#25/22 – KI scheitert nicht an der Technik – sondern an Governance. TRiSM jetzt!

Viele Häuser testen GenKI. Ohne Governance bleibt Nutzen fragil. Was leisten Gartners TRiSM und das AI-Maturity-Model im Vergleich zu NIST AI RMF und ISO/IEC 42001? Eine quellenkritische Einordnung.

Kliniken stehen zwischen Innovation und Regulierung. TRiSM bündelt Vertrauen, Risiko und Sicherheit; das Maturity-Model ordnet den Status ein. NIST AI RMF und ISO/IEC 42001 liefern offene Prozesse und Nachweise.

These A – TRiSM beschleunigt Innovation – wenn automatisiert Pro: Kontrollen als Code in ModelOps/CI-CD senken Rework und verkürzen Time-to-Production; Guardrails erhöhen die Erfolgsquote von KI-Einführungen [Gartner/2025]. Contra: Manuelle Gremien-Governance bremst; bei GenKI bleibt Erklärbarkeit begrenzt [OCEG/2024]. Einordnung: Evidenzgrad: mittel – Wirkung hängt von Automationsgrad und Datenqualität ab.

These B – NIST/ISO/OECD vs. TRiSM – Ergänzung statt Konkurrenz Pro: NIST (Govern-Map-Measure-Manage) und ISO/IEC 42001 bieten auditierbare Prozesse; TRiSM strukturiert den Tool-Markt und adressiert Shadow-AI-Kontrollen [NIST/2023; ISO/2023; Gartner/2025]. Contra: TRiSM ist proprietär/paywall-gebunden; uneinheitliche Säulen/Schichten erschweren Vergleichbarkeit. Einordnung: Evidenzgrad: hoch – Primärquellen konsistent, zugänglich.

iele Häuser testen generative KI (GenKI). Doch der Flaschenhals ist selten das Modell – es sind fehlende Leitplanken. Mein neuer Bericht zeigt, wie Trust, Risk and Security Management (TRiSM) in Kombination mit offenen Standards die Zeit bis zur sicheren Produktivsetzung halbieren kann.

Worum geht’s konkret?

• TRiSM (Trust, Risk and Security Management): Kontrollen für Vertrauen, Risiko und Sicherheit – als Code in Ihre Pipelines gedacht.
• NIST AI RMF (Artificial Intelligence Risk Management Framework, National Institute of Standards and Technology) + ISO/IEC 42001 (Artificial Intelligence Management System, AIMS): offene, auditierbare Prozesse statt PowerPoint-Reifegrad.
• CI/CD (Continuous Integration/Continuous Delivery) & ModelOps (Model Operations): Freigaben reproduzierbar, Monitoring permanent.
• RACI (Responsible–Accountable–Consulted–Informed) & KPIs (Key Performance Indicators): klare Verantwortungen, messbarer Nutzen.

3 unbequeme Wahrheiten für Entscheider:innen im Gesundheitswesen

1. Ohne Governance bleiben Nutzen, Skalierung und Haftung fragil – unabhängig vom Modelltyp.
2. Proprietäre Frameworks allein reichen nicht; die Kombination aus NIST/ISO (offene Nachweise) und TRiSM (operative Kontrollen) ist der Game-Changer.
3. „Manuelle Gremienfreigaben“ bremsen. Kontrollen als Code in CI/CD beschleunigen sicher – auch unter EU AI Act und NIS2.

Was liefert der Bericht?

• Vergleich TRiSM ↔ NIST AI RMF ↔ ISO/IEC 42001 ↔ OECD-Prinzipien – prägnant, quellenkritisch.
• 90-Tage-Fahrplan: Inventar, Policy-Set, Lieferanten-Due-Diligence, automatisierte Gates (Bias/Leakage/PII), Monitoring & Auditplan.
• Kennzahlen für den Vorstand: Time-to-Approval, Incident-Rate, Drift-Alerts, Audit-Findings, ROI (Return on Investment).
• Risikomatrix inkl. Exit-Strategie gegen Lock-in.

03.11.2025, Olaf Dunkel, http://www.olafdunkel.de

© 2025 Dieser Beitrag beruht auf eigenständiger Recherche und Analyse diverser Quellen; eine KI leistete lediglich sprachliche Unterstützung, die inhaltliche Verantwortung trägt ausschließlich der Autor.

Den vollständigen Bericht können Sie hier gerunterladen: