherheit oder eben auch die DSGVO.

[00:19:04] Speaker A: Da gibt es ja strenge Meldepflichten.

[00:19:07] Speaker B: Wenn du einen gravierenden Vorfall hast, sagen Ein Mitarbeiter kopiert aus Versehen eine Datenbank mit Kundendaten in einen öffentlichen KI Übersetzer, dann läuft die Stoppuhr. Du hast bei NIST 2 oft nur 24 Stunden Zeit für eine Frühwarnung und 72 Stunden für eine formelle Meldung an die Behörden.

[00:19:26] Speaker A: Das heißt, die Temporal Governance behandelt diese Fristen nicht als netten Kalendereintrag, sondern als harte Parameter im Audit Log.

[00:19:34] Speaker B: Exakt die Zeit wird zu einem kryptographisch abgesicherten Beweismittel. Wenn ein Vorfall eintritt, startet das System ein ereignisverankertes Fenster.

[00:19:42] Speaker A: Okay.

[00:19:43] Speaker B: Ob du die Frist eingehalten, gefährdet oder überschritten hast, wird deterministisch und unveränderlich in das Audit Log, unser digitales Kassenbuch, geschrieben. Wenn der Auditor später Wann haben Sie reagiert? Reicht eben kein Wir glauben, das war rechtzeitig. Das Log beweist es.

[00:20:01] Speaker A: Das ist ein sehr mächtiges Instrumentarium.

Aber ich muss an dieser Stelle für unsere Zuhörer noch eine rechtlich ganz saubere Einordnung vornehmen, um da keine falschen Versprechungen stehen zu lassen.

[00:20:13] Speaker B: Unbedingt.

[00:20:14] Speaker A: Wenn ein Unternehmen all das perfekt nutzt, einen tollen Score hat, alle Lücken geschlossen sind, zertifiziert mich so eine Software wie Garion damit als rechtlich konform nach dem EU AI Act. Darf ich mir da einen Stempel AI Act compliant auf die Firmenwebseite packen?

[00:20:30] Speaker B: Ein ganz klares Nein. Und das wird in seriösen strategischen Frameworks auch sehr deutlich abgegrenzt. Ein Tool wie Garion bewertet die Qualität deiner Nachweise und die Stringenz deiner Dokumentation,

[00:20:43] Speaker A: aber nicht das Gesetz.

[00:20:44] Speaker B: Richtig. Es bewertet niemals die rechtliche Konformität. Selbst kein Software Tool dieser Welt kann einen spezialisierten Rechtsanwalt oder einen externen Wirtschaftsprüfer ersetzen. Wer das behauptet, betreibt Schlangenölverkauf.

[00:20:56] Speaker A: Was genau liefert es mir dann, wenn der Auditor vor mir sitzt?

[00:21:01] Speaker B: Es liefert dir die belastbare, strukturierte Faktengrundlage. Am Ende generierst du einen sogenannten Audit Readiness Report.

Das ist das Dokument, das du deinen internen Revisoren, den Aufsichtsbehörden oder eben deinen Anwälten zur rechtlichen Bewertung vorlegst.

[00:21:18] Speaker A: Das ändert ja die ganze Dynamik komplett.

[00:21:21] Speaker B: Es verschiebt die Diskussion. Du fragst nicht mehr Sind wir konform? Sondern du sagst souverän Hier ist unsere lückenlose Dokumentation. Sie ist stark, transparent und manipulationssicher. Bitte bewerten Sie das rechtlich.

[00:21:35] Speaker A: Wenn wir diese Analyse nun abschließend zusammenfassen, liebe Zuhörerinnen und Zuhörer in den Entscheidungspositionen.

Die wichtigste Erkenntnis, die wir aus all diesen Quellen ziehen, ist KI Governance ist kein lästiges IT Projekt, das man mal eben an den First Level Support oder einen engagierten Werkstudenten delegieren kann.

[00:21:56] Speaker B: Auf gar keinen Fall.

[00:21:57] Speaker A: Es ist eine handfeste Führungsaufgabe. Die Uhr tickt bereits und ab August 2026 wird es durch die Aufsichtsbehörden im Rahmen der Durchsetzungsbefugnis so richtig ernst. Wer dann erst anfängt, hektisch Dokumente aus alten E Mails zusammenzusuchen, hat im Grunde schon verloren.

[00:22:13] Speaker B: Die Nachweise werden im Zweifel veraltet, unvollständig oder schlichtweg unglaubwürdig sein.

[00:22:19] Speaker A: Genau.

[00:22:19] Speaker B: Wenn man es auf die Kernpunkte destilliert, geht es um 3 Datensouveränität.

Eure Governance Daten gehören zu den sensibelsten Informationen im Unternehmen. Sie sollten das Haus nicht unkontrolliert verlassen.

[00:22:33] Speaker A: Richtig.

[00:22:33] Speaker B: Zweitens Nachweisfähigkeit. Es zählt in Zukunft nur noch der harte Beweis, nicht die Behauptung oder eine grüne Zelle in Excel und Verhältnismäßigkeit.

[00:22:43] Speaker A: Also nicht mit Kanonen auf Spatzen schießen.

[00:22:46] Speaker B: Genau.

Man muss nicht das ganze Unternehmen durch ein dreitägiges KI Bootcamp jagen, sondern gezielt dort ansetzen, wo das tatsächliche Risiko existiert. Ein strategisches System liefert nicht das Wissen selbst, aber es liefert die unverzichtbare methodische Schicht, um dieses Wissen verwaltbar und prüfbar zu machen.

[00:23:07] Speaker A: Ich möchte Sie, liebe Zuhörerinnen und Zuhörer, mit einem Gedanken entlassen. Denken Sie heute Abend auf dem Heimweg oder beim Zähneputzen einmal ganz ehrlich darüber nach. Wenn einer Ihrer Mitarbeiter heute Nachmittag vielleicht völlig ohne böse Absicht, sondern einfach nur im Stress einen extrem vertraulichen Strategieentwurf in einen unregulierten KI-Chatbot im Internet kopiert. Hat, um die Rechtschreibung zu prüfen, was jeden Tag passiert. Oh ja, und morgen früh ruft die Aufsichtsbehörde bei Ihnen würde Ihre aktuelle Dokumentation ausreichen, um Sie als Geschäftsführung vor der persönlichen Haftung zu schützen. Eine gute Frage Können Sie wasserdicht beweisen, dass Sie dieses Risiko organisatorisch gesteuert haben? Oder haben Sie in Wahrheit nur einen Haufen grüner Häkchen in einer Excel Tabelle, die eigentlich schon vorgestern veraltet war?

Die Antwort auf diese Frage entscheidet am Ende, wer in Ihrem Unternehmen wen steuert.