Sicherheits- und Governance-Kontrollen für Negotiation Intelligence

Die Sicherheit von Negotiation Intelligence erfordert fünf miteinander verbundene Kontrollebenen: Vertraulichkeit, Berechtigungen, Nachvollziehbarkeit, Aufbewahrung und menschliche Freigabe. Zusammen schützen sie sensible Eingaben – etwa Lieferantenangebote, Kostenmodelle, Verträge, Ausgabenanalysen und Verhandlungsmandate – und regeln, wie Empfehlungen zu kommerziellen Maßnahmen werden.

Das praktische Ziel ist nicht, ein System autonom verhandeln zu lassen. Vielmehr soll Negotiation Intelligence als Entscheidungshilfe mit hoher Sensibilität innerhalb klar definierter Befugnisse eingesetzt werden. Die Beschaffung bleibt für Positionen, Zugeständnisse, die Kommunikation mit Lieferanten und Verpflichtungen verantwortlich, während die Teams für Sicherheit, Recht, Compliance und Records Management die Datennutzung und Nachweise steuern.

Kurzantwort

Zu den erforderlichen Kontrollen gehören Datenklassifizierung und Verschlüsselung, Zugriff nach dem Prinzip der geringsten Berechtigung und mit zeitlicher Begrenzung, nachvollziehbare Quellen, Prompts, Versionen, Änderungen und Freigaben, eine artefaktspezifische Aufbewahrung mit belastbarer Löschung sowie eine verpflichtende menschliche Freigabe von Angeboten, Zugeständnissen, Erklärungen, Vertragsbedingungen und Ausnahmen. Diese Kontrollen bilden eine empfohlene Basis für die Sicherheit von Verhandlungsdaten und die KI-Governance für Verhandlungen – keine allgemeingültige gesetzliche Checkliste.

Warum Verhandlungsdaten stärker geschützt werden müssen als gewöhnliche Analysedaten

Negotiation Intelligence kombiniert Informationen, die Unternehmen häufig getrennt schützen:

• Ausgaben, Mengen und Preisverläufe
• Lieferantenangebote und Kostenaufschlüsselungen
• Vertragsbedingungen und Verlängerungstermine
• Informationen zu Lieferantenleistung und -risiken
• Interne Budgets, Zielwerte und Prognosen
• Rückzugspositionen und Grenzen für Zugeständnisse
• Alternative Lieferanten und Wechselkosten
• KI-generierte Zusammenfassungen, Bewertungen und Empfehlungen

Durch die Kombination dieser Quellen können abgeleitete Informationen entstehen, die sensibler sind als jeder einzelne Datensatz. Ein Modell könnte die wahrscheinliche Marge eines Lieferanten ableiten, die Rückfallposition der Beschaffung erkennen oder bei einer anderen Beschaffung die vertraulichen wirtschaftlichen Informationen eines Lieferanten offenlegen.

Das Löschen des Originaldokuments beseitigt das Risiko nicht unbedingt. Seine Inhalte können in einer Zusammenfassung, einem Embedding, Cache, exportierten Briefing, Modelltrainingsdatensatz oder Prüfprotokoll erhalten bleiben. Die Sicherheit von Verhandlungsdaten muss daher sowohl das Ausgangsmaterial als auch abgeleitete Informationen umfassen.

Unternehmen, die eine umfassendere Lieferantenintelligenz aufbauen, finden unter supplier negotiation intelligence Informationen zum unterstützten Workflow. Zur Nachvollziehbarkeit von Entscheidungen über eine einzelne Verhandlung hinaus siehe procurement decision intelligence.

Das Governance-Prinzip: Bewertung und Verpflichtung trennen

Negotiation Intelligence kann Optionen bewerten, Annahmen prüfen, Nachweise ordnen und Fragen vorschlagen. Analysen dürfen jedoch nicht unbemerkt in Verpflichtungen umgewandelt werden.

Aus dieser Unterscheidung ergeben sich drei Arbeitsbereiche:

1. Analyse: Das System kann Ausgaben zusammenfassen, Angebote vergleichen, Szenarien berechnen und fehlende Nachweise innerhalb genehmigter Zugriffsgrenzen kennzeichnen.
2. Empfehlung: Das System kann Verhandlungspositionen oder Paketangebote vorschlagen, muss aber Quellen, Annahmen, Unsicherheiten und fehlende Eingaben kenntlich machen.
3. Verpflichtung: Eine befugte Person muss jedes Angebot, Zugeständnis, jede Erklärung, Vertragsänderung oder bindende Entscheidung genehmigen und kommunizieren.

Eine nominelle Prüfung reicht nicht aus. Eine menschliche Freigabe ist nur dann sinnvoll, wenn die prüfende Person die Nachweise versteht, befugt ist, genügend Zeit für die Bewertung hat und die Empfehlung ablehnen oder ändern kann. Das NIST AI Risk Management Framework 1.0 fordert, Prozesse für menschliche Aufsicht festzulegen, zu bewerten und zu dokumentieren.

Wiederverwendbare Governance-Kontrollmatrix

Die folgende Matrix ist eine empfohlene Basis. Jedes Unternehmen sollte sie an seine Rechtsordnungen, Verträge, Branchen, Datentypen und Risikobereitschaft anpassen.

Diese Matrix macht aus Richtlinien überprüfbare Fragen: War der Benutzer berechtigt? Waren die Quellen zulässig? Welches Modell hat die Empfehlung erstellt? Wer hat sie geprüft? Was wurde tatsächlich versendet? Wann muss jede Kopie gelöscht werden?

1. Vertraulichkeit: den gesamten Verhandlungskontext schützen

Verschlüsselung ist notwendig, reicht aber nicht aus. Vertraulichkeit erfordert auch Trennung und Nutzungsbeschränkungen.

Ein praktikables Klassifizierungsschema sollte mindestens unterscheiden zwischen:

• Öffentlichen Informationen
• Internen Informationen
• Vertraulichen Unternehmensinformationen
• Vertraulichen Lieferanteninformationen
• Personenbezogenen Daten
• Rechtlich geschütztem Material
• Geschäftsgeheimnissen
• Exportkontrollierten oder anderweitig regulierten Informationen

Die Klassifizierung muss mit den Daten mitgeführt werden. Wenn ein Lieferantenangebot Benchmarking oder Wiederverwendung untersagt, darf eine daraus abgeleitete Zusammenfassung diese Einschränkung nicht allein deshalb verlieren, weil sie dem Quelldokument nicht mehr ähnelt.

Nach der Definition des US-Bundesrechts muss ein Geschäftsgeheimnis angemessenen Maßnahmen zu seiner Geheimhaltung unterliegen und seinen Wert daraus beziehen, dass es allgemein nicht bekannt ist (18 U.S.C. § 1839). Zugriffsbeschränkungen, Vertraulichkeitsbedingungen und kontrollierte Offenlegung können solche Maßnahmen unterstützen, garantieren jedoch keinen rechtlichen Schutz.

Fragen zur Vertraulichkeit bei der Anbieterprüfung

• Können Administratoren Lieferanten, Vorgänge, Kategorien und Geschäftsbereiche voneinander trennen?
• Sind Prompts, Transkripte, Embeddings, Backups und Exporte verschlüsselt?
• Können Kundendaten vom Modelltraining und von der Wiederverwendung für andere Kunden ausgeschlossen werden?
• Welche Unterauftragsverarbeiter erhalten Daten und an welchen Standorten?
• Können Benutzer Inhalte in nicht genehmigte Modelle einfügen oder einen gesamten Workspace exportieren?
• Gelten Lieferantenbeschränkungen auch für Zusammenfassungen und Empfehlungen?

Negotiations.AI ist nur im konkreten Workflow relevant, in dem ein Beschaffungsteam genehmigte Lieferantendokumente, Ausgabennachweise und Annahmen zu Kostenmodellen in einen kontrollierten Vorbereitungs-Workspace einbringt. Das Unternehmen sollte dennoch die vertragliche Datenverarbeitung, technische Trennung, Zugriffskontrollen und Freigabenachweise prüfen, statt allein aus dem Workflow auf Sicherheit zu schließen.

2. Berechtigungen: Zugriff nach Vorgang und Zweck gewähren

Berechtigungen sollten zwei getrennte Fragen beantworten:

1. Darf dieser Benutzer oder Dienst auf die Quelle zugreifen?
2. Darf er die Quelle für diesen Zweck verwenden?

Eine Category Analystin darf möglicherweise das Angebot eines Lieferanten für eine aktive Unternehmensverhandlung einsehen, es aber nicht zum Training eines allgemeinen Modells, zum Aufbau eines externen Benchmarks oder zur Unterstützung der Verhandlung eines anderen Geschäftsbereichs verwenden.

Das NIST Cybersecurity Framework 2.0 fordert, Berechtigungen nach Grundsätzen wie der geringsten Berechtigung und Funktionstrennung festzulegen, durchzusetzen und zu überprüfen. NIST definiert least privilege als die Beschränkung des Zugriffs auf die Mindestressourcen und -berechtigungen, die für die zugewiesene Arbeit erforderlich sind.

Wenden Sie dieses Prinzip auf Personen, Dienstkonten, Konnektoren, Abrufwerkzeuge, Modelladministratoren und Massenexportfunktionen an. Überprüfen Sie Berechtigungen nach Rollenwechseln erneut und schließen Sie veraltete Konten umgehend.

3. Nachvollziehbarkeit: eine Entscheidungskette statt nur eines Chatprotokolls bewahren

Ein Transkript allein kann eine wesentliche Empfehlung nicht erklären. Eine wirksame Nachvollziehbarkeit sollte Folgendes miteinander verknüpfen:

Quelle → Abruf → Prompt oder Workflow → Modell und Konfiguration → Ausgabe → menschliche Änderungen → Freigabe → Lieferantenkommunikation → kommerzielle Maßnahme

Wenn sich beispielsweise eine Empfehlung aus einem Kostenmodell nach einer Indexaktualisierung ändert, sollte der Datensatz die Indexquelle, ihr Gültigkeitsdatum, die verwendete Formel, die Modellversion, jede manuelle Anpassung, die freigebende Person und die daraus resultierende Position ausweisen.

NIST SP 800-53 Revision 5 enthält Kontrollfamilien zu Zugriffskontrolle, Audit und Rechenschaftspflicht, Identifizierung, Mediensicherheit, Systemintegrität und Datenschutz. Die ergänzende Veröffentlichung zur Bewertung, NIST SP 800-53A Revision 5, enthält Verfahren zur Prüfung, ob Kontrollen umgesetzt und wirksam sind.

Auch Protokolle müssen zugriffsbeschränkt und gegen Manipulation geschützt sein. Sie können das Unternehmen schützen, indem sie Entscheidungen rekonstruierbar machen, können aber auch Gegenstand von Audits, Untersuchungen oder Offenlegungspflichten werden. Dokumentieren Sie die erforderlichen Entscheidungsnachweise, ohne unnötige Spekulationen festzuhalten.

4. Aufbewahrung: jedes Artefakt separat planen

Es gibt keine allgemeingültige Aufbewahrungsfrist für alle Verhandlungsunterlagen. Die richtige Frist hängt von geltendem Recht, Verträgen, Records-Richtlinien, Rechtsstreitigkeiten oder Untersuchungssperren sowie dem geschäftlichen Bedarf ab.

Legen Sie nicht für alles eine pauschale Frist fest. Erstellen Sie Aufbewahrungspläne für:

• Quelldokumente
• Aufzeichnungen und Transkripte von Besprechungen
• Prompts und abgerufene Textpassagen
• Generierte Empfehlungen
• Menschliche Änderungen und Freigaben
• Tatsächlich versendete Nachrichten und Angebote
• Modell- und Konfigurationsdatensätze
• Audit- und Sicherheitsprotokolle
• Embeddings, Caches und Backups
• Fine-Tuning- oder Evaluierungsdatensätze

Soweit die DSGVO gilt, müssen personenbezogene Daten auf das Notwendige beschränkt, nicht länger als erforderlich aufbewahrt und vor unbefugter Verarbeitung, Verlust oder Beschädigung geschützt werden (Regulation 2016/679).

Der EU AI Act enthält Anforderungen an technische Dokumentation, Protokollierung und menschliche Aufsicht für als Hochrisiko eingestufte Systeme. Protokolle, die der Kontrolle des Anbieters oder Betreibers unterliegen, müssen grundsätzlich mindestens sechs Monate aufbewahrt werden, sofern nicht ein anderes geltendes Gesetz etwas anderes vorsieht. Ein gewöhnliches Beschaffungstool gilt nicht allein deshalb als Hochrisiko, weil es KI verwendet; die Einstufung hängt vom vorgesehenen Zweck und Einsatz ab (Regulation 2024/1689).

5. Menschliche Freigabe: kommerzielle Befugnisse Menschen vorbehalten

Für Folgendes muss eine verantwortliche Person zwingend ihre Freigabe erteilen:

• Eröffnungspositionen, Rückzugspositionen und die gesamte Verhandlungsbefugnis
• Zugeständnisse bei Preis, Volumen, Exklusivität, Haftung, Freistellung, geistigem Eigentum und Vertraulichkeit
• Sachliche oder rechtliche Erklärungen gegenüber einem Lieferanten
• Vertragsannahmen und bindende Verpflichtungen
• Verwendung personenbezogener, rechtlich geschützter, vertraulicher Wettbewerberinformationen oder Informationen aus unsicheren Quellen
• Lieferantenauswahl oder -ausschluss mit wesentlichen Folgen
• Ausnahmen von Kontrollen und Sonderzugriffe
• Vorfallmeldungen und Kommunikation mit Lieferanten
• Rechtliche Aufbewahrungssperren, Ausnahmen von Aufbewahrungsfristen und endgültige Löschung

Das System darf Szenarien innerhalb eines Mandats berechnen. Es darf das Mandat nicht erweitern, eine Grenze nicht als optional umdeuten und keine Position ohne genehmigte Freigabe kommunizieren.

Zur Gestaltung von Workflows siehe Design Human Approval Into an AI Negotiation Platform. Zur umfassenderen Zuweisung von Entscheidungsrollen siehe Define Decision Roles for Cross-Functional Negotiations.

Hypothetisches Beispiel: einen Lieferantenzuschlag prüfen

Hypothetisches Beispiel – kein Nachweis und kein Benchmark.

Ein Hersteller erhält von einem Verpackungslieferanten die Forderung nach einem Zuschlag. Die Beschaffung lädt den aktuellen Vertrag, historische Rechnungen, Mengenprognosen, die Korrespondenz mit dem Lieferanten und ein internes Kostenmodell in einen genehmigten Negotiation-Intelligence-Workflow.

Das System erkennt eine Abweichung zwischen dem vom Lieferanten geltend gemachten Zeitraum für Inputkosten und dem Indexierungszeitraum des Vertrags. Es schlägt Fragen vor und berechnet Szenarien. Die Governance-Kontrollen greifen wie folgt:

1. Vertraulichkeit: Die Kostenaufschlüsselung des Lieferanten wird als vertraulich gekennzeichnet und bleibt von den Workspaces anderer Lieferanten getrennt.
2. Berechtigungen: Die Category Managerin kann sie prüfen, ein nicht beteiligter Geschäftsbereich hingegen nicht. Eine Kostenanalystin erhält zeitlich begrenzten Zugriff, der automatisch abläuft.
3. Herkunftsnachweis: Jeder Indexwert ist mit seiner Quelle und seinem Gültigkeitsdatum verknüpft. Ein ungeprüfter Marktkommentar wird als Annahme gekennzeichnet.
4. Nachvollziehbarkeit: Das System dokumentiert die Modellversion, die Formel, die abgerufene Vertragsklausel, die Korrektur der Analystin und das endgültige genehmigte Szenario.
5. Aufbewahrung: Quelldateien, Ausgaben und Protokolle folgen jeweils eigenen Aufbewahrungsplänen. Eine spätere rechtliche Aufbewahrungssperre setzt die Löschung aus, soweit erforderlich.
6. Menschliche Freigabe: Die Category Directorin genehmigt die Verhandlungsspanne. Die Rechtsabteilung prüft eine vorgeschlagene Vertragsauslegung. Die verhandelnde Person überprüft die Fakten und versendet die Nachricht.

Das System verbessert die Vorbereitung, erhält aber keine Befugnis, eine Erklärung abzugeben, ein Zugeständnis zu gewähren oder den Zuschlag anzunehmen.

Nachweispaket: Was ein Auditor prüfen können sollte

Führen Sie für jede wesentliche Beschaffungsverhandlung ein kompaktes Nachweispaket:

Datennachweise

• Daten- und Systeminventar einschließlich Caches, Embeddings und Backups
• Klassifizierungs- und Herkunftsnachweise
• Vertraulichkeits- und Nutzungsbeschränkungen der Lieferanten
• Unterauftragsverarbeiter, Datenstandorte und Trainingseinstellungen des Anbieters

Zugriffsnachweise

• Verzeichnis von Benutzern, Rollen und Dienstkonten
• Zugriffsgenehmigungen und Ablaufdaten
• Ergebnisse regelmäßiger Rezertifizierungen
• Protokolle zu privilegiertem Zugriff und Exporten

Entscheidungsnachweise

• Menschlich genehmigtes Verhandlungsmandat
• Befugnismatrix und Grenzen für Zugeständnisse
• Kennungen der Quelldokumente
• Klar gekennzeichnete Annahmen und Schätzungen
• Versionen von Modell, Prompt-Vorlage, Abruf und Konfiguration
• Prüf-, Änderungs- und Freigabenachweise für Ausgaben
• Tatsächlich versendete externe Nachricht oder tatsächlich abgegebenes Angebot

Kontrollnachweise

• Tests zur Integrität und Abdeckung von Audit-Protokollen
• Testergebnisse zu Datenabfluss, Prompt Injection und Rechteausweitung
• Aufbewahrungsplan, Löschungsnachweise und rechtliche Aufbewahrungssperren
• Aufzeichnungen zu Vorfällen, Beinahevorfällen und nicht autorisierten Ausgaben

Ein sinnvoller Praxistest ist die Rekonstruktion: Kann eine unabhängige prüfende Person feststellen, welche Nachweise zu einer wesentlichen Empfehlung geführt haben, welche Unsicherheiten bestanden, wer sie genehmigt hat und welche Maßnahme darauf folgte?

Checkliste für Kontrollen vor der Freigabe

Bevor Negotiation Intelligence für laufende Beschaffungsvorgänge aktiviert wird, ist Folgendes zu bestätigen:

• Jede Datenquelle hat eine verantwortliche Person, eine Klassifizierung, einen zulässigen Zweck und eine Ablaufregel.
• Lieferantenbeschränkungen gelten auch für abgeleitete Zusammenfassungen, Embeddings und Empfehlungen.
• Benutzer und Dienste erhalten nach Vorgang und Zweck nur die geringsten erforderlichen Berechtigungen.
• Privilegierter Zugriff ist zeitlich begrenzt, wird protokolliert und unabhängig überprüft.
• Ausgaben unterscheiden zwischen verifizierten Fakten, Annahmen, Schätzungen und Empfehlungen.
• Wesentliche Ausgaben zeigen Quellen, Unsicherheiten und fehlende Informationen.
• Protokolle verknüpfen Eingaben, Versionen, Änderungen, Freigaben, Offenlegungen und Maßnahmen.
• Die Aufbewahrung umfasst Prompts, Ausgaben, Aufzeichnungen, Caches, Backups und Vektorspeicher.
• Rechtliche Aufbewahrungssperren setzen die reguläre Löschung aus, soweit erforderlich.
• Das System kann ohne gesonderte Genehmigung keine Angebote versenden, Bedingungen annehmen oder operative Systeme ändern.
• Änderungen an Modellen und Konnektoren werden risikobasiert getestet und genehmigt.
• Die Reaktion auf Vorfälle kann betroffene Datensätze identifizieren und Zugriffe schnell widerrufen.
• Eine befugte Person kann jede wesentliche Empfehlung hinterfragen, stoppen oder ändern.

Fakten, Annahmen, Schätzungen und Empfehlungen getrennt ausweisen

Eine solide KI-Governance für Verhandlungen hängt von einer disziplinierten Kennzeichnung der Nachweise ab.

Verifizierte Fakten

Die zitierten NIST-Veröffentlichungen beschreiben Kontrollen und Governance-Praktiken für Zugriff, Auditierbarkeit, Risikomanagement und menschliche Aufsicht. Die zitierte DSGVO, der EU AI Act und das US-Gesetz stützen die oben genannten konkreten rechtlichen Aussagen.

Annahmen

Dieser Leitfaden geht davon aus, dass Negotiation Intelligence vertrauliche Informationen zu Beschaffung, Preisen, Verträgen, Ausgaben oder Lieferantenleistung verarbeitet und Entscheidungen unterstützt, statt Vereinbarungen eigenständig auszuführen.

Schätzungen

Hier werden keine Aufbewahrungsfristen, Prüfintervalle oder Freigabeschwellen geschätzt. Solche Werte lassen sich ohne Kenntnis der Verträge, Rechtsordnungen, Risikokontexte und Aufbewahrungspflichten des Unternehmens nicht verantwortungsvoll verallgemeinern.

Empfehlungen

Die Governance-Matrix, das Nachweispaket, das Trennungsmodell und die Liste der verpflichtenden Freigaben sind empfohlene Kontrollen, die aus maßgeblichen Rahmenwerken abgeleitet wurden. Sie sind nicht alle für jedes Unternehmen oder nach jedem Gesetz vorgeschrieben.

Grenzen und Fälle, die zusätzliche Prüfung erfordern

Diese Basis beantwortet nicht jede Governance-Frage.

• Die DSGVO gilt nur innerhalb ihres sachlichen und räumlichen Anwendungsbereichs.
• Die zitierten Bestimmungen des EU AI Act gelten nur, wenn die entsprechende Einstufung und die damit verbundenen Pflichten greifen.
• NIST-Rahmenwerke sind grundsätzlich freiwillig, sofern sie nicht durch Gesetz, Verordnung, Vertrag oder Unternehmensrichtlinie übernommen werden.
• Branchenvorschriften, öffentliche Aufträge, Exportkontrollen, Wettbewerbsrecht, Arbeitsrecht, rechtliche Privilegien und Lieferantenverträge können zusätzliche Beschränkungen vorsehen.
• Lieferantenintelligenz, die die Bewertung natürlicher Personen umfasst, kann über gewöhnliche kommerzielle Analysen hinausgehende Risiken schaffen.
• Ein System, das Transaktionen autonom ausführt, Lieferanten auswählt oder Verträge ändert, benötigt zusätzliche Kontrollen über diese Basis für Entscheidungshilfen hinaus.
• Verschlüsselung und Protokollierung heilen weder eine rechtswidrige Quelle noch eine unzulässige Nutzung oder nicht autorisierte Offenlegung.

Sicherheitsteams sollten außerdem das Vorhandensein einer Kontrolle nicht als Beweis ihrer Wirksamkeit behandeln. Prüfen Sie, ob die Trennung funktioniert, ob gelöschte Informationen in abgeleiteten Speichern verbleiben und ob Prüfende eine Maßnahme tatsächlich stoppen können.

FAQ

Welche Vertraulichkeitskontrollen sind für die Sicherheit von Negotiation Intelligence erforderlich?

Verwenden Sie Klassifizierung, Verschlüsselung, die Trennung von Lieferanten und Vorgängen, Exportbeschränkungen sowie vertragliche Kontrollen gegen nicht autorisiertes Training, Telemetrie oder Wiederverwendung. Wenden Sie Beschränkungen sowohl auf abgeleitete Informationen als auch auf Quelldokumente an. Eine datenverantwortliche Person sollte externe Offenlegung, Verarbeitung durch Anbieter und jede Nutzung außerhalb des ursprünglichen Zwecks genehmigen.

Was sollte für die Sicherheit von Verhandlungsdaten protokolliert werden?

Protokollieren Sie Benutzer, Zeitpunkt, Vorgang, Quelldokumente, abgerufene Textpassagen, Prompt oder Workflow, Modell- und Konfigurationsversion, Ausgabe, Änderungen, Freigabe, externe Offenlegung und daraus folgende Maßnahme. Schützen Sie Protokolle vor Manipulation und beschränken Sie den Zugriff darauf.

Wie lange sollten Unterlagen zu Negotiation Intelligence aufbewahrt werden?

Es gibt keine allgemeingültige Frist. Legen Sie Fristen nach Artefakttyp und geltenden rechtlichen, vertraglichen, betrieblichen, Audit- und Aufbewahrungspflichten fest. Berücksichtigen Sie Aufzeichnungen, Prompts, Ausgaben, Embeddings, Caches, Backups, Modelldatensätze und Audit-Protokolle – nicht nur hochgeladene Dokumente.

Welche Maßnahmen erfordern immer die verantwortliche menschliche Freigabe?

Eine befugte Person sollte Mandate, Rückzugspositionen, Angebote, Zugeständnisse, Erklärungen gegenüber Lieferanten, Vertragsbedingungen, die Nutzung sensibler Daten, Kontrollausnahmen, Vorfallmeldungen, rechtliche Aufbewahrungssperren und endgültige Löschungen genehmigen. Die prüfende Person muss die Maßnahme verstehen, hinterfragen und stoppen können.

Ist die KI-Governance für Verhandlungen ausschließlich Aufgabe der Sicherheitsabteilung?

Nein. Die Sicherheitsabteilung schützt Systeme und Zugriffe, aber die Beschaffung verantwortet die kommerziellen Befugnisse; Datenverantwortliche steuern die Nutzung; Recht und Compliance bewerten Beschränkungen; Records-Teams regeln die Aufbewahrung; und Systemverantwortliche steuern Änderungen. Wirksame Governance weist jede Entscheidung einer namentlich benannten, verantwortlichen Rolle zu.

Weiterführende Literatur

• NIST Cybersecurity Framework 2.0
• NIST AI Risk Management Framework 1.0
• NIST SP 800-53 Revision 5
• EU General Data Protection Regulation
• EU Artificial Intelligence Act

Haftungsausschluss: Dieser Artikel enthält allgemeine Informationen zu Governance und stellt keine Rechts-, Cybersicherheits- oder Finanzberatung dar. Holen Sie für Ihre konkrete Situation qualifizierten Rat ein.