KI-Governance, auf die Verlass ist: Sie wissen, welche KI im Einsatz ist, wer dafür verantwortlich ist und was passiert, wenn etwas schiefgeht.
Fast jedes Unternehmen kann seine KI-Pilotprojekte benennen.
Eine vollständige Liste aller KI-Systeme im Unternehmen können dagegen nur wenige vorlegen: wer für jedes System verantwortlich ist, auf welche Daten es zugreift und welche Berechtigungen es besitzt. ServiceNow AI Control Tower macht aus dieser Liste ein verwaltetes Inventar. Jeder Eintrag hat eine verantwortliche Person, eine Risikoklasse und Genehmigungen und steht unter Aufsicht.
Skills und KI-Agenten laufen auf der Plattform, Modelle im Konto eines Cloud-Anbieters. Dazu kommt KI, die in eine im letzten Quartal beschaffte Software eingebettet ist. ServiceNow benennt die Folgen: Schatten-KI, nicht erfasste Modelle und Integrationen, die niemand dokumentiert hat.
Fast immer gibt es jemanden, der ein KI-System gebaut hat. Oft fehlt aber jemand, der fachlich, technisch oder für das Risiko verantwortlich ist und von dieser Rolle auch weiß.
Das eine Team durchläuft mit der Rechtsabteilung eine formale Prüfung. Das andere stellt einen Skill für Zusammenfassungen an einem Nachmittag live, und zwar zu Recht, denn das Risiko ist gering. Es fehlt eine Regel, die festlegt, welcher Weg gilt.
Einmal bewertet und genehmigt, läuft ein System monatelang weiter. Die Daten ändern sich, die Berechtigungen bleiben so weit gefasst wie am ersten Tag.
Wir entwickeln und betreiben KI-Agenten mit ServiceNow und Claude, im eigenen Unternehmen ebenso wie in den Umgebungen unserer Kunden.
KI-Governance gestalten wir deshalb aus Sicht derer, die im Alltag mit ihr arbeiten müssen. Dazu gehören benannte Verantwortliche, klare Entscheidungsrechte, Freigabewege, die zum Risiko passen, und die Möglichkeit, einen KI-Agenten im Ernstfall jederzeit zu stoppen.
Steuern Sie den Anwendungsfall, nicht nur das Modell.
Gespräche über KI-Governance beginnen meist beim Modell: welches, von welchem Anbieter, in welcher Region. Das sind berechtigte Fragen, doch das Risiko liegt woanders.
Schreibt ein Modell eine Zusammenfassung, die anschließend ein Mensch liest, entsteht kaum ein operatives Risiko. Erhält dasselbe Modell ein Tool, mit dem es Kundendatensätze ändern kann, dazu Zugangsdaten für die Produktion und die Erlaubnis, ohne Prüfung zu handeln, sieht die Lage völlig anders aus.
Das Modell ist dasselbe, das Risiko ein ganz anderes.
Entscheidend ist, auf welche Daten ein System zugreift, welche Berechtigungen es besitzt, wie selbstständig es handelt und ob ein Mensch eingebunden ist.
Orientieren sich Ihre Kontrollstufen an diesen Faktoren, ist ein Anwendungsfall mit geringem Risiko schnell freigegeben, während ein autonomer KI-Agent mit Zugriff auf Finanzdaten gründlich geprüft wird.
Richtet man die Kontrollstufen dagegen am Modell aus, wird entweder alles blockiert oder alles durchgewunken. Wer schon im ersten Gespräch klassifiziert, beschleunigt mit Governance die Umsetzung, statt sie zu bremsen.
Deshalb sind unsere Lösungen auf Unternehmen ausgelegt, die mehrere KI-Modelle nebeneinander einsetzen. Claude ist dabei unsere bevorzugte Intelligenzebene. Ein Modell, das sich gut für Textentwürfe eignet, ist aber selten auch das passende für einen KI-Agenten mit Berechtigungen in der Produktion.
Ein Bestandsverzeichnis für KI, mit Lebenszyklus und Genehmigungskette.
AI Control Tower ist ein Workspace mit mehreren Anwendungen, über den Sie Ihr KI-Portfolio steuern. Erfasst werden KI-Systeme, Modelle, Prompts, Datensätze und MCP-Server in ServiceNow und auf externen Plattformen. Jeder Eintrag enthält Verantwortliche, Zweck und vorgesehene Nutzung, Risikoklasse, Compliance-Status sowie die Lebenszyklusphase mit den zugehörigen Genehmigungen. Dazu kommen Bewertungen von Qualität und Sicherheit und Messwerte zu Produktivität, Kosten und Nutzung, abgeglichen mit Ihrer KI-Strategie und Ihren Zielen. AI Control Tower ist weder ein Monitoring-System mit aufgesetztem Dashboard noch eine Richtliniensammlung.
Sie können nicht steuern, was Sie nicht sehen.
AI Control Tower steuert Assets über Lebenszyklus-Playbooks durch die Phasen Onboard, Assess, Build and Test und Deploy. Für Anpassungen gibt es Änderungsanträge, für die Außerbetriebnahme Offboarding-Anträge.
Das Phasenmodell samt den Genehmigungsanträgen und Aufgaben, über die es abläuft, der Governance-Datensatz, in dem der Status festgehalten wird, und die Möglichkeit, eigene Phasen zu ergänzen.
Welche Risikoklasse welche Genehmigungen erfordert, wer an welchem Schritt beteiligt ist, wie oft Systeme neu bewertet werden, wie Ausnahmen genehmigt werden und welcher Nachweis genügt.
Unklar, welche KI heute in Ihrem Unternehmen läuft?
Das ermitteln wir gemeinsam mit Ihnen in einem Workshop.
ServiceNow AI erledigt die Arbeit.
Mit AI Control Tower behalten Sie die Kontrolle über Ihre KI.
Klassifizierung, Kontrollen und die Beweiskette.
KI-Systeme, Modelle und Datensätze werden in die Risikoklassen gering, mittel, hoch oder unannehmbar eingestuft. Was noch nicht bewertet ist, erhält die Klasse „zu bestimmen“.
Die Risikoposition setzt das inhärente Risiko oder das Restrisiko ins Verhältnis zur Wirksamkeit der Kontrollen. So sehen Sie, was Ihre Kontrollen tatsächlich leisten. Der Compliance-Status wird aus den Attestierungen der Kontrollen berechnet. Zu jedem Asset gehören eigene Bewertungen, Risiken, Kontrollen, Feststellungen und Ausnahmen.
Gut zu wissen: Assets ohne Bewertung tauchen in den Risikoauswertungen gar nicht auf. Ein unauffälliges Dashboard kann deshalb für ein gut gesteuertes Portfolio stehen, aber ebenso für eines, das noch niemand bewertet hat.
Verantwortung ist fest in der Struktur verankert und kein bloßes Etikett. ServiceNow richtet die Rollen AI Steward und AI Asset Owner ein, dazu vier Rollenstufen für AI Risk and Compliance.
Datenstandort.
›
Diese KI-Anwendungen senden Daten von Ihrer Instanz an eine zentrale ServiceNow-Umgebung. Diese Umgebung kann in einer anderen Region liegen und bei einem externen Cloud-Anbieter betrieben werden. Für In-Country-Editionen und regulierte Märkte stehen die Anwendungen nur eingeschränkt zur Verfügung. Die Datenflüsse erfassen wir in der ersten Woche und richten das Design an Ihren Vorgaben zum Datenstandort aus, bevor es in die Sicherheitsprüfung geht.
Zu weit gefasste Zugriffe.
›
Jeder KI-Agent erhält Rollen mit minimalen Rechten, abgeglichen mit den Listen privilegierter und ruhender KI-Agenten.
Nicht registrierte Verbindungen.
›
Greifen KI-Agenten über das Model Context Protocol auf externe Tools zu, wird jeder MCP-Server über AI Gateway registriert. Bevor ein KI-Agent ihn nutzen darf, durchläuft der Server ein Genehmigungs-Playbook. Eine Verbindung, die nicht registriert ist, entzieht sich jeder Steuerung.
AI Control Tower enthält optionale Inhalte zum EU AI Act, zum NIST AI Risk Management Framework, zum Colorado AI Act und zum kalifornischen Gesetz SB 53. Nach Aussage von ServiceNow dienen diese Inhalte der Information und sichern keine Konformität zu. Deshalb kombinieren wir die Plattform mit unserem Angebot EU AI Act Readiness: Wir klären, welche Pflichten für Sie gelten, und AI Control Tower strukturiert, dokumentiert und belegt, wie Sie diese erfüllen.
Ihre Risikofunktion wird nicht ersetzt, sondern erhält etwas, das sie steuern kann.
Sie möchten Ihre Governance-Lücken kennen, bevor ein Audit sie aufdeckt?
Erst das Inventar, dann die Verantwortung, zuletzt die Automatisierung.
Aktiviert heißt noch nicht wirksam. Wir sehen Instanzen, auf denen AI Control Tower installiert und auf dem neuesten Stand ist, ohne dass dort ein einziger MCP-Server veröffentlicht wurde. Die Plattform liefert Inventar, Lebenszyklus, die Weiterleitung von Genehmigungen und den Audit Trail. Entscheidungsrechte, Verantwortlichkeiten, Risikokriterien und Eskalationswege sind dagegen keine Frage der Konfiguration. Hier sind Entscheidungen gefragt, und die erarbeiten wir gemeinsam mit Ihnen.
Geht es nur um ServiceNow-eigene KI oder auch um externe Plattformen und in Software eingebettete KI? Davon hängt die Lizenzfrage ab.
Die Assets über Erkennung und Connectors erfassen, den Rest über einen manuellen Prozess. Danach festlegen, welche Assets in welcher Reihenfolge von „unmanaged“ zu „managed“ wechseln.
Für jedes Asset die fachliche, technische und Risikoverantwortung festlegen und von den benannten Personen bestätigen lassen.
Hier stocken die meisten Programme, und das liegt nicht an der Technik.
Maßgeblich ist, was ein System tun kann, nicht welches Modell es nutzt. Auf Wunsch bilden wir die Klassifizierung auf die Inhalte zum EU AI Act oder zu NIST ab.
Vorhandene Richtlinien und Kontrollen den KI-Assets zuordnen, statt ein paralleles KI-Regelwerk zu verfassen, das niemand liest.
Lebenszyklusphasen, Genehmigungswege je Risikoklasse, Nachweisanforderungen, Ausnahmen und Außerbetriebnahme, abgestimmt auf Ihre Entscheidungsrechte.
Qualität und Sicherheit dort bewerten, wo sich der Aufwand lohnt, Sicherheitssignale beobachten, einen Prüfrhythmus festlegen und einen klaren Weg zur Eindämmung benennen.
Plattform und Service sind zwei verschiedene Dinge, und beide führen auf diese Seite.
Technisch läuft Ihre KI-Governance auf AI Control Tower. Governance as a Service ist die Arbeit, die dafür sorgt, dass sie weiterläuft.
Wir ermitteln, welche KI Sie heute betreiben, wo Verantwortliche fehlen und welche Assets als Erste den Lebenszyklus durchlaufen.
Am Ende stehen eine erste Gruppe von Assets und die nötigen Entscheidungen.
Wir setzen die sieben Schritte oben um und richten Plugins und Abhängigkeiten, Rollen und Dashboards ein.
Ein Projekt mit einem definierten Ende.
Neue Anwendungsfälle aufnehmen, Bewertungen und Genehmigungen steuern, Ausnahmen vor ihrem Ablauf prüfen, Qualitäts- und Sicherheitssignale im Blick behalten, ungenutzte Systeme stilllegen und Nachweise auf Anfrage bereitstellen.
Ihr Team betreibt das Governance-Modell selbst oder gemeinsam mit uns über Governance as a Service. Diese Arbeit endet nicht, und genau darum geht es.
Wir steuern unsere eigene KI so, wie wir Ihre steuern würden.
Die Anwendungen, mit denen wir Projekte umsetzen, laufen mit ausdrücklich festgelegten Kontrollpunkten: die Wahl der Verbindung, die Freigabe des Geltungsbereichs, eine Prüfung, bevor etwas erzeugt wird, und ein Build-Log. Diese Kontrollpunkte im Ablauf kombinieren wir mit strukturellen Vorkehrungen: Konten mit minimalen Rechten und Plattformrichtlinien. Jeder KI-Agent, den wir betreiben, erhält wie jede andere Produktivkomponente eine verantwortliche Person, einen Berechtigungsumfang und ein Prüftermin.
Wir sind ServiceNow Consulting & Implementation Partner und Resell Partner sowie Anthropic Consulting & Implementation Partner. Die Workflows, die Genehmigungen und das führende System für Ihr KI-Portfolio stellt ServiceNow bereit. Claude bildet die Intelligenzebene, auf der wir aufbauen.
Unsere Projekte sind auf Organisationen mit etwa 250 bis 5.000 Mitarbeitern ausgelegt. Dort gibt es keine zwölfköpfige Abteilung für KI-Governance, und wer für KI verantwortlich ist, erledigt das neben seinen eigentlichen Aufgaben.
Finden Sie heraus, was Sie steuern müssten, bevor das Portfolio weiter wächst.
In einem Workshop ermitteln wir gemeinsam, welche KI Sie heute betreiben, wo Verantwortliche fehlen und welche Assets als Erste den Lebenszyklus durchlaufen. Danach haben Sie eine klar umrissene erste Gruppe von Assets und kennen die Entscheidungen, die dafür nötig sind.