KI Governance

Das NIST AI RMF ist das verbreitetste freiwillige Risikoframework für KI. Dieser Beitrag erklärt seine vier Funktionen, das Generative-AI-Profil, das KRITIS-Profil von 2026 und die Abgrenzung zu ISO 42001 und EU AI Act, übersetzt in die SAP-Governance.

Der Digital Omnibus on AI ist ein Paket der EU-Kommission zur Vereinfachung und teilweisen Verschiebung von Verpflichtungen aus der Verordnung (EU) 2024/1689 (EU AI Act). Am 7. Mai 2026 erzielten Rat und Parlament im dritten Trilog eine vorläufige Einigung.

Artikel 26 der Verordnung (EU) 2024/1689 legt die operativen Pflichten von Deployern hochrisikobehafteter KI-Systeme fest. Für SAP-Anwender gelten diese Pflichten unverändert ab 2. August 2026.

Frankenstein-Architektur: Saueressigs Begriff vom November 2025, erweitert auf Cross-Vendor-Agenten von SAP, Microsoft, Salesforce, Workday und Community-MCP. Was Kleins Sapphire-Statement vom 11. Mai 2026 löst und was es offen lässt. Werkzeug-Vergleich und fünf operative Konsequenzen für Betreiber.

SAP hat im Q1/2026 die ISO 42001 Zertifizierung für SAP Business AI erreicht und positioniert sich als Anbieter. Kleins Sapphire-Statement vom 11. Mai 2026 verstärkt die Anbieter-Rolle um eine Governance-Zusage für SAP-eigene Agenten. Die Betreiber-Pflichten nach Artikel 26 bleiben beim SAP-Kunden, sind nicht übertragbar.

Ein Bewertungsrahmen für CISO, SAP-Basis und Architekten in Zeiten von 40+ Community-Servern und OWASP MCP Top 10

Agentic AI bezeichnet KI-Systeme, die autonom mehrstufige Aufgaben ausführen. Im SAP-Change-Management entstehen damit neue Governance-Anforderungen.

KI-Toolchain, MLOps und LLMOps strukturieren den Betrieb von KI-Systemen. Governance-Anforderungen müssen von Anfang an in die Architektur.

Der EU AI Act ist das erste umfassende KI-Regulierungsregime weltweit. Er gilt extraterritorial und macht SAP-Kunden zu Deployern.

KI-Governance steuert den KI-Einsatz in Unternehmen. Sie ist kein Teilbereich von IT-Governance, sondern ein eigener Rahmen.

Der Digital Omnibus on AI will die Hochrisiko-Pflichten des EU AI Act verschieben. Für SAP-Kunden ändert das weniger als erhofft.

Der Digital Omnibus Trilog strebt beim zweiten Trilog am 28. April eine politische Einigung an.

CVE-2026-27681 ist eine kritische SQL-Injection-Schwachstelle in SAP BPC und BW mit CVSS-Score 9.9.

SAP Business AI ist die Sammelbezeichnung für die KI-Funktionen, die SAP in seinen Produkten einbettet oder als eigenständigen Dienst auf der SAP BTP zur Verfügung stellt.