Der kontrollierte Einsatz von AI in einer Governance-Plattform setzt voraus, dass ein Sprachmodell nicht pauschal auf Dokumente und Daten zugreift, sondern innerhalb eines strukturierten, aktuellen und berechtigungsgesteuerten Unternehmenskontexts arbeitet.
Zu diesem Kontext gehören insbesondere eindeutig definierte Governance-Objekte, Rollen, Berechtigungen, Risiken, Entscheidungen, Freigabebedingungen und nachvollziehbare Prozessstände. Ebenso muss festgelegt sein, welche Aktionen ein AI-Assistent oder AI-Agent in einem bestimmten Vorgang, in einem bestimmten Prozessschritt und im Namen einer bestimmten Rolle ausführen darf.
Bei der Weiterentwicklung von Ailance geht es deshalb nicht allein darum, der Plattform eine Chatfunktion hinzuzufügen. Maßgeblich ist vielmehr, Ailance als verlässliche Kontext- und Aktionsschicht für unterschiedliche AI-Assistenten und AI-Agents nutzbar zu machen.
AI in Governance-Plattformen erfordert verlässlichen Unternehmenskontext
AI-Funktionen werden voraussichtlich zunehmend in Governance-, Datenschutz-, Compliance- und Risk-Management-Systemen eingesetzt. Für die praktische Nutzbarkeit ist jedoch nicht allein entscheidend, welche Texte ein Sprachmodell formulieren oder welche Informationen es aus Dokumenten extrahieren kann.
Sprachmodelle können bereits heute Inhalte zusammenfassen, vergleichen und Fragen beantworten. Sie können Informationen aus Verträgen extrahieren, Risiken beschreiben, erste Bewertungen vorbereiten oder Berichte entwerfen. Diese Fähigkeiten ersetzen allerdings keine belastbare Governance-Struktur.
Eine AI kennt nicht automatisch die organisatorische Realität eines Unternehmens. Ohne zusätzliche Struktur kann sie regelmäßig nicht erkennen, welche Entscheidung aktuell gilt, wer für einen KI-Use-Case verantwortlich ist, ob ein Dokument freigegeben wurde oder lediglich als Entwurf vorliegt, welche Risiken akzeptiert wurden, welche Maßnahmen noch offen sind, welche Bedingungen mit einer Freigabe verbunden wurden oder welche Aktion in einem bestimmten Prozessschritt zulässig ist.
Für den Einsatz von AI in Governance-Prozessen ist deshalb nicht nur die Qualität der generierten Inhalte zu berücksichtigen. Maßgeblich ist auch, ob die AI auf einen verlässlichen Unternehmenskontext zugreifen kann und innerhalb klarer Berechtigungs- und Prozessgrenzen handelt.
Ailance soll über eine reine Chatfunktion hinausgehen
Eine erste Integrationsstufe kann darin bestehen, innerhalb einer Governance-Plattform Fragen zu vorhandenen Daten und Vorgängen zu beantworten. Nutzer könnten beispielsweise abfragen, welche Risiken noch offen sind, welche Verarbeitungen längere Zeit nicht überprüft wurden, welche KI-Use-Cases keinen zugewiesenen Owner haben, welche Maßnahmen überfällig sind oder wie sich der aktuelle Stand einer Datenschutz-Folgenabschätzung zusammenfassen lässt.
Solche Funktionen können den Zugriff auf vorhandene Informationen erleichtern. Ihr Nutzen bleibt jedoch begrenzt, wenn die AI lediglich Texte durchsucht, ohne die fachlichen Beziehungen zwischen den jeweiligen Governance-Objekten zu berücksichtigen.
Eine Verarbeitung ist in Ailance nicht lediglich als einzelnes Dokument angelegt. Sie kann mit Systemen, Dienstleistern, Datenkategorien, Risiken, technischen und organisatorischen Maßnahmen, Löschfristen, Freigaben und Verantwortlichen verbunden sein. Entsprechendes gilt für einen KI-Use-Case, der unter anderem mit einem Anbieter, einem Modell, Datenquellen, einer Risikobewertung, einer Model Card, einem Datenschutzcheck, einer rechtlichen Prüfung, einer Security-Bewertung, Freigabebedingungen und einem Monitoring-Prozess verknüpft sein kann.
Auch ein Risiko steht nicht isoliert im Raum. Es steht in Beziehung zu seiner Bewertung, den festgelegten Maßnahmen, verantwortlichen Personen, Fristen, Kontrollen und gegebenenfalls einer dokumentierten Risikoakzeptanz.
Diese Beziehungen bilden den fachlichen Kontext, den eine AI für belastbare Antworten und Vorschläge benötigt. Bei der Weiterentwicklung von Ailance ist deshalb zu prüfen, wie strukturierte Governance-Daten so bereitgestellt werden können, dass AI-Assistenten und AI-Agents sie unter Beachtung der jeweiligen Berechtigungen verstehen und verwenden können.
Anforderungen an eine Governance-Kontextschicht
Eine Governance-Kontextschicht stellt einer AI nicht pauschal sämtliche verfügbaren Informationen zur Verfügung. Sie muss vielmehr die für den jeweiligen Vorgang relevanten Informationen auswählen, deren Status kenntlich machen und die Berechtigungen des jeweiligen Nutzers berücksichtigen.
Ein AI-Agent muss insbesondere feststellen können, welcher konkrete Vorgang Gegenstand der Anfrage ist, welche Version eines Dokuments oder Datensatzes aktuell ist, welche Rolle für den Vorgang verantwortlich ist, welche Entscheidung getroffen wurde, unter welchen Bedingungen diese Entscheidung gilt, welche Risiken und Maßnahmen offen sind, welche Prüfungen abgeschlossen wurden, welche Wiedervorlage fällig ist, welche Informationen der aktuelle Nutzer einsehen darf und welche Aktion im gegenwärtigen Prozessschritt zulässig ist.
Diese Anforderungen gehen über eine Volltextsuche hinaus. Eine Suchfunktion kann beispielsweise eine alte und eine aktuelle Version desselben Dokuments auffinden. Eine Governance-Kontextschicht muss zusätzlich berücksichtigen, welche Version für den Vorgang maßgeblich ist.
Entsprechendes gilt für unterschiedliche Arten von Bewertungen und Entscheidungen. Eine gefundene E-Mail kann eine unverbindliche Einschätzung enthalten. Davon zu unterscheiden sind eine formale Prüfung, eine Freigabe oder eine tatsächlich umgesetzte Entscheidung. Auch der Status eines KI-Use-Cases ist zu berücksichtigen. Es macht einen erheblichen Unterschied, ob ein Use Case lediglich angemeldet, bereits bewertet, unter bestimmten Bedingungen freigegeben oder inzwischen außer Betrieb genommen wurde.
Der einer AI bereitgestellte Kontext muss daher strukturiert, aktuell, versioniert und berechtigungsgesteuert sein.
Kontrollierte Aktionen in Governance-Prozessen
Eine weitere Entwicklungsstufe besteht darin, AI-Agents nicht ausschließlich zur Beantwortung von Fragen einzusetzen, sondern ihnen klar abgegrenzte Aufgaben innerhalb bestehender Governance-Prozesse zuzuweisen.
Ein Agent könnte beispielsweise einen neuen KI-Use-Case anlegen, fehlende Pflichtangaben erkennen, einen zuständigen Owner vorschlagen, eine Datenschutzprüfung starten, Legal oder IT Security einbinden, eine Maßnahme anlegen, einen überfälligen Verantwortlichen erinnern, einen Review vorbereiten, eine Wiedervorlage erzeugen, einen Bericht entwerfen oder eine Eskalation auslösen.
Sobald eine AI Daten verändert, Aufgaben zuweist oder Workflows startet, sind jedoch weitergehende Anforderungen zu berücksichtigen. Ein Textentwurf kann vor seiner Verwendung durch einen Menschen geprüft und verworfen werden. Bei einer ausgeführten Aktion muss dagegen bereits vorab feststehen, ob und unter welchen Bedingungen diese Aktion zulässig ist.
Zu prüfen ist insbesondere, welche Aktion ausgeführt werden darf, auf welches Governance-Objekt sich die Aktion beziehen darf, im Namen welcher Rolle der Agent handelt, ob eine menschliche Bestätigung erforderlich ist, welche Berechtigungen gelten, welche Prüfung zuvor abgeschlossen sein muss, welche Informationen im Audit Trail zu dokumentieren sind und unter welchen Voraussetzungen der Agent die Bearbeitung beenden muss.
Eine Aktionsschicht stellt hierfür klar definierte Funktionen innerhalb festgelegter Prozessgrenzen bereit. Sie überführt eine allgemeine technische Fähigkeit in ein kontrollierbares Governance-Werkzeug.
Beispiel: Aufnahme eines neuen KI-Use-Cases
Ein Mitarbeiter möchte ein neues AI-Tool zur Analyse von Kundenanfragen einsetzen.
Ein entsprechender Governance-Prozess kann damit beginnen, dass der Mitarbeiter den geplanten Use Case über ein Formular anmeldet. Dabei werden unter anderem Zweck, Anbieter, verwendete Daten und vorgesehene Nutzer beschrieben. Abhängig von den gemachten Angaben können anschließend Datenschutz, Legal, IT Security oder weitere zuständige Stellen eingebunden werden.
Ein AI-Agent könnte diesen Vorgang künftig unterstützen. Er könnte die Beschreibung strukturieren, fehlende Angaben erkennen und entsprechende Rückfragen vorbereiten. Zudem könnte er prüfen, ob der Anbieter bereits erfasst wurde oder ob vergleichbare Use Cases vorliegen. Auf dieser Grundlage könnte er einen voraussichtlichen Prüfbedarf ableiten und geeignete Reviewer vorschlagen.
Eine formale Freigabe sollte der Agent jedoch nicht eigenständig erteilen, sofern diese Entscheidung einer ausdrücklich zugewiesenen Rolle vorbehalten ist. Die Plattform müsste in diesem Fall sicherstellen, dass die erforderlichen Prüfungen durchgeführt wurden und die Entscheidung durch die zuständige Person erfolgt.
Darüber hinaus wäre zu dokumentieren, welche Informationen der Agent verwendet, welche Vorschläge er erstellt und welche Entscheidung anschließend durch einen Menschen getroffen hat. Auf diese Weise kann AI den Vorgang unterstützen, ohne Verantwortlichkeiten zu verlagern oder unklar werden zu lassen.
| Entwicklungsstufe | Funktion der Plattform | Mögliche zusätzliche AI-Unterstützung |
|---|---|---|
| Strukturierte Governance-Daten | Erfasst Use Cases, Verarbeitungen, Risiken, Rollen, Maßnahmen und Nachweise. | Kann Informationen zusammenfassen und fehlende Angaben erkennen. |
| Verbundene Governance-Objekte | Verknüpft Systeme, Anbieter, Daten, Risiken, Freigaben und Verantwortliche. | Kann fachliche Zusammenhänge berücksichtigen und kontextbezogene Fragen beantworten. |
| Rollen und Berechtigungen | Steuert Zugriff, Zuständigkeiten und Entscheidungsrechte. | Kann Antworten und Vorschläge an Rolle und Berechtigung anpassen. |
| Workflows | Führt Vorgänge durch Intake, Prüfung, Freigabe und Review. | Kann Aufgaben vorbereiten, Reviewer einbinden und nächste Schritte vorschlagen. |
| Entscheidungs- und Audit-Trail | Dokumentiert Prüfungen, Freigaben, Bedingungen und Änderungen. | Kann Entscheidungspfade erläutern und Audit-Zusammenfassungen vorbereiten. |
| Kontrollierte Aktionen | Stellt klar definierte Funktionen und Prozessgrenzen bereit. | Kann Vorgänge anlegen, Reviews starten, Aufgaben erzeugen oder Eskalationen auslösen. |
| MCP und standardisierte Tools | Macht freigegebene Daten und Funktionen für externe Systeme nutzbar. | Kann unterschiedlichen Agents einen kontrollierten Zugriff auf Ailance ermöglichen. |
Der maßgebliche Entwicklungsschritt besteht damit in der kontrollierten Verbindung von AI-Funktionen mit bereits vorhandenen Governance-Strukturen. Voraussetzung sind strukturierte Daten, eindeutige Beziehungen, geregelte Zuständigkeiten und technisch durchgesetzte Prozessgrenzen.
MCP als standardisierte Schnittstelle für Governance-Daten und Funktionen
Welchen AI-Assistenten oder Agenten Unternehmen in einigen Jahren einsetzen werden, lässt sich gegenwärtig nicht verlässlich bestimmen. In Betracht kommen Lösungen von Microsoft, OpenAI oder SAP, spezialisierte Branchensysteme oder selbst entwickelte Unternehmensanwendungen.
Vor diesem Hintergrund sollte die Governance-Logik nicht dauerhaft an einen einzelnen Assistenten gebunden werden. Das verwendete Modell oder Assistenzsystem kann wechseln. Der strukturierte Governance-Kontext des Unternehmens muss dagegen erhalten und unabhängig vom jeweiligen Modell nutzbar bleiben.
Das Model Context Protocol, kurz MCP, ist deshalb ein relevantes Thema für die Ailance-Roadmap. Über klar definierte MCP-Tools könnte die Plattform ausgewählte Daten und Funktionen für unterschiedliche AI-Systeme bereitstellen.
Dabei sollte ein Agent keinen pauschalen Zugriff auf die gesamte Plattform erhalten. Stattdessen kommen eng abgegrenzte Werkzeuge in Betracht, etwa das Abrufen eines KI-Use-Case, die Prüfung offener Pflichtangaben, die Ermittlung eines zuständigen Owners, die Anforderung eines Reviews, die Anzeige eines Freigabestatus, die Auflistung überfälliger Maßnahmen, die Erzeugung einer Wiedervorlage oder die Vorbereitung eines Berichts.
Welche Funktion im Einzelfall verfügbar ist, richtet sich nach Rolle, Berechtigung, Governance-Objekt und Prozessstatus. Die Governance-Logik verbleibt damit in Ailance. Der jeweils eingesetzte Agent kann nur auf diejenigen Daten und Funktionen zugreifen, die ihm für den konkreten Vorgang ausdrücklich zur Verfügung gestellt werden.
Bestehende Plattformfunktionen als Grundlage
Ailance wurde als konfigurierbare Plattform für Integrated Risk Management aufgebaut. Für neue AI-Anwendungsfälle muss daher nicht in jedem Fall eine eigenständige Spezialanwendung entwickelt werden.
Die Plattform verfügt bereits über wesentliche Bausteine, die auch für eine spätere AI-Integration relevant sind. Dazu gehören Governance-Objekte und ihre Beziehungen, konfigurierbare Datenmodelle, Rollen und Berechtigungen, Workflows, Aufgaben und Statusmodelle, Validierungen und Bedingungen, Maßnahmen und Fristen, Berichte und Dashboards, Audit Trails, mehrsprachige Inhalte sowie APIs und Integrationsmöglichkeiten.
Diese Bausteine können für weitere Solutions und künftig auch für AI-Werkzeuge konfiguriert werden. Bei Anwendungen, die auf einen einzelnen Prozess oder ein eng abgegrenztes Fachgebiet zugeschnitten sind, kann die Erweiterung um weitere AI-Funktionen eine zusätzliche Anpassung des jeweiligen Datenmodells und der Prozesslogik erfordern. Eine konfigurierbare Plattform ermöglicht demgegenüber, Governance-Funktionen auch für weitere Anwendungsfälle bereitzustellen.
Darin liegt der für Ailance maßgebliche Plattformansatz.
Geeignete AI-Funktionen für Governance-Prozesse
Nicht jede technisch mögliche AI-Funktion ist für Governance-Prozesse gleichermaßen geeignet. Vorrangig zu berücksichtigen sind Funktionen, die einen konkreten wiederkehrenden Aufwand reduzieren und sich in bestehende Verantwortungs- und Kontrollstrukturen einordnen lassen.
AI kann unstrukturierte Texte, Fragebögen oder Dokumente auswerten und daraus Informationen für einen Governance-Vorgang vorschlagen. Ein Vertragsdokument könnte beispielsweise auf Angaben zum Anbieter, zur Laufzeit, zu Unterauftragnehmern oder zu datenschutzrelevanten Klauseln geprüft werden. Eine Prozessbeschreibung könnte als Ausgangspunkt für einen Eintrag im Verzeichnis von Verarbeitungstätigkeiten dienen. Die Übernahme vorgeschlagener Informationen sollte dabei regelmäßig von einer fachlich zuständigen Person geprüft werden.
Ein Agent kann außerdem feststellen, ob für eine Bewertung erforderliche Angaben fehlen. Bei einem KI-Use-Case kann dies unter anderem den Zweck, die verwendeten Datenkategorien, betroffene Personengruppen, den Anbieter, das eingesetzte Modell, den zuständigen Owner oder die vorgesehene Human Oversight betreffen. Die AI kann fehlende Informationen kenntlich machen und entsprechende Rückfragen vorbereiten. Ob die Angaben vollständig und fachlich ausreichend sind, bleibt im jeweiligen Prozess zu bewerten.
Governance-Vorgänge können aufgrund zahlreicher Prüfungen, Stellungnahmen, Maßnahmen und Entscheidungen einen erheblichen Umfang erreichen. AI kann den aktuellen Stand, offene Maßnahmen, getroffene Entscheidungen und mögliche nächste Schritte zusammenfassen. Dabei ist zu berücksichtigen, dass unterschiedliche Rollen verschiedene Informationen benötigen. Die Darstellung für einen Fachbereich kann sich von der Zusammenfassung für den Datenschutzbeauftragten, die Rechtsabteilung oder das Management unterscheiden.
Wenn ein vergleichbarer Use Case bereits geprüft wurde, können vorhandene Bewertungen und Entscheidungen für einen neuen Vorgang relevant sein. AI kann ähnliche Vorgänge, Risiken, Maßnahmen und Entscheidungen identifizieren und als Referenz bereitstellen. Maßgeblich bleibt allerdings, ob die Sachverhalte tatsächlich vergleichbar sind und ob frühere Bewertungen auf den aktuellen Vorgang übertragen werden können. Eine bestehende Entscheidung ersetzt daher nicht die erforderliche Prüfung des neuen Use Cases.
AI kann zudem Entscheidungsvorlagen erstellen, vorhandene Prüfungen zusammenfassen, offene Risiken kennzeichnen, mögliche Freigabebedingungen darstellen und fehlende Stellungnahmen sichtbar machen. Die formale Entscheidung verbleibt jedoch bei der hierfür zuständigen Rolle. Dies gilt insbesondere für Freigaben, Risikoakzeptanzen und andere Entscheidungen, mit denen organisatorische oder rechtliche Verantwortung verbunden ist.
Auch Reviews, Wiedervorlagen und Berichte können unterstützt werden. Ein Agent kann Hinweise darauf geben, dass ein Review fällig ist, sich maßgebliche Bedingungen verändert haben oder Maßnahmen überfällig sind. Aus strukturierten Governance-Daten können zudem Managementberichte, Audit-Zusammenfassungen und fachliche Auswertungen vorbereitet werden. Voraussetzung bleibt, dass die verwendeten Daten vollständig, aktuell und für den vorgesehenen Bericht freigegeben sind.
Grenzen von AI-Aktionen in Ailance
Zur Entwicklung entsprechender AI-Funktionen gehört auch die Festlegung klarer Grenzen.
Eine AI sollte keine Entscheidungen unbemerkt treffen, die einer verantwortlichen Rolle vorbehalten sind. Ebenso wenig darf sie bestehende Berechtigungen umgehen oder Informationen verwenden, auf die der jeweilige Nutzer keinen Zugriff hat.
Darüber hinaus sollte eine AI keine veralteten Informationen als aktuellen Stand darstellen, keine Freigabe erteilen, wenn erforderliche Prüfungen fehlen, keine Governance-Daten verändern, ohne dass die Aktion nachvollziehbar dokumentiert wird, keine generierte Einschätzung als verbindliche Unternehmensentscheidung darstellen und keine Aktion ausführen, wenn die dafür festgelegten Prozessvoraussetzungen nicht erfüllt sind.
Der Nutzen einer AI-Integration hängt deshalb nicht davon ab, dem eingesetzten System möglichst weitreichende Handlungsbefugnisse einzuräumen. Maßgeblich ist vielmehr, welche Funktionen innerhalb klar geregelter Entscheidungs- und Prozessgrenzen bereitgestellt werden können.
Human Oversight als technische Anforderung
Human Oversight darf sich nicht auf eine allgemeine Vorgabe in einer Policy beschränken. Die Plattform muss technisch abbilden, bei welchen Aktionen eine menschliche Prüfung, Bestätigung oder Entscheidung erforderlich ist.
Die konkrete Ausgestaltung kann sich je nach Vorgang unterscheiden. Ein Agent darf beispielsweise einen Entwurf erstellen, ohne diesen selbst freigeben zu können. Er kann einen Reviewer vorschlagen, ohne eigenständig die organisatorische Verantwortlichkeit zu ändern.
Entsprechendes gilt für weitere Entscheidungen. Ein Agent kann offene Risiken zusammenfassen, aber keine Risikoakzeptanz erklären. Er kann eine Eskalation vorbereiten, aber nicht ohne entsprechende Befugnis die Nutzung eines Systems beenden. Er kann eine Freigabeempfehlung formulieren, aber nicht die Entscheidung der zuständigen Rolle ersetzen. Er kann fehlende Prüfschritte erkennen, aber nicht deren Durchführung fingieren oder überspringen.
Diese Grenzen sollten an die jeweilige Aktion und den konkreten Prozessstatus geknüpft werden. Eine allgemeine Beschreibung der Rolle eines Agents reicht hierfür regelmäßig nicht aus.
Rollen und Berechtigungen gelten auch für AI
Eine AI darf grundsätzlich nicht auf mehr Informationen zugreifen oder weitergehende Aktionen ausführen als der Nutzer, in dessen Kontext sie handelt.
Hat ein Mitarbeiter keinen Zugriff auf eine vertrauliche rechtliche Bewertung, darf auch der für ihn handelnde Agent diese Bewertung nicht zur Beantwortung einer Anfrage verwenden. Kann eine Rolle einen Vorgang ausschließlich lesen, darf sie über einen Agenten keine Statusänderung oder sonstige Bearbeitung veranlassen. Ist eine Freigabe einer bestimmten Managementrolle vorbehalten, darf diese Anforderung nicht durch die Nutzung eines AI-Werkzeugs umgangen werden.
Rollen, Berechtigungen und Entscheidungsrechte müssen deshalb aus der Plattform und dem jeweiligen Governance-Prozess abgeleitet werden. Eine ausschließlich im Prompt formulierte Beschränkung reicht für die technische Durchsetzung entsprechender Vorgaben nicht aus.
Nachvollziehbarkeit durch einen Audit Trail
Handelt ein Agent innerhalb eines Governance-Prozesses, muss die ausgeführte Aktion später nachvollzogen werden können.
Zu dokumentieren ist insbesondere, welcher Agent gehandelt hat, welcher Nutzer die Aktion ausgelöst hat, welche Daten verwendet wurden, welche Funktion aufgerufen wurde, welches Ergebnis entstanden ist, ob eine menschliche Bestätigung erfolgt ist, welche Änderungen vorgenommen wurden und wann die Aktion stattgefunden hat.
Diese Dokumentation ist nicht ausschließlich für spätere Audits relevant. Sie ist auch für die interne Qualitätssicherung erforderlich. Erstellt ein Agent einen unzutreffenden Vorschlag oder führt eine unerwartete Aktion aus, muss die Organisation den Vorgang rekonstruieren und die Ursache prüfen können. Die Verlässlichkeit des Einsatzes hängt daher nicht von der Annahme fehlerfreier AI-Ergebnisse ab, sondern von der Möglichkeit, Vorschläge und Aktionen zu kontrollieren und nachzuvollziehen.
Roadmap von strukturierten Daten zu kontrollierten Aktionen
Die Roadmap für AI in Ailance folgt einer aufeinander aufbauenden Struktur.
Zunächst sind strukturierte Governance-Objekte, fachliche Beziehungen, Rollen und Workflows erforderlich. Auf dieser Grundlage können kontextbezogene AI-Funktionen bereitgestellt werden. Erst anschließend kommen kontrollierte Aktionen und standardisierte Werkzeuge für externe AI-Systeme in Betracht.
Die Abfolge lässt sich vereinfacht wie folgt darstellen:
Strukturierte Governance → verlässlicher Kontext → unterstützende AI → kontrollierte Aktionen
Eine AI sollte daher nicht lediglich auf eine unstrukturierte Dokumentenlandschaft aufgesetzt werden, ohne dass Status, Zuständigkeiten und Beziehungen eindeutig abgebildet sind.
Wird der erforderliche Kontext zunächst strukturiert aufgebaut, können spätere AI-Funktionen präziser in die jeweiligen Prozesse eingeordnet und unter Beachtung der erforderlichen Berechtigungen eingesetzt werden. Dies ist auch für die wirtschaftliche Bewertung der einzelnen Anwendungsfälle relevant.
Auswahlkriterien für neue Kunden
Unternehmen, die heute eine Governance-Plattform auswählen, sollten nicht ausschließlich prüfen, welche Funktionen sie für ihre gegenwärtigen Prozesse benötigen. Zu berücksichtigen ist auch, ob die Plattform eine geeignete Grundlage für spätere AI-Funktionen bereitstellt.
Dabei stellen sich insbesondere folgende Fragen: Werden Governance-Daten strukturiert oder überwiegend dokumentenbasiert verwaltet? Können Objekte und Prozesse miteinander verbunden werden? Besteht ein belastbares Rollen- und Berechtigungsmodell? Lassen sich Workflows konfigurieren? Werden Entscheidungen und Änderungen nachvollziehbar dokumentiert? Können definierte Aktionen über Schnittstellen bereitgestellt werden? Bleibt der Unternehmenskontext unabhängig vom eingesetzten AI-Modell nutzbar?
Diese Kriterien beeinflussen, ob eine Plattform künftig lediglich eine Chatfunktion ergänzen oder als Grundlage für kontrollierte AI-Agenten eingesetzt werden kann.
Ausgangspunkt für konkrete AI-Anwendungsfälle
Für die praktische Bewertung sollte zunächst ein wiederkehrender Vorgang aus dem Governance-Alltag betrachtet werden. In Betracht kommen beispielsweise die Aufnahme eines KI-Use-Cases, die Prüfung eines Dienstleisters, eine Datenschutz-Folgenabschätzung, eine Risikobewertung, eine Freigabe oder ein regelmäßiger Review.
Anschließend ist zu prüfen, welcher Arbeitsschritt den größten wiederkehrenden Aufwand verursacht. Dies kann insbesondere das Zusammentragen von Informationen, das Erkennen fehlender Angaben, die Koordination der Reviewer, die Erstellung von Berichten, die Nachverfolgung offener Maßnahmen oder die Vorbereitung einer Entscheidung betreffen.
An diesen konkreten Arbeitsschritten sollten AI-Funktionen ansetzen. Maßgeblich ist nicht die Wirkung einer technischen Demonstration, sondern die Frage, ob eine Funktion einen bestehenden Governance-Prozess verlässlich unterstützt und den damit verbundenen Aufwand reduziert.
Fazit
Die Integration von AI in Governance-Plattformen setzt voraus, dass das eingesetzte System innerhalb eines verlässlichen Unternehmenskontexts arbeitet und nur kontrollierte Aktionen ausführen kann.
Ailance verfügt mit strukturierten Governance-Objekten, fachlichen Beziehungen, Rollen, Berechtigungen, Workflows, Entscheidungen und Nachweisen über wesentliche Grundlagen für eine entsprechende Weiterentwicklung.
Auf dieser Basis können künftig kontextbezogene AI-Funktionen, kontrollierte Agentenaktionen und standardisierte Werkzeuge wie MCP-Tools aufgebaut werden. Dabei ist zwischen der unterstützenden Aufbereitung von Informationen und solchen Aktionen zu unterscheiden, die einer verantwortlichen menschlichen Rolle vorbehalten bleiben.
Ziel der Weiterentwicklung ist daher nicht allein ein zusätzlicher Chatbot. Ailance soll als Governance- und Aktionsschicht unterschiedliche AI-Systeme mit dem Unternehmenskontext verbinden und dabei die in der Plattform geregelten Rollen, Berechtigungen und Prozessvoraussetzungen berücksichtigen.
Eine AI darf innerhalb eines Unternehmensprozesses nicht allein deshalb handeln, weil eine Aktion technisch möglich ist. Maßgeblich ist, ob Rolle, Berechtigung, Kontext und Prozess die jeweilige Handlung zulassen.
Fragen und Antworten
Wie kann AI sicher in Governance-Plattformen wie Ailance integriert werden?
AI kann sicher in Governance-Plattformen integriert werden, wenn sie nicht pauschal auf Dokumente zugreift, sondern innerhalb eines strukturierten, aktuellen und berechtigungsgesteuerten Unternehmenskontexts arbeitet. Entscheidend sind klare Governance-Objekte, Rollen, Berechtigungen, Prozessstatus, Human Oversight und ein nachvollziehbarer Audit Trail.
Was ist eine Kontextschicht in AI Governance?
Eine Kontextschicht stellt einer AI die für den jeweiligen Vorgang relevanten Governance-Daten bereit. Dazu gehören Verarbeitungstätigkeiten, KI-Use-Cases, Risiken, Maßnahmen, Freigaben, Rollen, Berechtigungen und aktuelle Prozessstände. Dadurch kann die AI Antworten und Vorschläge nicht nur aus Dokumenten, sondern aus dem fachlichen Zusammenhang ableiten.
Was ist eine Aktionsschicht für AI-Agents?
Eine Aktionsschicht stellt klar definierte Funktionen bereit, die ein AI-Agent innerhalb festgelegter Prozessgrenzen ausführen darf. Dazu können das Anlegen eines Vorgangs, das Erzeugen einer Aufgabe, das Starten eines Reviews oder das Vorbereiten einer Eskalation gehören. Welche Aktion zulässig ist, muss sich nach Rolle, Berechtigung, Prozessstatus und erforderlicher menschlicher Bestätigung richten.
Welche Rolle spielt MCP für Governance-Plattformen?
Das Model Context Protocol, kurz MCP, kann AI-Systemen einen standardisierten Zugriff auf freigegebene Daten und Funktionen ermöglichen. Für Governance-Plattformen ist dabei entscheidend, dass ein Agent keinen pauschalen Zugriff erhält, sondern nur klar begrenzte Werkzeuge nutzen darf. In Ailance könnte MCP dazu dienen, Governance-Kontext und kontrollierte Aktionen für unterschiedliche AI-Assistenten oder AI-Agents bereitzustellen.
Darf ein AI-Agent in einer Governance-Plattform selbst Entscheidungen treffen?
Ein AI-Agent sollte keine Entscheidungen unbemerkt treffen, die einer verantwortlichen menschlichen Rolle vorbehalten sind. Er kann Informationen strukturieren, fehlende Angaben erkennen, Entscheidungsvorlagen vorbereiten oder Reviews anstoßen. Freigaben, Risikoakzeptanzen und andere verantwortliche Entscheidungen sollten jedoch nur erfolgen, wenn Rolle, Berechtigung, Prozessstatus und Human Oversight dies ausdrücklich zulassen.
Welche Governance-Daten braucht AI für belastbare Unterstützung?
Für belastbare AI-Unterstützung braucht eine Governance-Plattform strukturierte und aktuelle Daten zu Governance-Objekten, Rollen, Berechtigungen, Risiken, Maßnahmen, Freigaben, Prüfungen, Fristen, Prozessständen und Nachweisen. Je besser diese Informationen gepflegt und miteinander verbunden sind, desto zuverlässiger kann eine AI bei Zusammenfassungen, Prüfungen, Berichten und kontrollierten Aktionen unterstützen.
German 
English 
Italian 
French