KI-Governance ab 2. August: Datenresilienz wird zum Compliance-Faktor

Die nächsten Vorgaben des EU AI Acts rücken näher – doch viele Unternehmen konzentrieren sich noch zu stark auf Paragrafen und Fristen. Entscheidend für Transparenz, Nachvollziehbarkeit und belastbare KI-Governance ist nicht allein der Gesetzestext, sondern die Qualität der zugrunde liegenden Dateninfrastruktur. Ohne Kontrolle über Datenbestände, Zugriffsrechte und Wiederherstellungsprozesse droht KI-Compliance zur formalen Pflichtübung ohne belastbare Grundlage zu werden.

Tim Pfälzer, General Manager und Senior Vice President EMEA bei Veeam erklärt warum es nicht reicht einfach einen Haken bei Compliance zu setzen.

Transparenzregeln werden zum Praxistest

Die Fristen für einzelne Bestimmungen des EU AI Acts haben sich mehrfach verändert. Dennoch markiert der 2. August einen wichtigen Wendepunkt für Unternehmen und öffentliche Organisationen in Europa. Ab diesem Zeitpunkt rücken weitere Anforderungen an Transparenz, Governance und Rechenschaftspflicht in den Mittelpunkt.

Auf den ersten Blick erscheinen diese Vorgaben vergleichsweise gut beherrschbar. Besonders weitreichende Anforderungen für bestimmte Hochrisiko-KI-Systeme greifen teilweise erst später. In der betrieblichen Praxis zeigt sich jedoch schnell, dass sich bestehende KI-Anwendungen nicht allein durch neue Richtlinien oder ergänzte Dokumentationen gesetzeskonform gestalten lassen.

„Es reicht nicht, einfach einen Haken bei Compliance zu setzen“, erklärt Tim Pfälzer, General Manager und Senior Vice President EMEA bei Veeam. Unternehmen müssten vielmehr ihre gesamte Datenlandschaft neu betrachten. Nur auf dieser Grundlage könnten belastbare Audit-Trails, klare Governance-Regeln und skalierbare KI-Prozesse entstehen.

Unklare Vorschriften sind nur ein Teil des Problems

In vielen Unternehmen herrscht weiterhin Unsicherheit darüber, wie einzelne Bestimmungen des EU AI Acts konkret umzusetzen sind. Nach Angaben einer von Veeam veröffentlichten EMEA-Umfrage betrachten 63 Prozent der befragten Unternehmen Unklarheiten innerhalb der Regulierung als konkretes Compliance-Risiko.

Für Pfälzer greift diese Diskussion jedoch zu kurz. Selbst ein vollständig eindeutiger Gesetzestext würde Unternehmen nicht automatisch in die Lage versetzen, Transparenz und Erklärbarkeit herzustellen. Dafür müssten sie zunächst grundlegende Fragen zu ihren Daten beantworten können:

Wo befinden sich geschäftskritische und personenbezogene Informationen? Welche Daten werden von KI-Systemen verarbeitet? Wer besitzt Zugriffsrechte? Wie verändern sich Daten im Laufe ihrer Nutzung? Und welchen Einfluss haben sie auf automatisierte Empfehlungen oder Entscheidungen?

Viele Organisationen können diese Zusammenhänge bislang nur unvollständig dokumentieren. Fragmentierte Speicherorte, unklare Verantwortlichkeiten, Schatten-IT und fehlende Datenklassifizierung erschweren den Aufbau nachvollziehbarer KI-Prozesse.

KI-Ergebnisse sind nur so vertrauenswürdig wie ihre Daten

Eine belastbare KI-Governance setzt voraus, dass Unternehmen ihre Datenbestände nicht nur kennen, sondern auch kontrollieren können. Dazu gehören eindeutige Zuständigkeiten, nachvollziehbare Zugriffsmodelle, dokumentierte Datenflüsse und belastbare Wiederherstellungsverfahren.

Gerade die Wiederherstellbarkeit spielt eine zentrale Rolle. Manipulierte, beschädigte oder nicht verfügbare Daten können nicht nur Geschäftsprozesse beeinträchtigen, sondern auch die Ergebnisse von KI-Modellen verfälschen. Unternehmen müssen deshalb sicherstellen, dass die für KI-Anwendungen genutzten Informationen geschützt, geregelt, verfügbar und im Ernstfall zuverlässig wiederherstellbar sind.

„KI-Ergebnisse sind nur so vertrauenswürdig wie die Daten, auf denen sie beruhen“, betont Pfälzer. Compliance werde damit zu einer Frage der Datenresilienz. Wer nicht nachvollziehen kann, welche Informationen in ein KI-System eingeflossen sind, könne auch dessen Ergebnisse nur schwer erklären oder gegenüber Aufsichtsbehörden belastbar dokumentieren.

Regulierung steigert die Investitionsbereitschaft

Trotz der regulatorischen Herausforderungen scheint der EU AI Act die Investitionsbereitschaft vieler Unternehmen nicht zu bremsen. Laut Veeam geben 85 Prozent der befragten Organisationen in der EMEA-Region an, dass die neue Regulierung ihre Bereitschaft erhöht, in KI-Werkzeuge zu investieren.

Dieser Optimismus birgt jedoch Risiken. Unternehmen sollten neue KI-Lösungen nicht allein danach auswählen, ob sie kurzfristig Produktivitätsgewinne versprechen oder formale Compliance-Funktionen anbieten. Entscheidend ist, ob sich ihre Datenverarbeitung transparent nachvollziehen, kontrollieren und absichern lässt.

Ohne eine stabile Vertrauensbasis können mit jedem neuen KI-Anwendungsfall zusätzliche Risiken entstehen. Dazu zählen unkontrollierte Datenzugriffe, nicht dokumentierte Entscheidungswege, fehlerhafte Ergebnisse und neue regulatorische Abhängigkeiten.

Vertrauenswürdige KI als Wettbewerbsvorteil

Der größte Wettbewerbsvorteil entsteht bei Künstlicher Intelligenz daher nicht zwangsläufig durch die schnellste Einführung. Langfristig dürften jene Unternehmen erfolgreicher sein, die KI nachvollziehbar, resilient und vertrauenswürdig in ihre Geschäftsprozesse integrieren.

Der 2. August sollte deshalb nicht als Ziellinie einer kurzfristigen Compliance-Initiative betrachtet werden. Vielmehr ist der Termin ein Ausgangspunkt für den Aufbau einer Dateninfrastruktur, die Governance, Sicherheit und Innovation miteinander verbindet.

Unternehmen, die ihre Datenlandschaft jetzt konsolidieren, Zugriffe transparent gestalten und Wiederherstellungsprozesse absichern, erfüllen nicht nur regulatorische Anforderungen. Sie schaffen zugleich die Grundlage dafür, KI-Anwendungen langfristig zu skalieren und deren Ergebnisse gegenüber Kunden, Mitarbeitern und Behörden glaubwürdig zu vertreten. Von Tim Pfälzer, General Manager und Senior Vice President EMEA bei Veeam