Künstliche Intelligenz ist mittlerweile fest in den ITSM-Prozessen verankert: automatisches Ticket-Routing, Priorisierungsvorschläge, Agenten-Support, Chatbots, Ereigniskorrelation, prädiktives Monitoring, Workflow-Automatisierung.
Die Vorteile liegen auf der Hand. Es gibt jedoch auch eine neue Ebene der Verantwortung. Mit dem EU AI Act wird die Regulierung Künstlicher Intelligenz zu einem rechtlichen, aber vor allem auch operativen Thema. Die europäische KI-Verordnung ist am 1. August 2024 in Kraft getreten; einige Bestimmungen sind ab 2025 wirksam geworden, während die vollständige allgemeine Anwendung für den 2. August 2026 vorgesehen ist.
Für CIOs, IT-Direktoren und Verantwortliche im Service Management ist der Punkt klar: KI kann nicht länger nur als eine erweiterte Funktion der ITSM-Plattform betrachtet werden. Sie muss durch Prozesse, Verantwortlichkeiten, Kontrollen, Dokumentation und Audit-Trails verwaltet werden. Auf all das werden wir in diesem Artikel eingehen.
Warum der EU AI Act auch die ITSM-Governance betrifft
Der EU AI Act basiert auf einem risikobasierten Ansatz. Dabei wird insbesondere zwischen KI-Systemen mit einem unannehmbaren Risiko, Hochrisiko-Systemen, Systemen mit Transparenzpflichten und Systemen mit minimalem oder keinem Risiko unterschieden.
Viele KI-Anwendungsfälle im ITSM werden voraussichtlich in den letztgenannten Bereich fallen, den risikoärmsten: Chatbots für den Self-Service, Vorschlagssysteme für Agenten, automatische Ticket-Klassifizierung, intelligentes Routing und assistierte Priorisierung.
Die Klassifizierung sollte jedoch nicht als selbstverständlich angesehen werden:
- Ein Chatbot, der dem Nutzer dabei unterstützt, eine Wissensdatenbank zu durchsuchen, hat begrenzte Auswirkungen.
- Ein System, das die Priorität eines kritischen Vorfalls vorschlägt, erfordert bereits mehr Aufmerksamkeit.
- Ein Workflow, der die Zugangsvergabe auf sensiblen Systemen automatisiert, muss noch sorgfältiger bewertet werden.
Die praktische Faustregel ist einfach: Je näher die KI an eine automatische Entscheidung mit erheblichen Auswirkungen auf Zugänge, Sicherheit, Betriebskontinuität oder Nutzerrechte heranrückt, desto robustere Kontrollen sind erforderlich.
KI-Regulierung im ITSM: Wie Anwendungsfälle klassifiziert werden
Der erste Schritt der KI-Regulierung im ITSM ist die Erstellung eines Inventars der bereits aktiven oder geplanten KI-Anwendungsfälle. In vielen Organisationen nämlich dringt Künstliche Intelligenz schrittweise ein: zunächst als integrierte Funktion in der Plattform, dann als Chatbot, als Vorschlags-Engine und schließlich als Automatisierung, die mit externen Systemen verbunden ist.
Oft ist es sehr sinnvoll, dass es so ist. Für jeden Anwendungsfall erweist es sich daher als nützlich, sich zu fragen:
- Trifft das System autonome Entscheidungen oder liefert es nur Vorschläge?
- Hat der Output Auswirkungen auf Nutzer, Zugänge, Sicherheit oder die Betriebskontinuität?
- Ist eine menschliche Kontrolle vorgesehen?
- Werden personenbezogene Daten oder kritische Informationen verarbeitet?
- Weiß der Nutzer, dass er mit einem KI-System interagiert?
Zur Praxis: Chatbots und virtuelle Assistenten für den IT-Self-Service werden häufig als Limited Risk eingestuft, insbesondere wenn sie direkt mit Nutzern interagieren. Hier besteht die Hauptanforderung aus Transparenz: Der Nutzer muss wissen, wann er mit einem KI-System interagiert und bei Bedarf auf einen menschlichen Mitarbeiter zugreifen können.
Vorschlagssysteme für Agenten werden häufig ein begrenztes oder minimales Risiko aufweisen, sofern der Agent die endgültige Kontrolle behält. Intelligentes Ticket-Routing und die automatische Vorfallspriorisierung hingegen müssen sorgfältig verwaltet werden, insbesondere wenn sie die Reaktion auf Sicherheitsvorfälle, kritische Unterbrechungen oder wesentliche Dienste beeinflussen.
Eine KI-gestützte Zugangsbereitstellung bedarf einer spezifischen Bewertung. Wenn die KI die richtige Gruppe vorschlägt, lässt sich das Risiko begrenzen. Wenn sie hingegen Zugänge für sensible Systeme automatisch genehmigt oder entzieht, ohne angemessene Aufsicht, ändert sich das Risikoprofil. Auch Systeme für prädiktives Monitoring, Ereigniskorrelationen und die Anomalie-Erkennung müssen anhand des Autonomiegrades bewertet werden: Erzeugen sie nur Warnmeldungen und Empfehlungen oder leiten sie automatisch Korrekturmaßnahmen ein?
Wie ersichtlich ist, ist der Geltungsbereich der EU AI Act Compliance sehr weit, komplex und ständig im Wandel.
Dokumentation und Audit-Trail
Eine ausgereifte ITSM-Umgebung ist bereits auf Rückverfolgbarkeit aufgebaut. Jedes Ticket hat eine Geschichte, jeder Vorfall eine Zeitachse, jede Änderung sollte Begründungen, Genehmigungen, erwartete Auswirkungen und Ergebnisse aufweisen. Die KI-Regulierung erfordert im Wesentlichen, diese Grundsätze auf KI-gestützte Workflows auszuweiten.
Konkret sollte die Dokumentation mindestens fünf Aspekte klären:
- Zweck des KI-Systems
- Nutzungsbereich
- verwendete Daten
- generierte Outputs
- Audit-Trail
Der Audit-Trail ist dabei besonders wichtig. Jeder relevante Vorschlag oder jede relevante Entscheidung der KI sollte eine Spur hinterlassen: wesentliche Eingaben, der generierte Output, das Konfidenzniveau, den Agenten, der die Empfehlung genehmigt, geändert oder abgelehnt hat, und die ausgeführte Endaktion.
Der Zweck dessen liegt nicht darin, Bürokratie, sondern ein operatives Gedächtnis zu schaffen. Ohne Gedächtnis kein Audit und ohne Audit keine Governance.
Erklärbarkeit in Workflows integrieren
Die Erklärbarkeit ist eine entscheidende Seite der KI-Regulierung im ITSM. Sie darf kein rein technisches Konzept bleiben, sondern muss Teil der täglichen Erfahrung von Agenten und Prozessverantwortlichen werden. In der Praxis bedeutet dies, dass der Agent verstehen können muss, warum die KI eine Priorität für ein Ticket vorschlägt: Dafür sind ähnliche Tickets, betroffene Assets, SLAs, betroffene Services, historische Muster und Risikoindikatoren wichtig.
Wenn die KI einen Provisioning-Workflow unterstützt, sollte sie die Logik der Empfehlung zeigen:
- Rolle des Nutzers
- Abteilung
- ähnliche Anfragen
- anwendbare Richtlinie
- etwaige Ausnahmen
Es ist nicht immer eine detaillierte technische Erklärung erforderlich, sondern es bedarf schlicht einer operativen Erklärbarkeit, die klar genug ist, um einer kompetenten Person zu ermöglichen, den Vorschlag zu bewerten, zu bestätigen oder zu korrigieren.
Andernfalls riskiert der Einsatz von Künstlicher Intelligenz, zu etwas „Magischem“ zu werden, das nicht in Frage gestellt werden kann: Es ist unnötig zu betonen, wie gefährlich das ist.
Menschliche Kontrolle und Verantwortung
Kommen wir zu einem Aspekt, der sich direkt aus dem ergibt, was wir gerade hervorgehoben haben. Die menschliche Aufsicht ist eine der Säulen der KI-Regulierung im ITSM. Aber nicht alle Workflows erfordern dasselbe Kontrollniveau. Ein Vorschlag zur Aktualisierung einer FAQ kann eine leichte Überprüfung erfordern. Eine Prioritätsempfehlung für einen kritischen Vorfall erfordert mehr Aufmerksamkeit. Eine Automatisierung, die Zugänge, Konfigurationen oder Assets ändert, muss robustere Kontrollen vorsehen.
Für operative Zwecke ist es nützlich, zwischen drei Ebenen zu unterscheiden:
- Human-in-the-loop: Die KI schlägt vor, aber die Aktion wird erst nach menschlicher Genehmigung ausgeführt. Dies ist der am besten geeignete Ansatz für die Zugangsbereitstellung, hochgradig einflussreiche Changes und kritische Vorfälle.
- Human-on-the-loop: Die KI führt innerhalb vordefinierter Grenzen aus, während das Team überwacht, Warnmeldungen erhält und eingreifen kann. Dies ist nützlich für repetitive Automatisierungen mit kontrolliertem Risiko.
- Human-out-of-the-loop: Die KI oder die Automatisierung führt ohne direkten menschlichen Eingriff aus. Dies sollte auf standardisierte, reversible, gut dokumentierte und risikoarme Fälle beschränkt werden.
Das zu vermeidende Risiko ist die unsichtbare Automatisierung. Jeder automatisierte Prozess muss einen Besitzer (Verantwortlichen), Eskalationsschwellen, Blockierungskriterien und ein Rollback-Verfahren haben. Kurz gesagt: KI kann Prozesse beschleunigen, aber die Verantwortung muss beim Menschen bleiben.
Eine praktische Roadmap für die KI-Regulierung im ITSM
Um die KI-Regulierung im ITSM konkret zu gestalten, empfiehlt es sich, schrittweise vorzugehen. Wir isolieren sieben Schritte, die wir nachfolgend kurz zusammenfassen:
- Ein Inventar der bereits aktiven oder geplanten KI-Anwendungsfälle erstellen.
- Jeden Anwendungsfall nach Risikoniveau klassifizieren und die Bewertung begründen.
- Besitzer und Verantwortlichkeiten definieren: Business-Verantwortlicher, technischer Ansprechpartner, Kontaktpunkt für Compliance und Security.
- Mindestanforderungen an die Dokumentation einführen: Zweck, verwendete Daten, generierte Outputs, menschliche Kontrollen, Logging, Performance-Metriken, Überprüfungsrichtlinien.
- Erklärbarkeit in Workflows integrieren und für Agenten und Prozessverantwortliche sichtbar machen.
- Change-Management-Richtlinien aktualisieren: Jede wesentliche Änderung an einem Modell, einer Automatisierungsregel oder einer KI-Integration sollte als relevanter Änderungsprozess behandelt werden.
- Teams schulen: KI-Kompetenz betrifft den Service Desk, Incident Manager, Change Manager, Asset Manager, Plattform-Administratoren und Prozessverantwortliche.
Fazit
Künstliche Intelligenz transformiert das ITSM: Sie reduziert Reaktionszeiten, verbessert die Klassifizierung, unterstützt Agenten, entlastet den Service Desk, antizipiert Anomalien und macht die Nutzer-Erfahrung reibungsloser. Aber je mehr KI in die Prozesse einzieht, desto mehr bedarf sie einer Regulierung.
Der EU AI Act sollte nicht als Innovationsbremse, sondern als ein Rahmen wahrgenommen werden, um den KI-Einsatz zuverlässiger, nachhaltiger und langfristig vertretbarer zu machen. Für CIOs und IT-Direktoren ist dies eine wichtige Gelegenheit: die Disziplin des ITSM in die Governance Künstlicher Intelligenz einzubringen.
FAQ
Was verlangt die EU AI Act Compliance?
Sie verlangt Transparenz, Dokumentation, Rückverfolgbarkeit, menschliche Aufsicht und dem Risiko jeder KI-Anwendung angemessene Kontrollen.
Was bedeutet KI-Regulierung im ITSM?
Es bedeutet, Regeln, Verantwortlichkeiten, Kontrollen und Prozesse für den Einsatz von Künstlicher Intelligenz in ITSM-Plattformen zu definieren. Dazu gehören die Risikoklassifizierung, die Dokumentation, Audit-Trails, eine menschliche Aufsicht, Erklärbarkeit, Datensicherheit sowie die Beachtung von rechtlichen Aspekten und der Compliance..
Wo anfangen, um das ITSM an den EU AI Act anzupassen?
Mit der Bestandsaufnahme der bereits aktiven oder geplanten KI-Anwendungsfälle. Dann müssen diese nach Risikoniveau klassifiziert, Owner und Verantwortlichkeiten definiert, Daten und Outputs dokumentiert, Audit-Trail und Erklärbarkeit integriert, Change-Management-Richtlinien aktualisiert und Teams geschult werden.
