# AI Governance, Risk & Compliance (GRC) > Swiss GRC bietet mit dem AI GRC Modul der SwissGRC® Plattform eine Software für Governance, Risiko und Compliance beim KI-Einsatz. Das Modul führt KI-Anwendungsfälle, Modelle und Tools in einem Inventar und liefert Nachweise für Rahmenwerke wie EU AI Act und ISO 42001. - URL: https://swissgrc.com/ai-grc/ - Herausgeber: SwissGRC® - Veröffentlicht: 2025-02-06 - Zuletzt aktualisiert: 2026-10-07 ## Kernaussagen - Das AI GRC Modul der SwissGRC® Plattform deckt fünf Disziplinen ab: Governance & Oversight, Risk & Security Management, Compliance & Regulatory Frameworks, Data Protection & Privacy sowie Performance & Transparency. - Use Cases, Modelle und Tools werden als geführte Objekte in einem Lebenszyklus von Request bis Inactive verwaltet, mit Klassifizierung, Assessments, Risiken, Kontrollen und Prüfterminen. - Das Modul unterstützt unter anderem EU AI Act, ISO/IEC 42001, ISO/IEC 42005, NIST AI RMF, FINMA 08/2024 und OCC Model Risk Management. Eigene Rahmenwerke lassen sich zusätzlich abbilden. - KI-Risiken laufen im selben Risikokatalog wie die übrigen Unternehmensrisiken, mit denselben Kontrollen, Vorfällen und Massnahmen. - Modellgüte wird mit Kennzahlen wie AuROC, Gini und KS, mit Schwellenwerten, Verlauf und Verantwortlichkeit erfasst und mit Dokumentation hinterlegt. - Laut Seitentext gelten die Transparenzpflichten des EU AI Act nach Art. 50 seit dem 2. August 2026, die Pflichten für eigenständige Hochrisiko-KI nach Anhang III ab dem 2. Dezember 2027. AI Governance, Risk & Compliance # Sie setzen KI ein. Können Sie sie auch verantworten? Fünf Disziplinen entscheiden, ob Ihr KI-Einsatz belegbar verantwortbar bleibt. Das AI GRC Modul der SwissGRC® Plattform deckt sie **vollständig und verbunden** ab, vom Use Case bis zur Modellkennzahl. Demo anfordern Modul entdecken EU AI ActISO 42001NIST AI RMFFINMA 08/2024 Disziplin wählen 01*/05* Governance & Oversight *Basis*ISO 42001*·*EU AI Act Art. 4*·*FINMA 08/2024 ### Wer entscheidet, wer verantwortet, wer prüft Jeder Use Case und jedes Modell hat eine verantwortliche Person, einen Lebenszyklus und einen Prüfrhythmus. Nichts geht ohne Entscheid, kein Entscheid ohne Spur. Im Modul ansehen 1. Governance-Prinzipien und Kontrollen 2. Richtlinien und Ethik-Leitlinien 3. Rollen und Rechenschaft 4. Provider- und Third-Party-Governance 5. Lebenszyklus-Management 6. Laufende Aufsicht 7. Risikobasierte interne KI-Audits 8. KI-Kompetenz und Schulung 02*/05* Risk & Security Management *Basis*NIST AI RMF*·*ISO 42005*·*ISO 27001 ### KI-Risiken bewertet, abgesichert, überwacht KI-Risiken laufen in denselben Risikokatalog wie Ihre übrigen Unternehmensrisiken, mit denselben Kontrollen, Vorfällen und Massnahmen. Kein Sonderregister, kein Sonderprozess. Im Modul ansehen 1. KI-Risiken im Unternehmenskatalog 2. Impact- und Risikobewertungen 3. Sicherheitskontrollen für KI-Systeme 4. Integrität der KI-Modelle 5. Resilienz und Business Continuity 6. Threat Intelligence und Monitoring 03*/05* Compliance & Regulatory Frameworks *Prinzip*Ein Mapping*·*Lückensicht je Anforderung*·*Nachweis auf Knopfdruck ### Einmal bewerten, gegenüber jedem Rahmenwerk nachweisen Ein Use Case, viele Pflichten. Die Plattform zeigt je Anforderung, was erfüllt ist und was offen bleibt. Neue Regulierung heisst neues Mapping, nicht neue Erhebung. Im Modul ansehen 1. ISO 42001 Managementsystem 2. EU AI Act mit Risikoklassen 3. FINMA-Erwartungen 4. NIST AI RMF 5. OCC Model Risk Management 6. SDAIA AI Ethics Principles 7. Eigene und proprietäre Rahmenwerke 8. Konformitätsbewertungen 04*/05* Data Protection & Privacy *Basis*DSG*·*DSGVO Art. 35*·*ISO 27701 ### Personendaten in KI-Prozessen beherrschbar Trainings- und Inferenzdaten sind der wunde Punkt jeder KI-Initiative. Folgenabschätzung, Aufbewahrung und Anonymisierung hängen direkt am Use Case und am Modell. Im Modul ansehen 1. Datenschutz-Rahmenwerke 2. Datenschutz-Folgenabschätzungen 3. Datensicherheits-Kontrollen 4. Privacy-Kontrollen am Modell 5. Data Governance über den Datenfluss 6. Aufbewahrung und Anonymisierung 05*/05* Performance & Transparency *Basis*EU AI Act Art. 13*·*OCC 2011-12*·*SR 11-7 ### Modellgüte messbar, erklärbar, belegt Hier trifft Governance auf Data Science. Accuracy und Stabilität mit Schwellenwerten, Bias-Analyse und unabhängige Validierung. Aus einer Kennzahl wird ein Nachweis. Im Modul ansehen 1. Transparenz und Rechenschaft 2. Erklärbarkeit und Dokumentation 3. Performance-Monitoring mit Schwellenwerten 4. Fairness- und Bias-Analyse 5. Unabhängige Validierung und Kalibrierung 6. Modelloptimierung Vertraut von führenden Organisationen Worauf es ankommt ## Von der KI-Liste zur belegten Governance Ein Inventar, eine Richtlinie und ein paar Assessments sind schnell aufgesetzt. Den Unterschied macht, ob sie im Betrieb noch stimmen. Die häufige Ausgangslage ### Inventar in Tabellen, Nachweise verstreut Wer KI in Tabellen führt, kennt den Stand von gestern. Klassifizierung, Assessments und Modellkennzahlen liegen in getrennten Welten und finden erst im Audit zusammen. - Inventar unvollständig, Schatten-KI unentdeckt - Klassifizierung als Einzelfallentscheid ohne Beleg - Assessments in Dokumenten, Modellkennzahlen im Fachteam - Wirksamkeit belegt zum Go-live, nicht im Betrieb Mit der SwissGRC® Plattform ### Jede KI-Entscheidung mit Beleg Use Cases, Modelle und Tools liegen als geführte Objekte im Inventar, mit Klassifizierung, Assessments, Risiken, Kontrollen und Prüfterminen daran. Ein Stand, der jederzeit stimmt. - Use Cases, Modelle und Tools in einem Lebenszyklus - Klassifizierung nach EU AI Act, ISO 42001 und NIST AI RMF - Risiken und Kontrollen am realen Prozess verankert - Assessments, Audits und Validierungen terminiert und dokumentiert Das AI GRC Modul im Überblick ## Vom Use Case bis zur Modellkennzahl, an einem Ort Inventarisieren, klassifizieren, bewerten, überwachen. Klicken Sie sich durch die vier Ansichten. Inventar und Klassifizierung ### Jeder Anwendungsfall geführt und klassifiziert Use Case, eingesetzte Tools und Modelle in einem Lebenszyklus von Request bis Inactive. Aus Ihren Angaben leitet die Plattform Risikoklasse, Modellklasse und die **daraus folgenden Pflichten** ab, je Rahmenwerk sichtbar. - Lebenszyklus von Request über Review bis Production - Tools mit Kritikalität, intern oder extern - Assessment-Bibliothek von GAIRA bis PIA ![AI Use Case Corporate Loans mit Lebenszyklus, Tools und Klassifizierung nach EU AI Act in der SwissGRC Plattform](https://swissgrc.com/wp-content/uploads/2025/02/AI-Use-Case-Corporate-Loans.png) Verankerung im Prozess ### Risiken und Kontrollen am realen KI-Prozess Der Use Case wird als Prozessdiagramm modelliert. Modelle, Tools und Datenflüsse tragen die zugehörigen Risiken und Kontrollen **an der Stelle, an der sie wirken**. Lücken in der Abdeckung fallen sofort auf. - Modelle, Tools und Datenflüsse im Diagramm - Risiken und Kontrollen direkt am Prozessschritt - Verbindung zu Risikomanagement und IKS ![Prozessdiagramm eines KI-basierten Kreditprozesses mit verknüpften Risiken und Kontrollen in der SwissGRC Plattform](https://swissgrc.com/wp-content/uploads/2025/02/Corporate-Loan-AI-based-Use-Case-1.png) Performance und Transparenz ### Modellgüte als Governance-Kennzahl Accuracy und Stabilität mit Schwellenwert, Verlauf und Verantwortlichkeit. Aus AuROC, Gini und KS wird ein **Wert, der im Gremium trägt**, hinterlegt mit Dokumentation und Entscheidungslogik. - Accuracy- und Stabilitätskennzahlen mit Schwellenwert - Transparenz, Erklärbarkeit und Modelldokumentation - Assistent erklärt Kennzahlen im Kontext ![AI-Modell mit Accuracy- und Stabilitätskennzahlen, Schwellenwerten und Modelldokumentation in der SwissGRC Plattform](https://swissgrc.com/wp-content/uploads/2025/02/AI-Models-New-Item.png) Laufende Aufsicht ### Prüfungen terminiert, Historie lückenlos Assessments, Audits, Validierungen und Kalibrierungen mit Termin und Verantwortlichkeit. Die Historie belegt, **wer wann was geprüft hat**, ohne dass jemand Belege zusammensuchen muss. - Fällige Assessments, Audits und Validierungen im Blick - Vollständige Oversight-Historie je Use Case - Nachweise auf Knopfdruck für Audit und Aufsicht ![Oversight und Monitoring mit fälligen Assessments, Audits, Modellvalidierungen und vollständiger Historie in der SwissGRC Plattform](https://swissgrc.com/wp-content/uploads/2025/02/AI-Use-Case-Corporate-Loans-Oversight-History.png) Aufgebaut auf **anerkannten Rahmenwerken**, von der Klassifizierung bis zum Konformitätsnachweis. EU AI Act ISO 42001 NIST AI RMF FINMA 08/2024 Regulatorik ## Der Aufschub ist kein Freibrief, sondern Ihr Umsetzungsfenster Die Transparenzpflichten des EU AI Act gelten seit dem 2. August 2026. Die Pflichten für Hochrisiko-KI wurden auf Dezember 2027 verschoben. Wer jetzt aufbaut, kommt geprüft an und nicht knapp. 2. Februar 2025 In Kraft Verbotene KI-Praktiken und KI-Kompetenz der Mitarbeitenden 2. August 2025 In Kraft Pflichten für Allzweck-KI-Modelle (GPAI) 2. August 2026 In Kraft Transparenzpflichten nach Art. 50, inklusive Kennzeichnung von KI-Inhalten 2. Dezember 2027 Offen Eigenständige Hochrisiko-KI nach Anhang III 2. August 2028 Offen In regulierte Produkte eingebettete Hochrisiko-KI nach Anhang I **Wichtig für die Planung:** Die verschobenen Fristen entlasten die Konformitätsbewertung, nicht das Fundament. Inventar, Klassifizierung, Rollen und Nachweisführung braucht es vorher, sonst wird aus einem Aufschub ein Rückstand. Die Fristen im EU AI Act wurden 2026 angepasst, prüfen Sie den für Sie geltenden Stand mit Ihrer Rechtsabteilung. Rahmenwerke und Standards ## Einmal erheben, gegenüber allen nachweisen Das Modul bringt die führenden Rahmenwerke mit und nimmt Ihre eigenen dazu. Eine Erhebung, viele Nachweise. Europäische Union #### EU AI Act Risikoklassen, Rollen als Anbieter oder Betreiber und die daraus folgenden Pflichten je Use Case. International #### ISO/IEC 42001 Managementsystem für künstliche Intelligenz, als Struktur für Richtlinien, Kontrollen und Audits. International #### ISO/IEC 42005 Folgenabschätzung für KI-Systeme, als Methode hinter Ihren Impact-Assessments. Vereinigte Staaten #### NIST AI RMF Govern, Map, Measure und Manage als Struktur für die Bewertung und Steuerung von KI-Risiken. Schweiz #### FINMA 08/2024 Erwartungen der Aufsicht an Governance und Risikomanagement beim Einsatz von KI im Finanzsektor. Finanzsektor #### OCC Model Risk Management Etablierte Praxis der Modellvalidierung, verbunden mit Ihren Kennzahlen und Kalibrierungen. Weitere #### SDAIA und MIT AI Risk Repository Ethikprinzipien und forschungsbasierte Risikotaxonomien für Organisationen mit internationaler Aufstellung. Ihre Vorgaben #### Eigene Rahmenwerke Konzernrichtlinien und eigene Taxonomien werden abgebildet und wie jedes andere Rahmenwerk bewertet. Vorteile und Nutzen ## KI verantworten, ohne sie zu bremsen Governance, die Tempo zulässt. Das schafft Akzeptanz im Business und Sicherheit im Gremium. #### Schatten-KI wird sichtbar Ein geführter Antragsweg bringt jeden neuen Use Case ins Inventar, statt an der Governance vorbei. #### Einmal bewerten, mehrfach nachweisen Eine Erhebung, viele Rahmenwerke: EU AI Act, ISO 42001, NIST AI RMF und Ihre eigenen Vorgaben aus derselben Basis. #### Governance trifft Data Science Modellkennzahlen, Validierungen und Kalibrierungen liegen dort, wo auch Richtlinien, Risiken und Kontrollen liegen. #### Prüfsicher gegenüber Aufsicht und Audit Klassifizierung, Bewertung, Freigabe und Prüfung sind mit Datum, Person und Beleg hinterlegt. #### Kein isoliertes KI-Register KI-Risiken, Kontrollen und Massnahmen liegen im selben Katalog wie Ihre übrige Governance, statt in einem Silo daneben. #### Kein Compliance-Stillstand Laufende Überwachung ersetzt die punktuelle Freigabe. Drift, Fristen und Abweichungen melden sich selbst. Kontakt und Demo ## Wir zeigen Ihnen das AI GRC Modul live In einer persönlichen Demo führen wir Sie durch das gesamte Modul: Inventar, Klassifizierung, Assessments, Prozessverankerung, Modellkennzahlen und Nachweisführung. An einem durchgängigen Beispiel aus der Praxis, ohne Vorbereitung auf Ihrer Seite. [Demo anfordern](https://swissgrc.com/demo) [Sales kontaktieren](https://swissgrc.com/sales) ## Häufige Fragen ### Was ist das AI GRC Modul von Swiss GRC? Das AI GRC Modul ist Teil der SwissGRC® Plattform und deckt Governance, Risiko, Compliance, Datenschutz und Modellperformance beim KI-Einsatz ab. Es reicht vom Use Case bis zur Modellkennzahl. ### Welche Rahmenwerke unterstützt das AI GRC Modul? Das Modul bringt EU AI Act, ISO/IEC 42001, ISO/IEC 42005, NIST AI RMF, FINMA 08/2024 und OCC Model Risk Management mit. Auch SDAIA, das MIT AI Risk Repository und eigene Rahmenwerke werden abgebildet. ### Wie werden KI-Anwendungsfälle klassifiziert? Aus den Angaben zu Use Case, Tools und Modellen leitet die Plattform Risikoklasse, Modellklasse und die daraus folgenden Pflichten ab. Die Klassifizierung erfolgt nach EU AI Act, ISO 42001 und NIST AI RMF und ist je Rahmenwerk sichtbar. ### Wann gelten die Fristen des EU AI Act für Hochrisiko-KI? Laut Seitentext gelten die Pflichten für eigenständige Hochrisiko-KI nach Anhang III ab dem 2. Dezember 2027 und für eingebettete Hochrisiko-KI nach Anhang I ab dem 2. August 2028. Die Fristen wurden 2026 angepasst, der geltende Stand ist mit der Rechtsabteilung zu prüfen. ### Wie lässt sich das AI GRC Modul ansehen? Swiss GRC bietet eine persönliche Demo an. Sie zeigt Inventar, Klassifizierung, Assessments, Prozessverankerung, Modellkennzahlen und Nachweisführung an einem durchgängigen Praxisbeispiel, ohne Vorbereitung auf Kundenseite.