01 · NEDİR / DEFINITION

Ownership ist mehr als ein Name

Ownership bezeichnet die zugewiesene Verantwortung für Zweck, Betrieb, Daten, Risiko oder Control. Accountability bedeutet, dass eine befugte Person Entscheidungen verantwortet, Nachweise verlangt und Folgen trägt. Aufgaben können delegiert werden; Rechenschaftspflicht nicht beliebig.

Kernsatz: „Das AI-Team“ oder „der Anbieter“ ist kein verantwortlicher Owner. Jede wesentliche Entscheidung braucht eine namentlich oder rollenbasiert eindeutig zugeordnete Instanz.
02 · WARUM RELEVANT?

Warum klare Verantwortung Betriebsfähigkeit schafft

Entscheidung

Go-live, Restrisiko, Stop und Change haben eine befugte Instanz.

Reaktion

Incidents und Eskalationen verlieren keine Zeit zwischen Teams.

Kontrolle

Jeder Control besitzt Implementierungs-, Prüf- und Freigabeverantwortung.

Nachweis

Entscheidungen, Delegation und Ausnahmen werden auditierbar.

03 · KUNDENSITUATION

Typisches Praxisbild

Der Fachbereich beauftragt einen AI-Assistenten, IT betreibt ihn und Datenschutz wurde informiert. Bei einem Incident glaubt jedes Team, das andere müsse stoppen. Das System bleibt aktiv, weil weder Stop Authority noch Stellvertretung oder Eskalationsfrist festgelegt wurden.

Warnsignal: Viele Beteiligte, aber niemand darf verbindlich „Go“, „No-Go“ oder „Stop“ sagen.
04 · DISCOVERY-FRAGEN

Was BAIS organisatorisch klärt

  1. Wer verantwortet Geschäftszweck und Nutzen?
  2. Wer ist technisch für System und Betrieb zuständig?
  3. Wer besitzt Daten, Modelle, Prompts und Policies?
  4. Wer bewertet und akzeptiert Restrisiko?
  5. Wer genehmigt Go-live, Major Change und Ausnahme?
  6. Wer darf das System sofort stoppen?
  7. Welche Entscheidungen dürfen delegiert werden?
  8. Wer ist Stellvertretung und wie wird sie aktiviert?
  9. Welche Eskalationsstufen und Fristen gelten?
  10. Wie werden Rollenwechsel und Offboarding aktualisiert?
05 · GUTE / SCHLECHTE BEISPIELE

Entscheidungsrecht statt Verteilerliste

NICHT AUSREICHEND

„IT, Fachbereich und Datenschutz sind gemeinsam verantwortlich.“

  • Kein Accountable Owner
  • Keine Stop Authority
  • Keine Stellvertretung
  • Keine Frist
BELASTBAR

„Business Owner verantwortet Zweck und Restrisiko. System Owner verantwortet Betrieb. Data Owner genehmigt Quellen. IT Security gibt Security Controls frei. Incident Commander darf sofort stoppen; Stellvertretung und Eskalationsfristen sind dokumentiert.“

06 · BEWERTUNG

Fünf Dimensionen klarer Accountability

EindeutigkeitPro Entscheidung genau eine accountable Instanz.
BefugnisOwner besitzt Budget, Zugriff und Entscheidungsrecht.
KompetenzRolle versteht Zweck, Risiko, Grenzen und Pflichten.
VerfügbarkeitStellvertretung, Bereitschaft und Eskalation funktionieren.
NachweisEntscheidung, Grundlage, Auflagen, Datum und Review sind erfasst.

Severity: 0–2 eindeutige Owner/Freigaben · 3–5 Rollen grundsätzlich geklärt · 6–8 verteilt/informell · 9–10 kein verantwortlicher Entscheider.

07–08 · CONTROLS & EVIDENCE

Was eingerichtet und nachgewiesen wird

ControlEvidence / Nachweis
AI Role & Decision MatrixRolle, Scope, Befugnis, Stellvertretung und Kontakt
RACI pro Lifecycle GateUse Case, Build, Test, Go-live, Change, Incident und Exit
Risk Acceptance AuthoritySchwellen, Sign-off, Auflagen und Ablaufdatum
Stop / Escalation AuthorityRunbook, Erreichbarkeit und Übungsprotokoll
Delegation & SegregationDelegationsnachweis, Vier-Augen-Regel und Konfliktprüfung
Joiner / Mover / Leaver ReviewRollenwechsel, Offboarding und Access Review
09 · OWNER / RACI

Referenzmodell für AI-Verantwortung

Business OwnerZweck, Nutzen, Betroffene, Budget und Restrisiko.
System OwnerArchitektur, Lifecycle, Betrieb, Verfügbarkeit und Änderungen.
Risk / Control OwnerBewertung, Behandlung, Test, Evidence und offene Findings.
Data / AI OwnerDatenqualität, Quellen, Modell, Prompt und fachliche Grenzen.
Incident CommanderKoordination, Stop, Kommunikation, Recovery und Lessons Learned.
Governance / ComplianceRegelwerk, unabhängige Challenge, Review und Reporting.
10–11 · EU AI ACT / ISO / DSGVO

Welche Regelwerke berührt R-010?

  • EU AI Act: Rollen und Pflichten entlang der Wertschöpfungskette, Qualitätsmanagement, Verantwortlichkeit und menschliche Aufsicht.
  • ISO/IEC 42001: Leadership, Rollen, Verantwortlichkeiten, Ressourcen, Kompetenz, dokumentierte Entscheidungen und Verbesserung.
  • ISO/IEC 27001-orientiert: Leadership, Informationssicherheitsrollen, Aufgabentrennung, Zugriffssteuerung und Incident-Verantwortung.
  • DSGVO: Verantwortlicher, Auftragsverarbeiter, Datenschutzorganisation und Nachweis der Rechenschaftspflicht.
Grenze: Governance-Rollen ersetzen keine gesetzlich definierten Verantwortlichkeiten. Vertrag und RACI dürfen gesetzliche Verantwortung nicht unzulässig verschieben.
12 · TECHNISCHE UMSETZUNG

Wie Accountability im System sichtbar wird

  • Owner und Stellvertretung im AI-Systemregister versioniert hinterlegen.
  • Lifecycle Gates mit rollenbasierten Freigaben und Ablaufdatum erzwingen.
  • Risk Acceptance nach Schwere und Befugnis technisch begrenzen.
  • Stop Authority mit überwachten, getesteten Zugriffsrechten ausstatten.
  • Entscheidung, Grund, Auflagen, Version und Zeitpunkt revisionsfähig erfassen.
  • Vier-Augen-Prinzip und Interessenkonflikte für kritische Freigaben prüfen.
  • Joiner/Movers/Leavers mit IAM und Governance Register synchronisieren.
  • Überfällige Reviews, verwaiste Controls und unerreichbare Owner alarmieren.
13 · HÄUFIGE FEHLER

Was Verantwortung verwässert

Team statt Owner benanntResponsible und Accountable verwechseltOwner ohne BefugnisKeine StellvertretungDelegation ohne NachweisEx-Mitarbeiter bleibt Owner
14–17 · EINWÄNDE & KUNDENGESPRÄCH

Accountability ohne Bürokratiesprache erklären

30 SEKUNDEN

„R-010 beantwortet für jede wesentliche AI-Entscheidung: Wer handelt, wer entscheidet, wer genehmigt Risiko und wer darf stoppen? Wir verbinden diese Rollen mit Befugnissen, Stellvertretung, Eskalation und belastbaren Decision Records.“

2 MINUTEN

„AI-Systeme verbinden Fachbereich, IT, Daten, Security und Anbieter. Gemeinsame Beteiligung darf Verantwortung nicht auflösen. Deshalb definieren wir Business-, System-, Risk-, Data- und Control Owner, ordnen Lifecycle Gates per RACI zu und legen Risk Acceptance, Stop Authority, Delegation, Stellvertretung und Review fest.“

„Wir sind ein kleines Team; jeder macht alles.“

Eine Person darf mehrere Rollen haben. Entscheidungsarten, Befugnisse und mögliche Interessenkonflikte müssen trotzdem klar bleiben.

„Der Provider trägt die Verantwortung.“

Der Provider verantwortet seinen Leistungsbereich. Die einsetzende Organisation bleibt für eigene Nutzung, Prozess, Daten und Kontrollen verantwortlich.

„Eine RACI-Tabelle reicht doch.“

Nur wenn Rollen aktuell, befugt, erreichbar und mit realen Freigabe-, IAM- und Eskalationsprozessen verbunden sind.

18 · ABSCHLUSS-CHECKLISTE

R-010 ist vollständig, wenn …

  • Business-, System-, Risk-, Data-, AI- und Control Owner benannt sind.
  • jede wesentliche Entscheidung genau eine accountable Instanz besitzt.
  • Befugnis, Kompetenz, Budget und Zugriff zur Verantwortung passen.
  • Go-live, Change, Ausnahme, Risk Acceptance und Stop geregelt sind.
  • Stellvertretung, Erreichbarkeit, Eskalationsstufe und Frist getestet sind.
  • Delegation, Aufgabentrennung und Interessenkonflikte kontrolliert sind.
  • Decision Records und Lifecycle-Freigaben nachvollziehbar vorliegen.
  • Rollenwechsel, Offboarding und regelmäßige Reviews funktionieren.