KI‑Governance, eingebaut in die Systeme, die Sie tatsächlich betreiben.
Wir erfassen die KI, die Sie entwickeln und einkaufen, stufen das Risiko ein, schreiben die Richtlinien und bauen dann die Kontrollen, die diese Richtlinien versprechen: Prüfung durch Menschen, Evals, Protokollierung, Anbieterprüfungen und ein Runbook für Vorfälle. Engineers, die produktive KI entwickeln. Deshalb ist jede Kontrolle etwas, das Ihr Team auch betreiben kann.
Was KI‑Governance-Beratung hinterlassen sollte.
KI-Governance ist die Gesamtheit der Entscheidungen, Kontrollen und Nachweise, die festhalten, welche KI-Systeme Sie betreiben, was jedes davon tun darf, wer es überprüft und was passiert, wenn etwas schiefgeht. Die meisten Unternehmen haben bereits KI im Produktivbetrieb, über Anbieter, Copiloten und Agenten, die ihre Teams selbst gebaut haben, und niemand hat die vollständige Liste. Dort setzt Gigabit an: ein Inventar aller KI-Systeme, eine Risikostufe für jedes davon und eine Lückenliste gegenüber den Frameworks, auf die sich Ihre Kunden und Aufsichtsbehörden berufen.
Drei Frameworks decken das meiste ab, wonach Einkäufer fragen. Das NIST AI Risk Management Framework (AI RMF 1.0, Januar 2023) ist freiwillig und gliedert die Arbeit in vier Funktionen: Govern, Map, Measure und Manage. ISO/IEC 42001:2023 ist die Managementsystem-Norm für KI, nach der Sie eine akkreditierte Stelle zertifizieren kann. Der EU AI Act, die Verordnung (EU) 2024/1689, ist geltendes Recht: Er erfasst auch Unternehmen außerhalb der EU, wenn die Ausgabe ihres KI-Systems in der EU verwendet wird. Seine Verbote gelten seit dem 2. Februar 2025, und nach der Änderung vom Juli 2026 gelten seine Hochrisiko-Vorschriften für Anwendungen nach Anhang III ab dem 2. Dezember 2027 (Daten geprüft am 23. Oktober 2026). Gigabit ist ein Engineering-Unternehmen. Wir bauen und dokumentieren die Kontrollen; wie das Gesetz ein System einstuft, entscheidet Ihre Rechtsberatung, und ISO 42001 auditiert eine Zertifizierungsstelle.
Was ein Governance-Aufbau umfasst.
Die Richtlinien sind der kurze Teil. Die Arbeit besteht darin, jede davon in den Systemen wahr zu machen, die jeden Tag laufen.
KI-Systeminventar
Jedes Modell, jeder Agent, jeder Copilot und jede KI-Funktion eines Anbieters, die im Einsatz ist: verantwortliche Person, Zweck, betroffene Daten, betroffene Nutzer und die Entscheidungen, die das System beeinflusst.
Risikoeinstufung
Jedes System nach seinen Auswirkungen eingestuft und den Kategorien des EU AI Act, den Funktionen des NIST AI RMF und den ISO/IEC-42001-Kontrollen zugeordnet, die Sie übernehmen wollen.
Richtlinien und Verantwortung
Eine KI-Nutzungsrichtlinie, Regeln für die zulässige Nutzung, Freigabeschritte für neue Systeme und eine namentlich verantwortliche Person pro System, kurz genug, dass die Leute sie lesen.
Gestaltung der menschlichen Aufsicht
Wo ein Mensch freigeben, eine Stichprobe prüfen oder das System stoppen können muss, eingebaut in den Workflow, mit der Befugnis und dem Kontext, das auch zu tun.
Evals und Monitoring
Eval-Sets mit Schwellenwerten, an denen Releases freigegeben oder gestoppt werden, Drift-Prüfungen nach Modell- oder Prompt-Änderungen und Alarme, die die verantwortliche Person erreichen.
Protokollierung, Anbieter und Vorfälle
Audit-Trails von Eingaben, aufgerufenen Tools und Ausgaben, Prüfungen von Modellanbietern und ihren Datenbedingungen sowie ein Runbook für KI-Vorfälle mit Schweregraden.
Vom Inventar zu Kontrollen, die laufen.
Inventar
Interviews und eine Durchsicht von Tools, Verträgen und Code finden die KI-Systeme im Einsatz, auch die, die Teams einfach per Firmenkreditkarte gekauft haben.
Einstufen
Jedes System erhält eine Risikostufe, eine verantwortliche Person und eine Lückenliste gegenüber NIST AI RMF, ISO/IEC 42001 und, wo Ihre Rechtsberatung ihn für anwendbar hält, dem EU AI Act.
Kontrollen bauen
Prüfschritte durch Menschen, Eval-Gates, Protokollierung, Zugriffsbeschränkungen und Anbieterprüfungen werden in die Systeme eingebaut, beginnend mit der höchsten Stufe.
Betreiben
Monitoring, vierteljährliche Reviews und ein Runbook für Vorfälle halten die Nachweise aktuell, während sich Modelle, Prompts und Anbieter ändern.
Veröffentlichte Preise, nach Aufgabe geordnet.
Jeder Betrag hier steht genauso auf der Preisseite. Für keine Plattform gibt es eine eigene Preisliste.
Ein Preis mit „ab“ gilt für den Basisumfang, der auf der Preisseite beschrieben ist. Größere Vorhaben bieten wir vor Arbeitsbeginn zum Festpreis an. Arbeit ohne natürliches Ende, etwa laufende Weiterentwicklung, rechnen wir pro Engineer und Monat ab, ohne Mindestlaufzeit.
Wann KI‑Governance die richtige Wahl ist und wann nicht.
- Ihre Teams haben KI schneller ausgerollt oder eingekauft, als jemand festgehalten hat, wer dafür verantwortlich ist.
- Der Sicherheitsfragebogen eines Kunden, ein Prüfer oder ein Mitglied der Geschäftsleitung oder des Aufsichtsrats fragt, wie Sie KI steuern.
- Sie betreiben KI-Agenten, die handeln, nicht nur Fragen beantworten.
- Sie verkaufen in die EU oder an regulierte Kunden im Gesundheitswesen, im Finanzsektor oder im öffentlichen Sektor.
- Sie brauchen ein Rechtsgutachten dazu, wie der EU AI Act ein System einstuft. Fragen Sie eine Anwältin oder einen Anwalt; wir arbeiten mit ihnen zusammen.
- Sie wollen von uns ein ISO-42001-Zertifikat. Zertifikate stellt eine akkreditierte Zertifizierungsstelle aus; wir bereiten Sie auf deren Audit vor.
- Sie nutzen ein oder zwei Standard-KI-Tools ohne Kundendaten. Eine kurze Richtlinie zur zulässigen Nutzung reicht.
KI im Produktivbetrieb, mit eingebauten Kontrollen.
Zugriffskontrolle nach Fachbereich für die Wissensdatenbank eines Beratungsunternehmens, HIPAA-Kontrollen auf einer Telehealth-Plattform und klinische Leitplanken mit Übergabe an Menschen bei einem Patientenassistenten.
KI-Transformation: 1.200 Stunden pro Quartal zurückgewonnen
KI-Transformation in Phasen: US-Beratung mit 140 Mitarbeitenden gewinnt 1.200 Stunden pro Quartal und 480.000 $ pro Jahr zurück. ROI im ersten Jahr: 129 %.
Fallstudie lesenTelemedizin mit FHIR und HIPAA: 1.200 Patienten in 90 Tagen
HIPAA-konforme Telemedizin-Plattform mit 3 EHR-Anbindungen: 1.200 Patienten in 90 Tagen und eine Series-A-Runde über 4,5 Mio. $.
Fallstudie lesenLLM-Patientenassistent: 62 % weniger Routineanfragen am Empfang
Ein RAG-Patientenassistent mit klinischen Leitplanken senkte in 8 Wochen die wiederkehrenden Anfragen am Empfang um 62 % und die Antwortzeit um 68 %.
Fallstudie lesenFragen zu KI-Governance
Was kostet KI-Governance-Beratung?
Die Diagnose ist der AI Transformation Sprint: 25.000 $ zum Festpreis über zwei Wochen, mit Inventar, Risikostufen, Lückenliste und einem Pilot der ersten Kontrolle. Der anschließende Governance-Aufbau ist ein schriftlicher Festpreis nach dem Scoping. Engineers, die Kontrollen über mehrere Teams hinweg aufbauen, kosten 3.000–7.500 $ pro Engineer und Monat, und das laufende Monitoring übernimmt Managed AI Operations für 3.000–20.000 $ pro Monat. Wenn Sie adversariale Tests eines Agenten oder einer LLM-Funktion brauchen, beginnt das AI Security Assessment bei 12.000 $ zum Festpreis.
Was ist ein KI-Governance-Framework?
Die Struktur, mit der Sie entscheiden, welche KI-Systeme Sie betreiben und wie Sie sie kontrollieren: Rollen und Verantwortlichkeiten, eine Methode zur Risikoeinstufung, Richtlinien, verpflichtende Kontrollen pro Risikostufe und die Nachweise, dass die Kontrollen gelaufen sind. Die meisten Unternehmen bauen ihres auf dem NIST AI Risk Management Framework mit seinen vier Funktionen Govern, Map, Measure und Manage auf, und auf ISO/IEC 42001, wenn sie ein zertifizierbares Managementsystem wollen. NIST veröffentlicht außerdem ein Generative AI Profile (NIST AI 600-1, Juli 2024), das das Framework auf generative Modelle anwendet.
Was ist bei der Governance von KI-Agenten anders?
Ein Agent handelt: Er ruft Tools auf, schreibt in Systeme und verschickt Nachrichten. Governance für Agenten ergänzt Kontrollen, die ein Chatbot nicht braucht: Zugangsdaten mit minimalen Rechten pro Tool, eine Positivliste erlaubter Aktionen, eine Freigabe durch einen Menschen vor folgenreichen Aktionen, Ausgaben- und Ratenlimits sowie ein Protokoll jedes Tool-Aufrufs mit Ein- und Ausgaben. So können Sie nachvollziehen, was der Agent getan hat und warum.
Gilt der EU AI Act auch für Unternehmen außerhalb der EU?
Möglicherweise. Artikel 2 erstreckt die Verordnung auf Anbieter, die KI-Systeme in der EU in Verkehr bringen, unabhängig von ihrem Sitz, und auf Anbieter und Betreiber außerhalb der EU, wenn die Ausgabe des Systems in der EU verwendet wird. Verbotene Praktiken gelten seit dem 2. Februar 2025, und die Änderung vom Juli 2026 hat die Hochrisiko-Vorschriften nach Anhang III auf den 2. Dezember 2027 und die nach Anhang I auf den 2. August 2028 verschoben (geprüft am 23. Oktober 2026). Ob ein bestimmtes System erfasst ist und in welche Kategorie es fällt, ist eine Frage für Ihre Rechtsberatung. Wir bauen das Inventar, die Protokolle und die Aufsicht, nach denen sie fragen wird.
Können Sie uns bei der ISO-42001-Zertifizierung helfen?
Wir bereiten Sie darauf vor. ISO/IEC 42001:2023 legt die Anforderungen an ein KI-Managementsystem fest, und das Zertifikat stellt eine akkreditierte Zertifizierungsstelle nach ihrem eigenen Audit aus. Gigabit baut die Teile, auf die der Auditor in der Praxis schaut: das KI-Inventar, Risiko- und Folgenabschätzungen, dokumentierte Richtlinien und Verantwortliche sowie Nachweise, dass Kontrollen wie Evals, Monitoring und die Behandlung von Vorfällen tatsächlich laufen. Wir stellen keine Zertifikate aus und auditieren Sie nicht selbst.
Wird oft gemeinsam angefragt.
Nicht sicher, welche KI in Ihrem Unternehmen läuft?
Sagen Sie uns, welche KI-Systeme Sie kennen und wer die Fragen stellt, gern auf Deutsch oder Englisch. Wir antworten auf Englisch damit, wie wir sie erfassen und einstufen würden und was es kostet.