KI-Produktmanagement · Branchen-Briefing

Im Januar 2026 schlug das US-Gesundheitsministerium die Regel HTI-5 vor, die Transparenzanforderungen für klinische KI-Systeme in elektronischen Patientenakten abschwächen würde. Die Regel würde die Offenlegung von 31 standardisierten Quellattributen streichen, darunter Trainingsdatenzusammensetzung, Fairness-Tests, externe Validierung und Wartungspläne, sowie Anforderungen für Interventionsrisikomanagement. Diese Kriterien waren bislang das einzige föderale Transparenzmandatfür klinische KI in zertifizierten elektronischen Gesundheitssystemen, die über 96 Prozent der US-Krankenhäuser unterstützen. Der Artikel kritisiert die geplante Rollback und argumentiert, dass Transparenzanforderungen nicht primär als Papierkram für Kliniker gedacht waren, sondern als institutionelle Governance-Infrastruktur für Krankenhauseinkäufer, Compliance-Teams und Qualitätskomitees. Eine Beibehaltung der maschinenlesbaren Source-Attribute-Offenlegungen würde mit dem KI-Risikomanagement-Framework des National Institute of Standards and Technology und den Post-Deployment-Überwachungsfragen der FDA übereinstimmen.

Die EU-KI-Regulierung tritt am Sonntag in Kraft und wird durch ein spezialisiertes Durchsetzungsteam in Brüssel überwacht. Ab dem 2. August 2026 müssen Anbieter KI-generierte Inhalte, die echte Personen, Orte oder Ereignisse nachahmen, durch sichtbare Labels oder Wasserzeichen kennzeichnen. Das EU-KI-Büro erhält erweiterte Befugnisse zur Kontrolle großer Sprachmodelle, kann technische Informationen verlangen und Sicherheitsbewertungen durchführen; bei Verstößen drohen Bußgelder bis zu drei Prozent des weltweiten Jahresumsatzes und im schlimmsten Fall die Entfernung von KI-Modellen vom Markt. Für Produktmanagement bedeutet dies erhöhte Governance-Anforderungen über Sicherheit, Compliance und technische Modellpflege hinweg. Hochrisiko-KI-Systeme erhalten eine verlängerte Frist bis zum 2. Dezember 2027, Produkte nach Anhang I bis August 2028. Das EU-KI-Büro beschäftigt derzeit 71 Mitarbeiter und erhielt am Freitag 38 zusätzliche Kräfte; bis 2030 werden etwa 160 Mitarbeiter benötigt. Die Behörde reagiert auf systemische Risiken und gemeldete Sicherheitsvorfälle, darunter Hackerangriffe mit Anthropic- und OpenAI-Modellen, sowie auf die digitale Abhängigkeit Europas, von dem über 80 Prozent der digitalen Produkte von Anbietern außerhalb der EU stammen.

Staaten entwickeln unterschiedliche Governance-Modelle für den Betrieb von KI-Systemen in der Verwaltung. Während zentrale Teams (CIO-Büros, Emerging Technology Offices) anfangs Standards setzen und Genehmigungsprozesse kontrollieren, verlagert sich die Verantwortung nach dem Live-Betrieb auf einzelne Agenturen – ein Handoff-Modell, das von Staat zu Staat variiert. Maryland, Kalifornien und Pennsylvania zeigen unterschiedliche Ansätze: Maryland fordert ein Intake-Verfahren vor dem Deployment, Kalifornien etabliert zentrale Policy mit dezentraler operativer Verantwortung, Pennsylvania nutzt multidisziplinäre Überprüfungsprozesse mit beteiligten Governance Boards. Ein zentrales Governance-Problem ist die fehlende klare operative Verantwortlichkeit: Experten warnen vor "diffusion of responsibility", wenn keine einzelne Person konkret für Monitoring, Performance und Fehlerbehandlung verantwortlich ist. Zusätzlich kompliziert wird dies durch eingebettete KI-Funktionen in bestehender Software, die ohne explizite KI-Beschaffung in Systeme gelangen – 94% der State CISOs entwickeln bereits GenAI-Sicherheitsrichtlinien. Nach aktuellen Daten haben 98% der US-Staaten nun generative-AI-Policies implementiert und 44+ Staaten haben KI-Officer etabliert, doch die nächste Herausforderung liegt in klarer Zuständigkeit für System-Ownership, Performance-Monitoring und Entscheidungen über Ausweitung oder Abschaltung von KI-Tools.

Microsoft hat die allgemeine Verfügbarkeit der Governance-Funktion in der Quality Management Agent für Dynamics 365 Customer Service angekündigt. Die Funktion überprüft ausgehende E-Mails – ob von Agenten oder KI generiert – gegen geschäftlich definierte Richtlinien vor dem Versand und erweitert die Kontrolle nun auch auf textbasierte Anhänge wie PDFs und Word-Dokumente. Organisationen können Durchsetzungsstufen (niedrig bis sehr hoch) konfigurieren und zwischen Markierung oder Blockierung von Policy-Verstößen wählen, um Compliance-Risiken zu reduzieren und Konsistenz in menschlichen und KI-generierten Kundenkommunikationen sicherzustellen.