Gerald Kierce, CEO und Mitgründer von Trustible – Interviewreihe

Gerald Kierce, CEO und Mitgründer von Trustible, ist ein Technologie- und Politikführer, der sich auf die Operationalisierung verantwortungsvoller KI konzentriert. Er leitet die Mission von Trustible, Organisationen dabei zu helfen, Vertrauen aufzubauen, Risiken zu managen und sich an neue KI-Vorschriften anzupassen. Zuvor war er Vice President und General Manager von AI-Lösungen bei FiscalNote, wo er Unternehmens-KI-Produkte beaufsichtigte und Führungspositionen in Unternehmensentwicklung, Produkt, Kundenerfolg und Geschäftsoperationen innehatte. Seine Karriere hat sich stets an der Schnittstelle zwischen Technologie, Regulierung und skalierbarer Unternehmensausführung bewegt.

Trustible bietet eine KI-Governance-Plattform, die Organisationen dabei hilft, KI-Systeme zu inventarisieren, Risiken zu bewerten und zu mindern und die Einhaltung von Vorschriften durch strukturierte Workflows und Dokumentation zu operationalisieren. Die Plattform ist für Rechts-, Compliance- und KI-Teams konzipiert und zentralisiert Governance-Aktivitäten, stimmt KI-Anwendungsfälle mit regulatorischen Rahmenbedingungen ab und ermöglicht eine schnellere und transparentere Bereitstellung verantwortungsvoller KI im gesamten Unternehmen.

Sie sind von der Produktmarketing- und Chief-of-Staff-Arbeit zu leitenden KI-Lösungen bei FiscalNote gewechselt, bevor Sie Trustible gegründet haben. Was haben Sie in diesen Rollen gesehen, das Sie davon überzeugt hat, dass KI-Governance eine dedizierte Plattform benötigt, und welches Problem wollten Sie zuerst lösen, als Sie Trustible starteten?

Ich hatte das Glück, viele Rollen während meiner 8+ Jahre bei FiscalNote innezuhaben, wo ich als früher Seed/Series-A-Mitarbeiter begann und als Senior-Executive nach dem Börsengang ausschied.

Über Produktmarketing, Chief-of-Staff-Arbeit und schließlich leitende KI-Lösungen bei FiscalNote hinweg sah ich immer wieder das gleiche Problem aus verschiedenen Perspektiven. KI-Governance ist grundlegend ein soziotechnisches Problem, aber die meisten Organisationen gingen damit fragmentiert um. Teams behandelten KI-Leistung, Sicherheit, Datenschutz, Ethik und Rechtsprüfungen als separate Spuren, oft von verschiedenen Funktionen mit wenig gemeinsamer operativer Wirbelsäule, die sie verband. Diese fünf Dimensionen sind absolut wichtig und müssen gemeinsam angegangen werden. Aber wo Organisationen Schwierigkeiten hatten, war die Übersetzung dieser soziotechnischen Absichten in etwas Dauerhaftes, wenn KI in echte Entscheidungsfindung überging.

Zugleich änderte sich die regulatorische Umgebung um KI deutlich. Der EU-KI-Akt und damit verbundene Standards signalisierten einen Wechsel hin zur Regulierung von KI als regulierte Infrastruktur und nicht als experimentelle Technologie. Was offensichtlich wurde, war, dass viele Unternehmen versuchten, Politik und regulatorische Erwartungen auf KI-Systeme nach der Bereitstellung zu übertragen, anstatt Governance zu entwerfen, das regulatorische Absichten kontinuierlich über diese soziotechnischen Dimensionen hinweg operationalisieren konnte.

Meine Erfahrung bei FiscalNote war wichtig, weil wir KI auf die Politik-, Rechts- und Regulierungslandschaft selbst anwendeten. Wir halfen Organisationen, zu verstehen, wie Gesetze sich entwickeln, wie Anforderungen interpretiert werden und wie regulatorische Erwartungen in operative Verpflichtungen über die Zeit umgesetzt werden. Diese Erfahrung machte deutlich, dass effektive KI-Governance die gleiche Disziplin in umgekehrter Richtung erfordert: Die Anwendung von Politik und regulatorischem Denken direkt auf die Art und Weise, wie KI-Systeme gebaut, bereitgestellt, überwacht und an veränderte Bedingungen angepasst werden.

Kunden beschrieben konsistent die gleichen Schmerzpunkte. Sie konnten nicht mit Sicherheit sagen, welche KI-Systeme in Produktion waren, welche unter neuen Vorschriften hochriskant waren, wer verantwortlich war, wenn Systeme funktionale Grenzen überschritten, oder wie sie kontinuierliche Einhaltung demonstrieren konnten, während Modelle, Daten, Lieferanten und Vorschriften sich gleichzeitig änderten.

Als wir Trustible starteten, war das erste Problem, das wir lösen wollten, die Umwandlung von soziotechnischer Governance von Theorie in operative Realität. Wir konzentrierten uns auf die Schaffung eines Systems, das technisches Verhalten, Risikokontext von Anwendungsfällen, Eigentümerschaft und regulatorische Erwartungen an einem Ort verbindet. Trustible wurde gebaut, um Organisationen ein lebendes System der Aufzeichnung für KI zu geben, mit kontinuierlicher Sichtbarkeit und Rechenschaftspflicht, damit Governance mit technologischen Veränderungen und regulatorischer Evolution Schritt halten kann, anstatt hinterherzuhinken.

Was haben Sie aus der ersten Reihe über die letzten 12 Monate gelernt, warum Governance-Programme ins Stocken geraten, wenn KI in echte Entscheidungen, Workflows und kundenorientierte Erfahrungen übergeht?

Sobald KI aus der Experimentierphase in echte Workflows übergeht, neigt Governance dazu, aus sehr praktischen Gründen und nicht aus philosophischen Gründen ins Stocken zu geraten. Die meisten Organisationen wissen einfach nicht, wie sie KI-Risiken auf eine Weise bewerten, die der tatsächlichen Nutzung der Systeme entspricht. Sie können Modelle im abstrakten Sinne bewerten, aber sie haben Schwierigkeiten, Risiken auf der Ebene der Anwendungsfälle zu bewerten, wo Kontext, Auswirkungen und nachgelagerte Entscheidungen viel mehr zählen als technische Metriken allein.

Dieses Problem wird noch verstärkt durch generative KI. Ein einzelnes Grundmodell kann für Kundensupport, interne Forschung, Entscheidungsunterstützung oder Content-Erstellung verwendet werden, jedes mit sehr unterschiedlichen Risikoprofilen. Ohne eine strukturierte Methode, um diese Nutzungen zu bewerten und zu vergleichen, rotieren Teams entweder zu vorsichtig oder gehen ohne echte Sicherheit vor.

Drittanbieter-KI kompliziert die Dinge weiter. Organisationen verlassen sich stark auf Lieferanten und eingebettete KI-Fähigkeiten, aber sie haben keine konsistenten Methoden, um diese Systeme zu bewerten, die Kontrolle über die Lieferkette zu verstehen oder zu bestimmen, wie Lieferantenrisiken in ihre eigene regulatorische und operative Exposition übersetzt werden. Als Ergebnis werden Überprüfungen subjektiv und langsam.

Diese Herausforderungen werden durch Lücken in Fachwissen und Eigentümerschaft verstärkt. Governance-Verantwortlichkeiten werden oft über Rechts-, Compliance-, Sicherheits-, Daten- und Produktteams verteilt, ohne ein gemeinsames Rahmenwerk oder einen klar verantwortlichen Eigentümer, sobald Systeme die Produktion erreichen. Kombiniert mit ungeeigneten Werkzeugen wie Tabellenkalkulationen, Dokumenten-Repositorys oder Legacy-GRC-Plattformen verlieren Governance-Teams die Sichtbarkeit in das, was sich ändert und warum es wichtig ist.

Im Kern stockt Governance, weil Organisationen alte Spielbücher anwenden, die für statische Systeme konzipiert sind, auf dynamische KI-Systeme. KI erfordert kontinuierliche Risikobewertung, klare Eigentümerschaft, die an Ergebnisse gebunden ist, und Werkzeuge, die das tatsächliche Verhalten in der Produktion widerspiegeln, anstatt wie auf Papier genehmigt.

Schließlich bleibt die Eigentümerschaft oft ungeklärt. In vielen Organisationen gibt es keinen klar verantwortlichen Eigentümer für ein KI-System, sobald es von der Experimentierphase in die Produktion übergeht. Ohne einen benannten Geschäftseigentümer, der für Ergebnisse verantwortlich ist, wird Governance beratend und der Fortschritt verlangsamt.

Der gemeinsame Faden ist, dass Organisationen alte Governance-Spielbücher auf grundlegend neue Technologie anwenden. Diese Spielbücher waren für statische Systeme und periodische Überprüfungen konzipiert. KI erfordert kontinuierliche Risikobewertung, klare Eigentümerschaft und Werkzeuge, die Governance direkt mit dem tatsächlichen Betrieb in der Produktion verbinden.

Wie definieren Sie Governance im zweiten Jahr, und was ändert sich, wenn eine Organisation von der initialen Einführung zu kontinuierlicher Überwachung, Drift-Management und kontinuierlicher Einhaltung wechselt?

Die KI-Governance im zweiten Jahr ist der Moment, an dem KI aufhört, als eine Reihe von Projekten behandelt zu werden, und beginnt, als grundlegende Infrastruktur für Entscheidungsfindung behandelt zu werden. Was ich damit meine, ist, dass die KI-Governance in den ersten Jahren hauptsächlich auf Ermöglichung ausgerichtet ist. Teams konzentrieren sich auf die Genehmigung von Anwendungsfällen, die Dokumentation von Modellen und die Einrichtung von Überprüfungsprozessen, damit KI verantwortungsvoll voranschreiten kann.

Sobald KI-Systeme skaliert werden und in Kerngeschäftsprozesse eingebettet sind, ändert sich der Fokus. Die Frage ist nicht mehr, ob etwas bereitgestellt werden sollte, sondern ob es sicher und zuverlässig über die Zeit hinweg betrieben werden kann, während Daten, Benutzer, Lieferanten und Vorschriften sich ändern. KI-Governance wird kontinuierlich anstatt episodisch, ausgelöst durch reale Änderungen im Verhalten oder Kontext, anstatt durch kalenderbasierte Überprüfungen.

Risiko wird auch dynamisch. Anstatt einer statischen Risikobewertung bei der Bereitstellung müssen Organisationen verstehen, wie Risiko sich ändert, wenn Modelle drifteten, Bereiche erweitert werden oder neue Stakeholder mit dem System interagieren. Die Einhaltung von Vorschriften folgt der gleichen Verschiebung. Regulatorische Anforderungen ändern sich von der Zuordnung zu Richtlinien hin zur Durchsetzung durch Live-Kontrollen, Überwachungssignale und kontinuierlich erfasste Beweise.

Ein weiterer wichtiger Aspekt der KI-Governance im zweiten Jahr ist die Einführung echter KI-Vorfallmanagement. Organisationen müssen wissen, welche Systeme überwacht werden, sie basierend auf inhärentem Risiko priorisieren, die richtigen Daten integrieren, um bedeutungsvolle Signale zu erhalten, und klare Warn- und Eskalationskriterien definieren. Dies ermöglicht es Teams, frühzeitig einzugreifen, bevor Probleme zu Vorfällen werden.

Bei fragmentierten Systemen und begrenzten Ressourcen, welche Governance-Fähigkeiten sollten Unternehmen zuerst standardisieren, um sie über das gesamte Unternehmen hinweg zu verteilen?

Wenn Ressourcen begrenzt sind, müssen Organisationen bewusst entscheiden, wo sie beginnen, da frühe Entscheidungen die Richtung für alles beeinflussen, was folgt. Die erste Priorität ist, zuverlässige Sichtbarkeit in die tatsächliche Existenz von KI im Unternehmen zu gewinnen. Viele Teams glauben, sie hätten nur eine Handvoll KI-Systeme, nur um zu entdecken, dass es Schatten-KI, eingebettete Lieferantenfähigkeiten und stillskalierende Anwendungsfälle gibt, die nie formal überprüft wurden. Ohne ein lebendiges Bild davon, was in der Produktion ist, bleiben Governance-Diskussionen theoretisch und von der Realität getrennt.

Sobald Sichtbarkeit durch die KI-Inventarisierung existiert, geht es darum, Verantwortung in KI-Anwendungsfälle zu integrieren. Governance bricht schnell zusammen, wenn Verantwortung über Ausschüsse oder Funktionen verteilt wird. Organisationen müssen klar festlegen, wer für Ergebnisse verantwortlich ist, wenn ein KI-System Entscheidungen trifft oder beeinflusst, und nicht nur, wer es ursprünglich gebaut oder überprüft hat. Diese Klarheit wird besonders wichtig, wenn Vorfälle auftreten oder Modelle über ihren ursprünglichen Umfang hinausgehen.

Danach benötigen Teams eine praktische Methode, um über Risiken nachzudenken. Das bedeutet, einen gemeinsamen Ansatz zur Risikoklassifizierung zu etablieren, der über interne Systeme, generative KI-Anwendungsfälle und Drittanbieter-Lieferanten hinweg funktioniert. Ohne ein gemeinsames Risikolenz können Organisationen entweder niedrigriskante Systeme überbewerten oder diejenigen, die am wichtigsten sind, unterbewerten.

Schließlich muss Governance Beweise als Nebenprodukt normaler Operationen erzeugen. Wir sprechen oft über “Sagen, Tun, Beweisen” als eine Möglichkeit, Vertrauenswürdigkeit in der KI-Governance zu demonstrieren. Die Erfassung von Genehmigungen, Änderungen und Überwachungssignalen, während Systeme laufen, ermöglicht es Organisationen, auf Audits, Vorfälle, Kundenanfragen und regulatorische Anfragen mit Sicherheit zu reagieren, anstatt Entscheidungen nachträglich zu rekonstruieren. Diese Grundlagen müssen nicht perfekt sein, aber sie müssen kohärent und wiederholbar sein, wenn Governance skalieren soll.

Warum glauben Sie, dass KI-Governance mit der gleichen Ernsthaftigkeit behandelt werden muss wie Cybersicherheit oder GRC, und wo unterschätzen Führungskräfte am meisten die operative Arbeitsbelastung?

Die KI-Governance birgt systemisches Risiko, das mit dem von Cybersicherheit und GRC vergleichbar ist, aber mit zusätzlicher Komplexität. Wie bei Cybersicherheitsversagen können KI-Versagen schnell und unsichtbar über das gesamte Unternehmen verbreitet werden. Wie bei GRC schneidet KI in rechtliche, ethische und operative Verpflichtungen ein. Anders als bei beiden kann sich das Verhalten von KI-Systemen über die Zeit ändern, ohne dass explizite menschliche Aktion erforderlich ist.

Wo Führungskräfte die Arbeitsbelastung am meisten unterschätzen, ist in den laufenden operativen Anforderungen. Überwachung ist kontinuierlich und nicht periodisch. Koordination umfasst Produkt-, Daten-, IT-, Rechts-, Compliance- und Beschaffungsteams. Das Change-Management ist konstant, da Modelle, Lieferanten, Anwendungsfälle und Vorschriften sich gleichzeitig ändern.

Organisationen, die KI-Governance als einmalige Compliance-Übung behandeln, kämpfen unweigerlich. Diejenigen, die sie als operative Infrastruktur betrachten, ähnlich wie Sicherheit oder Zuverlässigkeitsingenieurwesen, sind besser positioniert, um KI sicher und nachhaltig zu skalieren.

Wie sollten Unternehmen, die bereits KI in der Produktion haben, aber kein formales Governance-Programm, eine realistische erste 90-Tage-Periode gestalten?

Die ersten 30 Tage sollten sich auf das Erreichen grundlegender Sichtbarkeit konzentrieren. Das bedeutet, zu bestimmen, welche KI-Systeme in der Produktion sind, zu verstehen, wo sie echte Entscheidungen beeinflussen, und klare Eigentümerschaft zuzuweisen.

Die nächste Phase besteht darin, Basis-Kontrollen zu etablieren. Organisationen sollten definieren, wie sie Risiken klassifizieren, Genehmigungspunkte für Systeme mit höherem Risiko einführen und mit der Überwachung der Bereiche beginnen, die am wichtigsten sind.

In der letzten Phase muss Governance von der Einrichtung zur Operation übergehen. Überwachung sollte in bestehende Workflows integriert, Eskalationspfade klar definiert und Beweise beginnen, sich natürlich zu ansammeln, während Systeme laufen.

Das Ziel der ersten 90 Tage ist nicht Perfektion. Es ist Momentum. Ein Governance-Programm, das unvollkommen in der Praxis funktioniert, ist viel wertvoller als eines, das nur auf dem Papier existiert.”

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Trustible besuchen.