KI ist im Einsatz. Doch wie steht es um die Governance?

In dieser Folge von Insider Research im Gespräch spricht Thomas Joos mit Christian Marek, Sr. Director Product bei Vanta, über KI-Governance, also die Regeln, mit denen ein Unternehmen den Einsatz künstlicher Intelligenz steuert und belegt. Nach Mareks Erfahrung kennt kaum eine IT-Leitung die Zahl der KI-Anwendungen im eigenen Unternehmen. Mitarbeiter führen Werkzeuge für Texte oder Präsentationen selbst ein und holen über Einladungen innerhalb weniger Tage Hunderte Kollegen dazu. Ein Vanta-Kunde fand nach Herstellerangabe vom Juli 2026 mehr als 900 Copilot-Agenten ohne Eintrag im Inventar.

Eine schriftliche KI-Richtlinie hält Marek für einen sinnvollen Anfang. Für den AI Act zählt nach seiner Darstellung der Nachweis, dass Mitarbeiter und Systeme sich daran halten. Aus seiner Zeit in der Prüfung kennt er Teams, die vier Wochen lang Belege für ein Audit sammeln. Nach dem nächsten neuen System sind diese Belege schon veraltet. Im State of Trust Report 2025 von Vanta geben 61 Prozent der rund 3.500 befragten Führungskräfte aus fünf Ländern an, mehr Zeit mit dem Nachweis von Sicherheit zu verbringen als mit ihrer Verbesserung.

Marek setzt deshalb auf eine laufende Überwachung. Vanta bindet nach Herstellerangabe mehr als 400 Werkzeuge an, darunter Identitätsdienste wie Okta, und prüft ihre Einstellungen fortlaufend gegen den AI Act und ISO 42001, die Norm für KI-Managementsysteme. Im Juli 2026 hat Vanta AI Governance als Early Access geöffnet. Die Software erfasst KI-Anwendungen, Modelle und Agenten, bewertet ihr Risiko nach den Daten, auf die sie zugreifen, und erzeugt die Nachweise für Prüfer.

Mehr Zeit verschafft der Digital Omnibus, auf den sich die EU im Mai 2026 geeinigt hat. Die Pflichten für eigenständige Hochrisiko-KI greifen danach ab Dezember 2027 und für KI in Produkten wie Aufzügen ab August 2028. Seit August 2026 gilt dagegen die Transparenzpflicht aus Artikel 50, nach der ein Support-Chat erkennen lassen muss, dass ein KI-Assistent antwortet. Als ersten Schritt rät Marek zu einer Inventur. Sie klärt, welche KI-Systeme laufen, auf welche Daten sie zugreifen und welche Person für sie verantwortlich ist. Vanta liefert dafür nach Herstellerangabe vorgefertigte KI-Richtlinien und Kontrollen für den AI Act.

Christian Marek auf LinkedIn: https://www.linkedin.com/in/christianmarek/

Vanta-Webseite: https://www.vanta.com/

Vanta AI Governance: https://www.vanta.com/products/ai-governance

Vanta ISO 42001: https://www.vanta.com/products/iso-42001

Vorstellung von AI Governance, Juli 2026: https://www.vanta.com/resources/introducing-ai-governance-from-vanta

Vanta State of Trust Report: https://www.vanta.com/state-of-trust/global

Pressemitteilung State of Trust 2025: https://www.businesswire.com/news/home/20251029144534/en/Vanta-State-of-Trust-2025-AI-Threats-Outpace-Security-Expertise

EU-Kommission zum Digital Omnibus: https://digital-strategy.ec.europa.eu/en/news/eu-agrees-simplify-ai-rules-boost-innovation-and-ban-nudification-apps-protect-citizens

EU-Verordnung über künstliche Intelligenz (AI Act): https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng