AI Governance als Vorarbeit zu einer erfolgreichen AI Harness Strategy

Eine AI Harness Strategy ohne solide Governance-Basis ist wie ein Auto ohne Fahrerlaubnis: technisch fahrbereit, aber nicht legal und auf Dauer riskant.

Bevor Unternehmen Guardrails, Evaluation und Monitoring einführen können, brauchen sie eine klare Governance-Struktur. Dieser Artikel zeigt, warum AI Governance die notwendige Vorarbeit für jede Harness-Strategie ist und wie der Übergang gelingt.

Warum AI Governance die Basis bildet

Seit dem 2. August 2026 ist der EU AI Act in Kraft. Unternehmen, die KI-Systeme einsetzen oder entwickeln, müssen nachweisen, dass sie die gesetzlichen Anforderungen erfüllen. Die ersten Kontrollen zeigen eine ernüchternde Bilanz: 495 grosse europäische Seiten wurden auf Chatbot-Transparenz geprüft, ein erheblicher Teil erfüllte die Anforderungen nicht.

Parallel dazu wächst die Erkenntnis, dass technische Massnahmen allein nicht ausreichen. Das Paper "The AI Resilience Gap" (arXiv:2607.07359, Juli 2026) belegt: Governance-Frameworks wie der EU AI Act, ISO/IEC 42001 oder der NIST AI RMF sind notwendig. Sie sind aber ohne operationelle Resilienz unzureichend. Genau diese Lücke schliesst eine AI Harness Strategy. Sie übersetzt die Governance-Vorgaben in konkrete technische Massnahmen.

Die zentrale Einsicht: Governance definiert das Was und Warum. Die Harness-Strategie definiert das Wie. Ohne das Was ist das Wie ziellos.

Was umfasst AI Governance?

AI Governance ist der Rahmen aus Richtlinien, Prozessen und Kontrollen, der den Einsatz von KI-Systemen steuert. Sie umfasst drei Bereiche.

Compliance und Regulierung

Der EU AI Act klassifiziert KI-Systeme nach Risikostufen. Für hochriskante Systeme gelten strenge Anforderungen an Dokumentation, Transparenz und menschliche Aufsicht. Unternehmen müssen ihre Systeme erfassen, bewerten und dokumentieren. Die Nichteinhaltung kann zu Bussgeldern führen, die für viele Organisationen existenzbedrohend wären.

Hinzu kommen die ISO/IEC 42001 (das erste internationale Managementsystem-Standard für KI) und nationale Regulierungen. Für Unternehmen mit internationaler Ausrichtung kommen mehrere Rechtsräume gleichzeitig zum Tragen.

Risk Management

Bevor technische Massnahmen greifen, muss klar sein, welche Risiken bestehen. Ein strukturiertes Risk Assessment bewertet jeden KI-Anwendungsfall nach zwei Dimensionen: der Wahrscheinlichkeit von Fehlern und der Schwere der Folgen. Daraus entsteht eine Risikomatrix, die priorisiert, welche Systeme zuerst abgesichert werden müssen.

Richtlinien und Policies

Die operative Basis bilden konkrete Policy-Dokumente. Fünf Dokumente sind vor der Einführung technischer Harness-Tools erforderlich:

• AI-Nutzungsrichtlinie:** Wer darf welche KI-Systeme zu welchem Zweck einsetzen?
• Risikomatrix:** Wie werden KI-Anwendungen klassifiziert und priorisiert?
• Incident-Response-Plan:** Was passiert bei einem Zwischenfall mit einem KI-System?
• Data-Governance-Richtlinie:** Welche Daten dürfen an KI-Systeme übergeben werden?
• Acceptable-Use-Policy:** Welche Anwendungen sind erlaubt, welche untersagt?

Die Brücke zur Harness Strategy

Der Übergang von der Governance zur Harness-Strategie ist der Punkt, an dem viele Projekte scheitern. Die Compliance-Abteilung spricht in Richtlinien und Paragrafen, das Engineering-Team in APIs und Konfigurationen. Die Übersetzungsarbeit zwischen beiden Welten fehlt in der Praxis häufig.

Von der Policy zum Guardrail

Eine Acceptable-Use-Policy verbietet beispielsweise die Verarbeitung von Gesundheitsdaten durch öffentliche KI-Modelle. In der Harness-Strategie wird daraus eine konkrete Guardrail-Regel: Ein Input-Filter prüft jede Anfrage auf Gesundheitsdaten-Muster und blockiert sie bei Erkennung. Der Output-Filter stellt sicher, dass keine sensiblen Daten in den Antworten auftauchen.

Vom Risk-Register zum Monitoring

Das Risk Assessment identifiziert einen Anwendungsfall als mittelriskant, weil fehlerhafte Antworten zu finanziellen Verlusten führen können. In der Harness-Strategie wird daraus ein Monitoring-Dashboard: Die Antwortqualität wird kontinuierlich gemessen, bei Unterschreitung eines Schwellwerts wird ein Alarm ausgelöst, und der Incident-Response-Plan tritt in Kraft.

Die Bewegung Conformity Engineering treibt diesen Ansatz voran. Compliance wird als Systemeigenschaft entworfen, nicht als nachträgliche Dokumentation. Die Governance-Vorgaben fliessen direkt in die Architektur der Harness-Strategie ein.

Ein Praxisbeispiel: Vom Policy-Beschluss zur Guardrail-Config

Ein mittelständisches Unternehmen beschliesst, dass keine personenbezogenen Daten in öffentliche KI-Modelle eingegeben werden dürfen. Der Governance-Beschluss ist gefasst. Die Policy wird dokumentiert. Das Risk Assessment stuft Verstösse als hohes Risiko ein.

Der ML Engineer erhält die Vorgabe und konfiguriert ein Guardrail: Ein regulärer Ausdruck erkennt E-Mail-Adressen, Telefonnummern und Personalnummern in Eingabe-Prompts. Ein zweites Guardrail prüft die Antworten auf vertrauliche Inhalte. Beide Guardrails werden vor dem Deployment getestet. Ein Dashboard protokolliert alle blockierten Anfragen für das Compliance-Reporting.

Der Clou: Die Guardrail-Konfiguration wird im selben Git-Repository versioniert wie die Policy-Dokumente. Jede Änderung der Policy löst einen Review der Guardrail-Regeln aus. Compliance und Engineering arbeiten im selben Workflow.

Der vierstufige Prozess von Governance zur Harness

Der Weg von der Governance-Entscheidung zur technischen Umsetzung folgt vier Schritten.

Schritt 1: Governance-Beschluss fassen. Das Management legt fest, welche KI-Richtlinien gelten. Dieser Beschluss ist die Grundlage für alle folgenden Schritte. Ohne klares Commitment von oben bleibt jede Harness-Strategie ein Flickwerk.

Schritt 2: Policy-Dokumente erstellen. Die fünf zentralen Dokumente werden ausgearbeitet. Sie definieren die Regeln, die später technisch umgesetzt werden. Die Dokumente sollten von Compliance, Legal und Fachbereich gemeinsam erstellt werden.

Schritt 3: Risk Assessment durchführen. Jeder KI-Anwendungsfall wird bewertet und in die Risikomatrix eingeordnet. Die Ergebnisse bestimmen, welche Harness-Komponenten mit welcher Priorität eingeführt werden.

Schritt 4: Harness-Tools konfigurieren. Guardrails, Evaluation und Monitoring werden auf Basis der Policy-Vorgaben und der Risk-Assessment-Ergebnisse konfiguriert. Jede technische Regel lässt sich auf eine Policy zurückführen.

Rollen und Verantwortlichkeiten

Die Umsetzung erfordert klare Rollen. Eine RACI-Matrix (Responsible, Accountable, Consulted, Informed) hilft, die Verantwortlichkeiten zu verteilen:

• AI Governance Officer:** Verantwortlich für die Policy-Dokumente und die Einhaltung der Compliance-Anforderungen.
• Risk Manager:** Führt das Risk Assessment durch und pflegt die Risikomatrix.
• ML Engineer / AI Architect:** Setzt die technischen Harness-Komponenten auf Basis der Policy-Vorgaben um.
• Compliance / Legal:** Prüft die Übereinstimmung der technischen Umsetzung mit den rechtlichen Anforderungen.
• Fachbereichsleiter:** Entscheidet über die Priorisierung der KI-Anwendungsfälle und trägt die Verantwortung für den Betrieb.

Tools und Standards für den Übergang

Die Tool-Landschaft an der Schnittstelle von Governance und Harness wächst. Der Markt reagiert auf den Bedarf mit Runtime-Governance-Tools wie Shackle, Cruxible, Provena oder CAVA. Diese Systeme übersetzen Governance-Vorgaben direkt in technische Regeln und überwachen deren Einhaltung im Betrieb.

Auf der Standards-Seite bietet die ISO/IEC 42001 einen strukturierten Rahmen für das KI-Managementsystem. Sie definiert Anforderungen an die Risikobewertung, die Dokumentation und die kontinuierliche Verbesserung. Unternehmen, die nach diesem Standard arbeiten, haben eine stabile Basis für die Einführung einer Harness-Strategie.

Fazit: Governance bereitet den Weg, Harness geht ihn

AI Governance und AI Harness Strategy sind keine Gegensätze, sondern zwei Seiten derselben Medaille. Governance definiert die Spielregeln: welche KI-Systeme eingesetzt werden dürfen, welche Risiken akzeptabel sind und welche Richtlinien gelten. Die Harness-Strategie setzt diese Regeln technisch um: durch Guardrails, Evaluation und Monitoring.

Der wichtigste erste Schritt ist der Governance-Beschluss auf Management-Ebene. Von dort aus folgt der Prozess: Policy-Dokumente erstellen, Risk Assessment durchführen, Harness-Tools konfigurieren. Wer diesen Weg geht, stellt sicher, dass die KI-Nutzung nicht nur kontrolliert und sicher ist, sondern auch den rechtlichen Anforderungen genügt.

Quellen: EU AI Act, in Kraft seit 2. August 2026; arXiv:2607.07359 „The AI Resilience Gap" (Juli 2026); ISO/IEC 42001; Conformity Engineering (conformityengineering.com); Mozilla Foundation, EvalEval-Koalition, FAccT 2026.