KI-Produktmanagement · Branchen-Briefing

Banken können ihre KI-Governance derzeit nicht im Audit nachweisen, weil die Datenschicht für eine durchsetzbare Klassifizierung fehlt. Eine Erhebung von Hitachi Vantara unter 100 Entscheidern aus dem Finanzsektor zeigt: Während 30 Prozent Datensouveränität und richtliniengesteuerte Governance als zweithöchste strategische Priorität nennen, priorisieren nur 9 Prozent einen zentralen Data-Hub-Layer für Governance. Das Problem verschärft sich durch hybride On-premises- und Cloud-Umgebungen (38 Prozent der Institute), in denen Richtlinien manuell abgebildet werden und nicht synchron nachgeführt werden – es entsteht Policy-Drift. Besonders kritisch: Bei RAG-Pipelines gehen Klassifizierungs-Metadaten verloren, wenn Quelldokumente in Chunks zerlegt und in Vektorindizes überführt werden. DORA (Artikel 9) verlangt hohe Standards für Datenintegrität im Ruhezustand, bei Nutzung und Übertragung; der EU AI Act (Artikel 12) fordert ab August 2026 automatische Aufzeichnung von Ereignissen über die Lebensdauer von Hochrisiko-Systemen wie Kreditwürdigkeitsprüfung. Die technischen Regulierungsstandards erfordern Synchronisation mit dokumentierter Zeitquelle und risikobasierte Aufbewahrungsfristen. Zwischen diesen Anforderungen und der vorhandenen Protokollierungsebene klafft eine Lücke: Die Norm verlangt nachweisbare Unveränderlichkeit von Audit-Logs, die Standardarchitektur liefert aber nur Protokollierung, die nachträglich unbemerkt verändert werden könnte. Governance-Automation muss als Betriebsvoraussetzung bereits vor dem produktiven Einsatz implementiert sein – eine nachträgliche Nachrüstung ist nicht möglich.

Der Artikel behandelt die Rolle von Product Lifecycle Management (PLM) bei der Governance von KI-gestützten Produkten in regulierten Branchen. Die Kernthese ist, dass PLM-Systeme erweitert werden müssen, um KI-Artefakte wie Modelle, Trainingsdaten und Inferenz-Pipelines einzubeziehen und sie mit der gleichen Engineering-Disziplin wie traditionelle Komponenten zu gouvernieren. Der Autor argumentiert, dass bestehende Technologien wie Digital Thread, Digital Twins und Systems Engineering die notwendige Grundlage bieten, um KI-Produkte in sicherheitskritischen Industrien wie Medizintechnik, Luftfahrt und Energie verantwortungsvoll einzuführen. Die zentrale Anforderung für regulierte Industrien ist die durchgehende Rückverfolgbarkeit von Anforderungen über Validierungsbelege bis zur Bereitstellung, um Sicherheit, Erklärbarkeit und Vertrauenswürdigkeit über den gesamten Produktlebenszyklus zu gewährleisten.

3E, ein führendes Softwareunternehmen für Produktcompliance, hat die ISO/IEC 42001:2023-Zertifizierung für sein AI Management System (AIMS) erhalten und ist damit das erste große Unternehmen in der Produktcompliance- und EHS&S-Branche mit dieser Zertifizierung. Die ISO 42001 ist der erste internationale Management-Standard für künstliche Intelligenz und definiert Anforderungen für die Governance, Entwicklung, Bereitstellung und kontinuierliche Überwachung von KI-Systemen. Die unabhängige Audit-Validierung durch Prescient Security deckt die vollständige KI-Lifecycle ab, von Datenbeschaffung und Modellentwicklung über Deployment bis zur kontinuierlichen Überwachung, und positioniert 3E als eines der wenigen hundert Organisationen weltweit, die diese Zertifizierung bisher erreicht haben.