Direkte Antwort
Die Freigabe muss für jeden Sperrgrund festgelegte Tore passieren. Verifizieren Sie den aktuellen befugten Daten- und Entscheidungszustand; prüfen Sie Belege für Löschung, Korrektur oder maschinelles Verlernen; und stellen Sie die erforderliche Gewissheit für Modell, Abrufebene und Folgesysteme her. Prüfen Sie während der Sperre getroffene Entscheidungen, schließen Sie erforderliche Benachrichtigungen ab und bereiten Sie Rücknahme und Überwachung vor. Der befugte menschliche Entscheidungsverantwortliche erfasst für jede Bedingung PASS, FAIL oder UNRESOLVED. Eine bedingte Freigabe ist nur in engem Umfang und mit zusätzlichen Kontrollen zulässig.
Einfach erklärt
Ein rotes Schild an einer defekten Maschine wird nicht entfernt, nur weil eine Woche vergangen ist. Das Teil wird repariert, ein Test durchgeführt, eine Sicherheitsfachkraft prüft es, und ein Plan zum erneuten Stoppen der Maschine liegt bereit.
Warum ist das wichtig?
Eine zu frühe Freigabe kann dieselben unzutreffenden Daten oder Modelleffekte erneut in Entscheidungen bringen. Unnötige Verzögerung kann einer Person eine Leistung vorenthalten. Belegtore und ein Befugnisdatensatz steuern beide Risiken.
Nicht verwechseln
- Ablauf startet eine Prüfung; er ist keine automatische Freigabe.
- Die Aussage, die Ursache sei behoben, ist nicht dasselbe wie ein verifizierter Korrekturbeleg.
- Vollständige Freigabe öffnet jede zulässige Nutzung; Teilfreigabe nur einen bestimmten risikoärmeren Bereich.
- Bedingte Freigabe erlaubt vorübergehende Nutzung unter zusätzlicher Überwachung, menschlicher Genehmigung oder engem Umfang.
- Freigabeentscheidung und tatsächliche Aktivierung in Folgesystemen sind getrennte Belegebenen.
Was ist zu tun?
- Listen Sie ursprüngliche Sperrgründe und messbare Freigabebedingungen für jeden Grund.
- Verifizieren Sie die aktuelle maßgebliche Quelle für Daten, Entscheidung, Identität, Befugnis und Korrektur erneut.
- Testen Sie Löschung, maschinelles Verlernen, Caches, Modell und Folgeergebnisse auf dem erforderlichen Sicherheitsniveau.
- Bestimmen Sie betroffene Personen und Entscheidungen aus dem Sperrzeitraum und nehmen Sie notwendige Korrekturen vor.
- Holen Sie die Freigabe einer befugten Person ein, die von der ändernden Person angemessen getrennt ist.
- Erfassen Sie vollständige, teilweise oder bedingte Freigabe samt Rücknahme, Warnungen und Überwachungsschwellen.
- Verifizieren Sie die angewandte Freigabe im Livesystem und in Folgezielen durch unabhängiges Rücklesen und Ergebnistests.
Wie wird geprüft?
- Wurde jeder Sperrgrund getrennt geschlossen?
- Wurden die aktuellen maßgeblichen Daten und der Entscheidungszustand verifiziert?
- Beruhen Belege für Löschung, Verlernen oder Modellkorrektur nur auf einer Anbieteraussage?
- Wurden Entscheidungen und Schäden aus dem Sperrzeitraum geprüft?
- Wurde die Freigabe von einer befugten und angemessen unabhängigen Person genehmigt?
- Sind Rücknahme, Überwachung und Auslöser einer erneuten Sperre bereit?
- Stimmen Entscheidungsdatensatz und reale Folgenutzung überein?
Grenze
Erforderliche Freigabebelege richten sich nach Systemarchitektur, Datentyp, Risiko, Anbieterzugang und anwendbarem Recht. Manche Effekte in externen Modellen sind womöglich nicht vollständig verifizierbar; dann kann eine enge Kontrolle oder UNRESOLVED angemessener sein als vollständige Freigabe.
Merksatz
Nicht der Kalender gibt frei, sondern verifizierte Tore und eine befugte Person.
Quellen dieses Eintrags
- S26NIST SP 800-53 Rev. 5, *Security and Privacy Controls*Standard
- S38NIST AI 600-1, *Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile*Freiwilliger, standardorientierter institutioneller Leitfaden
- S41NCSC und Partnerbehörden, *Guidelines for Secure AI System Development*Offizieller behördenübergreifender Sicherheitsleitfaden
- S44NIST, *AI Risk Management Framework Playbook* und AI RMF CoreFreiwilliger Umsetzungsleitfaden
- S45Europäische Union, Verordnung (EU) 2024/1689 — *Gesetz über künstliche Intelligenz*Rechtsvorschrift
- S48Europäische Union, Verordnung (EU) 2016/679 — *Datenschutz-Grundverordnung*Rechtsvorschrift
- S49Türkische Datenschutzbehörde, *Gesetz Nr. 6698 zum Schutz personenbezogener Daten*Offizielle Behörde und Rechtsvorschrift
- S64Türkische Datenschutzbehörde, *Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten*Offizielle Behörde und Rechtsvorschrift

