ENC387 – AI Governance bei SAP: Standards von ISO bis EU AI Act

So, hallo, herzlich willkommen zu einer weiteren Ausgabe in unserem Podcast. Mit Education Usecast heute mit zwei Gästen aus einem Bereich. Denn hat man noch nie hier zu Gast. Da herfreut mich total dem SAP Global Security und Compliance Bereich der Abo und der Ragnan. Und wir reden über ein Thema, was schon top auf mine von vielen ist und da wollten wir mal ein bisschen mehr Licht rein lassen, bis wir erklären, was geht's da überhaupt? Was macht da die SAP? Es geht um das Thema AI-Gabernanz. Genau, hallo, zuerst mal toll, dass ihr euch die Zeit nimmt. Verkündet euch ganz kurz vorstellen, wer sei dir, was macht ihr bei der SAP? Ragnan, will wir für uns zu kurz anfangen? Ja, gerne und vielen Dank für die Einladung, Thomas. Und freut uns natürlich, dass wir jetzt auch STSC, also SAP Global Security und Compliance hier vorstellen können. Und genau, also ich habe ganz viel vor der SAP als Software Entwickler gearbeitet und auch in baratungsbereich, bei einer Big Four weichlange, zuletzt als Senior Manager und bin dann zur SAP gekommen und drei wir jetzt hier die Cloud Compliance voran und hier im Speziele eben auch den Bereich AI-Gabernanz zusammen im Abo. In no danker Ragnan. Und wenn ich ganz voll wäre, hätte ich gesagt, so wie er, nur anders. Aber tatsächlich komme ich auch aus der Big Four. Es war nicht dieselbe wie der Ragnan, aber eine andere. Und da habt dort auch verschiedene Themen bearbeitet, da ist von Prozessinführung bis zur Systemstehenlegung. Und das letzte, quasi kurz vor Manager, dann Gewächsel zu SAP. Und hier auch, ähnlich wie Ragnan, hier auch strategische Stertifizierungen voran zu treiben. Und eine davon ist die ISO 24001, über die wir nachher noch mehr reden werden. Genau, danke, dass du uns eingeladen hast. Ja, genau, wir haben uns erst auf einem anderen externen Event getroffen, es ist abwissenswert. Können wir vielleicht den nächste Session auch mal in die Show Notes hängen. Das sind immer kurze Impulse zu aktuellen SAP-Themen. Na, ich hab gedacht, oder? Müssen wir auf jeden Fall mal ein Podcast über das Sprache sprechen. Dann muss ich mal euch interviewen. Und so wie meistens am Anfang zu einem Thema, lasst doch mal drauf gucken, warum ist das Thema eigentlich wichtig? Man braucht mir den Standards im AI-Bereich. Also klar, ein Bauchhaus fallen mir das sicher ein paar Punkte ein. Ein paar, also Basswords wie AI-Ekt und so weiter, die sind auch irgendwie allgegenwertig. Aber ich hoffe, jedenfalls weiß gar nicht, um was es da ganz genau geht. Aber warum ist das wichtig? Könnt ihr die Hauptgründe sagen, klar, muss es irgendwie reguliert sein, aber auch nicht zu arg? Also, ich sag mal, die haben bei AI-Goronands, haben wir den Responsible AI-Ansatz. Und diese ist eine Mission, das nimmt drei Klang, das ist AI-Compliance, AI-Security und AI-Effects- und Safety. Um quasi die Garantanz kann's heidlich so betrachten, war das unsere Vorgehen. Und die drei kritischen Themen, die wir versucht haben, zusammenzubringen. Wenn wir uns die AI-Compliance angucken, schauen wir uns da verschiedene Standards und verschiedene Rahmenwerke, die es da draußen gibt. Sei es Themen wie Datenschutz, GDPR kennen wir schon, aber auch verschiedene Zertifizierungen von ISO bis hin zu NIST. Da haben wir quasi diese Standards gesehen und haben geguckt, wie passen sie und wie stellen wir da sicher, dass wir unsere Kunden auch etwas Handfestes geben können, woran sie sich halten können. Das zweite Thema ist natürlich AI-Security. Ich glaube, in der heutigen Welt, in der wir sind, wissen wir, dass Security sehr wichtig ist, dadurch dass verschiedene nicht nur Unternehmen, sondern auch Behörden, verschiedene Angriffe ausgesetzt sind aus dem Cyberbereich. Und daher haben wir uns sehr stark das Thema Security angeguckt und haben versucht, unsere Security Standards auch zu integrieren in unsere allgemeinen Kutsessen. Und hier haben wir auch quasi das Ganze eingebettet. So, er ist jetzt nicht so ein Safety, da hat es schon gesagt, da gibt es schon eine Folge davon. Genau, können wir verlinken. Da hat unsere Kollegin Bettina schon mehr dazu gesagt, aber wir gesagt, das Thema haben wir auch mit eingebunden. Das ist so der Dreiklang der Compliance gegenüber Standards und Gesetzen, aber natürlich auch die Security und dann die ethische Dimension. Genau. Ja, das ist auch wahrscheinlich High Level, so dann der Ansatz bei der SAP. Aus uns richtig. Und wie integriert ihr denn sowas in einem AI-Lebenszyklus? Also da gibt es ja, vielleicht mal eine Idee zu einem Use-Case bis hin dazu, dass es dann am Ende irgendwie einen Kunde nutzt. Verkündet er damals darauf eingehen auf dem Lebenszyklus von AI-Applikation oder Software? Ja, das ist ja auch Teil des Standards oder des ISO Standards zum Beispiel, dass das integriert werden soll in den Lebenszyklus, in den AI-Lebenszyklus. Und das eben im kompletten Lebenszyklus auch integriert. Also wir sprechen hier von Embedded AI-Security und Embedded AI-Compliance. Das heißt, dass wir nicht erst irgendwie am Ende des AI-U-Cases dann von dieser Blickrichtung drauf schauen, sondern wir schon während des gesamten Lebenszyklus. Und hier haben wir im Speziellen den Security Development and Operations Life Cycling, nennt sich das SDOL bei der SAP, wo wir eben schon während der Entwicklungssicherstellen, dass wir die Kompliance Aspekte mit aufnehmen, die Anforderungen schon mit drin sind, die Security Aspekte natürlich da auch mit aufgenommen werden. Und dann eben auch die ethischen Aspekte, da haben wir ja schon sehr viel auf der Website und so weiter, um da Transparenz zu schaffen. Vielleicht da auch nochmal, Herr Thomas, so ist gefragt, was haben unsere Kunden davon, so Standards, die schaffen auch Transparenz. Und das ist eben ganz wichtig, dass unsere Kunden auch wissen, wie stellen wir das sicher? Und mit so Standards kann es so halt ganz genau nachschauen. Was ist da gefordert und was hat die SAP implementiert und wie es dann implementiert ist, darauf kommen auch gleich nochmal zu sprechen. Aber gerade in Life Cycle können wir da mal das Hand von einem Beispiel machen, haben wir jetzt nicht im Detail abgesprochen, aber es gibt ja ganz unterschiedliche Use Cases rund um AI, gerade was was ihr erst oder was vielleicht schon live ist, das man so beschreiben kann. Also ich kann ja nicht gerne die Frage übernehmen, wenn wir uns den Life Cycle angucken, wie identifizieren wir einen, ich nehme jetzt mal einen KI-System oder einen KI-L辣tenglisch-Model. Und wie wird er überhaupt bei uns eingebunden? Das heißt quasi von dem Moment, wo wir sagen, okay, hier ist ein KI-System oder ein KI-Model, der sehr gut ist, der für unsere Levant wäre, dann wir nämlich schon anzuschauen, okay, wenn wir kriegen wir eine Partnerschaft mit den. Und um diese Partnerschaft loszutreten, geht der Partner über unseren Third-Party Risk Management-Prozess. Das heißt, wir überprüfen, ob der Partner unsere Anforderungen erfüllt, erst mal. Und das basiert anhand von verschiedenen Kriterien und natürlich Security und Compliance in Kriterien davon. Und wenn er diese Kriterien nicht erfüllt, dann lassen wir uns vertraglich zusichern, dass er sie innerhalb von der bestimmten Zeit auch erfüllen wird. Und hier gehen wir dann quasi in diesem Lürbenzücklos auch gleich zum Operation. Was machen wir, wenn er diese Standards nicht erfüllt? Das heißt, wir schauen uns diese Modelle und schauen, okay, in wie weit sind sie sicher in wie weit erfüllen sie unsere Anforderungen. Und sollten Sie das nicht erfüllen, tun wir auch, oder bis wir uns gleich in der verschiedenen Maßnahmen, sei es durchfilter, dass bestimmt Antworten nicht gegeben werden. Oder es ist nicht verfügbar für bestimmte User oder Benutzerkruppen. Das heißt, wir tun da schon quasi nachgelagert auf verschiedene Kontrollen eingerichtet. Und natürlich, dass der Beispiel hat er schon vorher gesagt über embedded AI. Das heißt, wenn wir sie in unser Produkt zu einführen, gehen sie durch unseren Development Lifecycle über den SDOL. Wir hat sichergestellt, dass diese Sicherheit und Komplen Standards, dass sie auch eingehalten werden. Und so mit können wir sicherstellen, dass unsere Produkte und die EYE-Funktionen, die unsere Kunden nutzen, da auch unsere Ansprüche genügt. Okay, und das ist so parallel nochmal zu dem Ethikassessment, so wie ich das verstehen. Genau. Also der Ethikassessment ist natürlich, um sicherstellen, dass die ethischen Anforderungen, die wir uns auch geben, erfüllt werden. Und dann haben wir natürlich die komppleienten Security-Anforderungen, die ebenfalls durchgeführt und durchgegangen werden müssen. Und da kann es auch passieren, dass ihr dann sagt, nehm, mit dem Partner, arbeiten wir nicht zusammen, der fülle die Standards nicht. Das kann durchaus passieren. Mit wie viel Partner arbeiten wir da zusammen. Also es ist auch einsichtbar über unsere Business-Eye-Seite. Okay. Ich würde das sagen, also 40+ oder mehr. Okay. Die haben quasi ausgewählte, auf dem Fall zumindest mal schon auf unsere Seite aufgezeigt und da sind auch die großen Players, sind da alle dabei. Und er fällt da nochmal eine Nachfrage, weil ich bin selber begeistert, er nutze von KI-Modellen. Also wenn ihr zum Beispiel einen Tropik, die ich fette, wenn die irgendwas neues rausbringen, dann müssen die auch wieder dann dadurch durch den Prozess. Genau. Also die müssen auch durch den Prozess. Allerdings ist natürlich also es ist ein zweiteiliger Prozess. Es ist entweder du kommst das erste Mal, wirst du aufgenommen. Dann ist natürlich die Prozess spannender länger und mit mehreren Kontrollen. Und wenn es quasi. Sie ein Erneuerung vom Modell ist, sind natürlich die Prozesse und die Kontrollen, die durchgegangen werden müssen, kleiner oder geringer. Aber nicht, dass dort trotzdem da natürlich einige Aspekte, die jedes mal durchgeführt werden müssen, um sicherstellen, dass diese Sicherheits- und Komplanzanforderungen erfüllt sind. Okay. Jetzt reden wir die ganze Zeit von Anforderungen und Standards. Freit können wir mal darauf gucken, welche gibt es da überhaupt? Rania Nulachs, vielleicht wirst du? Ja, kann ich gerne machen. E-E-Sow habe ich mich ein bisschen geschüttelt. Da reden da ich mich nur an mein Studium, E-Sow, 9.000. Aber klar, ist noch mehr Rungsinstitut. Da gibt es auch ein AI-Standards, wusst ich gar nicht. Genau, genau. Die sind da Ende 2023, haben die den veröffentlichten Standards. Es gibt natürlich ganz viele Standards, die da sind. Allerdings ist es natürlich immer die Frage, wie etabliert sind die und da ist einfach die ISO und die Organisation, wenn es um Standards geht. Und hier auch die ISO 42.001, der führende Standard eigentlich, wenn es um das sogenannte AI-Management-System geht. Und wir setzen da eben auch auf die ISO 42.001, um dieses AI-Management-System zu definieren. Und das definiert eigentlich eine High-Level-Struktur, wie man AI-Gavernens aufsetzt. Also die Prozesse, die Verantwortlichkeiten, die Kontrollen, die man da implementieren sollte und wie das auch aufgesetzt werden solls, wenn du das man auf jeden Fall auch einen Management bei Ihnen hat, das Ganze voranzutreiben. Und wir setzen aber nicht nur auf die ISO, sondern auch auf NIST AI-RMF. Das ist das National Institute for Standards and Technology. Das ist ein Institut aus den USA. Und die haben in ein AI-Risk-Management-Framework. Deswegen eben auch AI-RMF definiert. Der Unterschied zu der ISO 22.001 ist einfach, dass das AI-Risk-Management-Framework sich wirklich auf das Risiko-Management bezug auf AI auch konzentriert. Und das ist eben ein Grund, warum das auch ein schönes Zusammenspiel ist zwischen den zwei Standards, weil eben auf der einen Seite die ISO 24.001 die Struktur definiert, wie man so was macht. Und auf der anderen Seite dann auch der NIST-Standard NIST AI-RMF auf die Details geht, wenn es um den kritischen Prozess des AI-Risk-Comments geht. Und die ISO kann man auch zertifizieren, was auch sehr gut ist. Das heißt, man kann durch einen unabhängigen Dritten, dann sich auch nicht nur sich, sondern eben auch den Kunden und unseren Partnern bestätigen lassen, dass wir diese Anforderungen einhalten. Und in Bezug auf NIST AI-RMF dann eben auch das Risiko-Management machen. Dalerdings ist der Standard eben nicht zertifizierbar, deswegen ist das Zusammenspiel von beiden so gut, um da auch Transparenz zu schaffen, wie vorher schon gesagt, denn die Kunden können dann einsehen, was sind eigentlich die Anforderungen, die man da einhält. Und das im Zusammenspiel bereitet uns auch sehr gut vor auf den AI-Risk-Bezingsweise auf viele regulatorische Anforderungen und im Moment eben troppoff meint der AI-Risk-Ai-Ai-Ai, weil die eben alle auf dieser Basis aufbauen und überall wird die Gamanens gefordert, überall muss natürlich ein robustes Risiko-Management dann auch etabliert sein. Okay, und so wie ich das verspfeide, ist die SAP auch zertifiziert in dem ISO 4201, oder? Richtig, das haben wir im September letzten Jahres geschafft, dass wir die erfolgreich zertifiziert wurden und weitend das jetzt auch immer mehr ausgenauen. Was bedeutet das jetzt zum Beispiel für so Embedded AI-Uscasers oder Schul oder BTP-Them? Ja, also ich hab's, ich hab's gehört, man sollte nicht sagen, sehr gute Frage, aber sehr gute Frage. Also die aktuelle Zertifizierung, die beinhaltet Schul zum Beispiel unter den AI-Corps. Und dadurch ist natürlich Indem-Skop von der Zertifizierung auch die BTP oft der AI-Corps läuft. Und der Ragnarzt ja schon gesagt, wir tun die Zertifizierung erweitern oder den Skope erweitern. Also wir haben angefangen mit der Foundation, mit der Basis. Und jetzt tun wir in einem halbjährlichen Zürkloserweitern und alle relevanten Produkte für unsere Kunden, weil sie unter diesem Braylor oder unter diesem Schirm zu bringen. Und da einfach die Standards und die Prozesse einfach zu verärmheitlichen und zu diesen höheren Level an Sicherheit unseren Kunden nachweisen zu können. Und was sagst du jetzt jemand, der sagt, oh, isso, also ist er nur unnötiger Papierkram, der guckte niemand nach. Also früher war man da irgendwie dann halt ein Ordner gehabt, wo alles dokumentiert war und das stellt man sich irgendwie ins Büro. Und eine Ersitzprovocativ ist von klar, dass eine Absicherung hier wichtig ist. Aber was sagst du denn da jemanden, der im Produktmanagement oder der Neteklung der Lieberhalle neue Apps bauen will? Und statt so was machen möchte? Das ist das Thema, was wir auch angehen und tatsächlich, man mag es nicht glauben bei der ISO-24001 dadurch, dass es die erste an eine ganze Standard ist über AI-Management-Suszene. Ist es wirklich so, dass dieses Mal kommen die Produkte auf uns und sagen, hey, wir wollen Teil von eure Management-Systems sein. Das ist auch was Neues, was mir passiert ist in diesem Job. Aber es ist tatsächlich eine schöne positive Veränderung, weil das zeigt, dass diese ISO-2001 gitten in guten Rahmen. Und was ja gesagt, ne, früher hat man das Ganze im Schanke gehanen. Heute tagelverfahren wir den Ansatz "Tou, was Gutes und Rede drüber". Das heißt, die Themen, die geprüft wurden und die Kontrollen und die Bereiche, was gemacht wurden, wir haben die Dokumente auf dem Trostcenter hochgeladen. Das heißt, unsere Kunden und potenzielle Kunden können sich angucken und können genau schauen, was haben wir denn alles gemacht. Und das ist eine Transparell, die wir uns so Kunden schuldig sind und wir wollen einfach zeigen, wie wir mit KI umgehen. Ich denke, das Thema ist auch Thomas, dass die SAP da schon viel Gutes gemacht haben. Wir haben ja jetzt nicht angefangen und haben gesagt, okay, wir nehmen jetzt die ISO und dann fangen wir an irgendwie das, was da dringend gefordert ist zu implementieren. Wir haben natürlich sehr viele Prozesse schon über Jahre hinweg etabliert, auch mit der Einführung. Das haben wir auch vom externen Auditor zurückgespielt bekommen. Aber wo das heißt, gesagt hat ja, also ihr seid da wirklich schon sehr gut aufgestellt und haben dann eben in den Bereich auch für die Vorbereitung der Zertifizierung meist auch die Prozesse erweitert oder Erweiterungen der Prozesse, die schon etabliert sind, gemacht und quasi Prozesse noch irgendwie zusammengeführt. Aber es ist nicht so, dass wir quasi jetzt gegangen sind und erst angefangen haben mit der Zertifizierung das Ganze zu implementieren. Das Thema Ethik und so weiter, das ist auch schon länger bei SAP. Genau, eine große Ambieter, die haben da ihre Ethikboots immer wieder gekänzelt und weggespart. Also, denke da sind wir schon lang dran. Habt ihr der Fall Beispiel aus SAP Produkten, wo ihr zu einer Gavanen, so Standards, direkten Impact hatte? Also, du hast gesagt, da kommen Kollegen direkt auf dich zu. Ich kann mal vorstellen, die guten Fragen aute nach, weil die wollen ja Sicherheit vertrauen, also neben der Transparenz und hoffen dann doch so was, also was ist hier hoffen, also ich glaube, dass einfach eine weitere Absicherung, kann ich mir mal vorstellen. Aber habt ihr da vielleicht noch Beispiele jetzt so ganz konkret? Ja, dann haben wir dann Thema "Top of Mind" beschäftigt und aktuell täglich, um mich zu sagen, stündlich. Und zwar wir schauen uns auf einmal unseren Produkt "Success Fectors". Im HRbereich, wir wissen, dass das wirklich sich um High-risk-Juskehsis dabei handelt und dass es unsere Kunden sehr wichtig, also die stellen die Fragen immer. Und deswegen haben wir "Success Fectors" als einer unserer Vorreite genommen bei der Erweiterung um die Produktpalette und wir tun sie gerade integrieren in den Prozess und in den Management System. Und das ist auch eine Antwort, die wir den Kunden geben bei Fragen, okay, was habt ihr denn, was tut ihr? Das ist auch so eine Antwort, die wir ingeben und wir können in den Zeigen die aktuelle Certifizierung. Da sehen Sie auch die Prozesse und Kontrollen und Sie sehen auch, dass "Success Fectors" jetzt integriert wird und jetzt in "Endekuo 1" eigentlich auch in dieser Station "Success Fectors" dann auch reingeht. Und das ist einfach "Top of Mind" und da sieht man auch den Impact oder die Kunden sind schon gleich viel entspannter. Wenn Sie sehen, okay, das ist die Certifizierung, dass sind die Kontrollen, dass in die Bereiche die abgedeckt sind und es ist nicht nur so irgendwo "Halt Hexchen" haken, sondern da ist was dahinter. Das sind dann zum Beispiel die "Inbetted Use Cases" in "Success Fectors". Das ist für eine "Inbetted Use" und das ist genau. Klar, dann haben Sie wahrscheinlich jeder Vorstellen, wo so Menschen geht, wenn es um "Recruiting" geht oder um "Versetzungen" oder auch bei "Learning" und Vorschläge, was jemand machen sollte oder eher nicht, das irgendwie abgesichert ist. Habt Ihr auch jetzt vielleicht gar nicht von "SAP", habt Ihr auch bei Spielefeld was irgendwie ein Problem werden kann, wenn man sich da jetzt nicht so drum kümmert um "Gamernens" und "Security". Also ich, was ich heute gehört habe, war mal wieder Prompt-Infekten im neuesten "Klowercowerg-Produkt", das ist ein neues Agent von Antropic. Ist das solche Themen, dass sowas nicht getestet wird oder? Ich denke, da gibt es ganz viele. Ich glaube, das Bichtigste ist einfach auch das Aufklärung, das heißt Training, Teil des "Gamernens" ist, da wirklich auch die. Belegschaft drauf vorzubereiten und zu schulen. Was ist AI? Was ist es nicht? Was kann es? Was kann es nicht? Und welche Risiken gibt es auch? Das glaube ich ein großer, großer Faktor auch, weil man vieles auch einfach bei falscher Nutzung falsch machen kann. Jetzt mal unabhängig von den Prozessen, die man dann etabliert, um Risiken da auch in dem technischen Bereich dann sicherzustellen. Ich glaube, das ist schon mal ein wichtiger Faktor und ansonsten ist bei Gamernitz natürlich, wenn man dann Modelle einfach, oder auch so ein bisschen eine Schatten IT da aufkommen lassen, dass jeder dann vielleicht seinen privaten Account dann auch nutzt, weil er sagt, na ja, okay, das ist jetzt irgendwie, ich habe hier noch Zugriff auf andere Ressourcen oder so in meinem privaten Account jetzt, mach ich das da mal rein. Das natürlich schwierig. Deswegen ist es ganz wichtig, da eine Gamernitz zu etablieren, dann auch zu sagen, okay, welche Tools haben wir? Was ist denn in unserer Organisation erlaubt? Was ist auch nicht erlaubt und welche Alternativen geben wir euch, die komplin sind für die Themen, die nicht erlaubt sind. Sonst gibt es wieder so ein bisschen Work-around dadurch und das ist glaube ich wichtig, dass man einfach das schon mal so aufgrundlegend in der Organisation etabliert und da dann auch weiß und weiter trägt, die die Organisation denn AI und KI einsetzen will. Also was ist das Ziel der Organisation, das einzusetzen? Ich glaube, das sind wichtige Punkte, die auch die Gamernitz dann eben auch sicherstellen, dass man in eine Richtung läuft. Ja, vielleicht können nicht da auch nur Kunst ergänzen. Governance, ja, ich glaube, wenn man sich die Zeitungen anguckt, so die letzten Wochen gibt es genug Beispiele, wo man gesehen hat, dass eine mannende Governance zu Themen geführt hat, wo wir von verschiedenen Unternehmen reden. Da ist jetzt von die Leute, was wir gesehen haben, sowohl in Australien. Ich glaube, es gibt jetzt mittlerweile auch noch einen zweiten Fall, als auch mit XAI, was da alles passieren kann. Ich glaube, da sieht man halt, was mannende Governance oder nicht richtig Governance einfach mal dazu führen kann. Okay, also das führt mich eigentlich schon zur nächsten Frage. Also wir fragen im Podcast auch immer gerne nach ganz konkreten Tipps für Kunden, vielleicht können wir auch nochmal für Partner drauf schauen. Also was rediert jetzt SAP Kunden jetzt rund um ja Responsible AI, Governance im Speziellen, was wenn es jetzt anfangen, die ersten Piloten zu machen oder fällt ja auch zu skalieren rund um Business AI, ob der da konkreter Tipps, die Bettina hat zum Beispiel mal gesagt, wenn es um Ethik geht, da ist das Ethik-Främberg von der SAP im Gutpraktis. Das haben schon einige so praktisch ähnlich auch umgesetzt. Natürlich sollte man sich bei jedem Anbieter anfauen, ob der zellifiziert ist zum Beispiel oder und wie er so rund um Governance sich da verhält oder was sind eure Tipps für Kunden. Ja, auf jeden Fall auch. Also was wir gelernt haben, auch bei der Einführung bei uns ist, dass es gut ist, das Zentral aufzusetzen. Also wir haben vorher von dem AI-Management-System gesprochen, da kann man auch sagen, okay, der eine Bereiche in uns an Unternehmen macht es nachdem Prinzipien der andere Bereich so ein bisschen anders. Da haben wir gleich von Anfang an auch quasi uns global abgestimmt und gesagt, okay, wir wollen ein Vorgehen, ein Framework und eben ein AI-Management-System, indem wir alle drin sind. Sei es die interne IT von der SAP, wie auch die Produktentwicklung, die dann nach außen geht. Das ist einfach sehr gut, weil auf der einen Seite skaliert man da viel besser, weil alles quasi nach den gleichen Prozessen läuft und an der auf der anderen Seite dann eben auch wieder die Transparenz hat, wenn es um die Kunden geht, okay, dass eben so wie die Produkte entwickelt wurden, so agiert auch die SAP intern. Also da ist auch die Verantwortung intern beexternt da. Das kann man schon sagen, dass das ein gutes Vorgehen ist, was wir auch den Kunden weitergeben wollen, dass man sich da gleich zentral auch aufstellt. Und vielleicht nochmal, auch ein zweiter Entfehlung ist, nicht zu versuchen, das Rat neu zu erfinden, wenn klar wir reden über KI ist, was neu ist, was toll ist, aber von dem Vorgehen her, ne? Also die riesigen identifizieren, identifizieren, was könnte schiefgehen und was in die Prozessenkontrollen, die man schon in einem Unternehmen hat, wenn man sich das anguckt, dann kann man schauen, okay, wo kann man es denn erweitern, wenn was fehlt, wo muss man eine kleine Änderungen durchführen, damit es dann auch für E-Eipost oder damit es für KI passt und nur da, wo es wirklich nötig ist, neue Prozesse oder neue Kontrollen einzuführen, weil also sonst wird die Handhabung sehr, sehr schnell, sehr schwierig. Gibt es euch SAP Services und Tools dazu auch spezielle? Ja, gibt es also eine Fahnen von Signalwio, um die Prozesse zu modellieren, um sich ja zu stellen, dass man eine Übersicht hat, über seine Prozesslandschaft bis hin natürlich zu "Viamlinex", wo man auch Ihr Government-Expekte mit abdecken kann. Ja, also die Stabilisinde auch gut aufgestellt und wir abentehren auch nach dem Motor SAP, User-SAP, die System und die Prozesse haben die auch bei uns. Okay, da, ich bin mit den meisten Fragen, eigentlich, du, ich hab noch zwei, drei andere, die jetzt jetzt bisschen off topic sind, hab ich irgendwas nicht gefragt, Punkte, die ihr noch gern anbringen wollt. Wir haben jetzt nicht so über den EUAEIC gesprochen, ich weiß nicht, wie stark der überhaupt schon etabliert ist, vielleicht da noch ein, zwei Sätze von euch dazu. Ja, bei dem EUAEIC, da ist noch noch vieles in Bewegung, natürlich auch und trotzdem haben wir schon ganz früh angefangen, die Anforderungen auch zu implementieren. Da, wenn man zum Thema Standards spricht, gibt es den europäischen Organisation, die sich sensellegnant, die den Standard dann auch für die Umsetzung des EUAEICs definiert, die ist noch nicht veröffentlicht, das heißt, man kann jetzt nur damit arbeiten, was man hat. Natürlich, da haben wir aber schon sehr früh angefangen, dann das auch ein abgestimmtes Vorgehen dazu haben, um uns auf den EUAEIC vorzubereiten und sind da auch sehr gut im Zeitplan, das Ganze zu etablieren und haben schon ein großes, großes Programm natürlich aufgesetzt, schon im letzten Jahr, um hier einen Anforderungen gerecht zu werden. Und gibt es dann, du auf Kunden seid ihr dann auch oder ist es eher, was ja, ist das super, wenn sich SAP drum kümmert, da die ganzen Standards so dokumentieren vor allem und so. Ja, leider können wir da nicht sagen, dass wir den Kunden alles abnehmen können, auch die Kunden beim Thema EUAEICammern natürlich, also auch die Kunden müssen ihre EUAEICammern implementieren, die quasi die Organisation und das Feld umfasst, die der Kunde implementiert hat, das ist ja größer als SAP beim Kunde, die haben ja noch andere Tools dann im Einsatz. Und dem entsprechend musste die komplette Organisationen beim Kunden dann komplin sein und nicht nur eben eine Software. Ja, klar, wenn ich mein Microsoft Coup-Hailer zum Beispiel nutze oder so, ist das was, was so immer okay klar macht. Und auch der Kunde baut ja wieder eigene HR-Prozess zum Beispiel auf Basis von Successfektors auf, der dann quasi komplin sein muss in seiner Organisation. Gibt es vielleicht eine spezielle Relevanz für Partner noch, auch der ein oder die andere Partnerin, also Software-Partner, Einführungspartner, Service-Partner und so weiter hören auch immer mal in dem Podcast rein. Ich mein für die ist es auch relevant, wenn sie zum Beispiel AI einführen oder vielleicht sogar auf der BTP was entwickeln, also eigene oder erweitern, eigene Apps. Also ich glaube da ist es eigentlich alles nach dem Cloud gedanken. Also wofür ist der Proweiter zuständig, wofür ist man selber zuständig, voraus baut man den auf und wir stellen halt die Plattform und also auch die Software und das, was wir bereitstellen, dafür sind wir zuständig und was die Partner oder die Kunden da drauf aufbauen und erweitern, sind sie zuständig und das ist einfach zu definieren okay, wo ist die SAP zuständig, wo ist der Partner zuständig, wo ist der Kunde zuständig und dann sicherstellen, dass man diese komplette Kette im Griff hat. Genau, das ist aber, was du gerade ansprichst, ob man jetzt quasi ein Model dann von der SAP benutzt, das wir etabliert haben im embedded AI oder dann auch, man kann ja auch sein eigenes Modell bringen, also jetzt irgendwie auf Hacking-Face oder sowas ein lokal dann nehmen und selbst hohsten, dann ist man natürlich auch selbst dafür verantwortlich, weil man dann quasi ein offenes Modell da in der SAP dann auch implementiert oder bei den Partnern dann auch dementsprechend müssen, dann andere Gardrays da auch eingesetzt werden. Okay, gibt es sonst noch Punkte, die ich vielleicht vergessen habe zu fragen, was oft ein Thema ist? Vielleicht auch normal so zusammenfassend, für den Kunden ist es ganz wichtig, wir wollen da auch, dass wir den Kunden zeigen, dass wir als SAP Verantwortung da übernehmen, in dem Bereich AI und das wollen wir eben auch zeigen, indem wir dieses Standards hernehmen, der Standard mit der ISO 2.4101 NISTAI-RMF, das uns dann auch vorbereitet auf Regulierungen, die global da sind und in dem Bereich sind wir eben auch FrontRunner und DortLeader, in der Etablierung dieser Standards und Implementierung und ja, das hat sich auch gezeigt schon jetzt eben mit dem EU AI act, dass wir da sehr gut darauf vorbereiten sind, aber auch auf andere Regularien und Gesetze, die jetzt in Übersee eben aufkommen, dass man eben sieht, dass da nicht mehr ein großes Implementierungsaufwand stattfinden muss, weil eben schon vieles dann auch dadurch abgedeckt ist. Ja, prima. Ja, da habe ich nochmal 3, 4, ganz kurze Fragen an euch. Und zwar die erstes, habt ihr eine unpopuläre röfelt auch kontraire Meinung rund um ja response BA-Gabernens, habt ihr da irgendwas was vielleicht man hier gar nicht so sehen oder eher anders. Ja also da fällt mir natürlich eine ein, ich fange mal an und zwar Compliance ist keine Hemdnis sondern ein En-Ebler. Man hat durch die Medien Compliance macht alles langsam und wenn man nicht reguliert wäre eigentlich alles toll und schnell und so weiter und ich sage mal so aktuell den Beispiel aus Übersä in den USA. Man sieht es auf Federal Ebene ist gar keine Regulierungen vorgegeben. Nicht dass so trotz sieht man auf Staaten Ebene, dass sich die Staaten schon denken. Okay, also wir können es nicht einfach mal so losgehen lassen ohne eine bestimmte Compliance und Sicherheitsanforderungen zu iterieren und da sieht man sogar Bundesstaaten wie Florida. Geben regular hier vor und von daher Compliance bis zu einem gewissen Grad ist eigentlich eher ein En-Ebler und einen Trostbilder für die Kunden. Okay, cool und du Ranjan hast du? Ja also was man da auch sagen kann, es entwickelt sich ja alles sehr schnell in die Bereich und auch im Gavarnensbereich und was man eben sieht ist, dass vieles auch beantwortet wird im Gavarnensbereich mit Jungen in der Loop und dass man sagt okay man hat den Menschen ja noch mit dabei. Allerdings das war noch eine gute Schutzmaßnahme wenn man jetzt im Bereich der Large Language Models ist, wenn man jetzt den weiteren Weg geht zu Agentic AI, wo es dann eben auch autonomer wird, dann ist das auch der Antwort, die man da geben kann, aber ich denke eher eine Antwort, weil man keine andere Antwort hat, also weil einfach eine Antwort fehlt, weil im Prinzip ist es so, dass Jungen in der Loop bei Agentic AI und wenn das skaliert und immer autonomer wird und immer schneller, dann auch zum Flaschenhaltswirtner und das gar nicht mehr darstellbar ist als Mitigierungsmaßnahme für irgendeinen Risiko und man das jetzt noch bringt, weil man noch keine Antwort hat, aber da eben eine andere Antwort finden muss, darauf. Das hat man sogar schon mal in ein Podcast als Anpopulopinien der Mensch kann auch, der Mensch kann auch, dann ist vielleicht gar nicht so, dass der Mensch auch der Mensch zu sein, weil wir wollen immer Jungen in der Loop, also weil wir denken wir sind doch in meisten besser wie die KI, aber manchen Dingen brauchen uns vielleicht gar nicht, normales andere sich, aber ähnlich also fest ist. Okay, dann hat was Land ihr gerade? Also wir reden auch von Lern und Weiterbildung und Veränderungen im Podcast, habt ihr gerade was auf der Tourlorenliste? Ich habe ganz viel auf der Tourlorenliste angefangen von natürlich frachtliche Themen zur Security and Compliance bis hin zu, also es gibt eine neue Schulung von der Bidkommen, das ist KI Compliance beauftreibt, dass man sich mal die anguckt, wie gut die ist und in die weit sie für uns passt. Das sind so die Schulungen, die bei mir aktuell stehen. Okay, danke, und du rannst? Ja, bei mir auch, also es ist schon spannend und echt tragesfühlt, da ab zu day zu bleiben, was so geht, aber natürlich sollte man auch größere Ziele haben in dem Bereich, was ich auch ganz spannend finde, weil ich auch aus dem Big Four umfeld komme und aus dem Audit-Bereich da auch ist die ISACA Organisation und die hat eine Zertifizierung Advanced in AI-Ordet. Das wollte ich mir mal anschauen, in dem Bereich aber auch natürlich, was der Abo gesagt hat, steht bei uns beiden Auf der Agenda diese Bidkonschugung dazu machen. Ansonsten finde ich es immer spannend, was gerade passiert, welche Fehler auch passieren, um zu lernen, okay, wie könnte man das verhindern? Und deswegen habe ich das vorher angesprochen mit dem, dass man eben auch die Organisation bzw. die Mitarbeiter schuld, weil da immer also die großen Fehler passieren, weil Mitarbeiter das Risiko nicht ganz gut eingeschätzt haben. Das ist so für Infinieren dann oder dass jemand doch eine E-Mail öffnet oder doch dann doch ein Prom Verstecktes irgendwo in einem Dokument und das dann irgendwas auslöst oder im Bereich Security, ja, aber auch im ganz normalen Business, wenn man dann eben KI inhalte nicht überprüft oder vielleicht nicht kritisch genug ist und das dann veröffentlicht wird. Ja, also in Deutschland gab es zum Beispiel erst den Fall, wo ein Gutachten gemacht wurde und der Gutachter bezahlt werden sollte mit ein paar 1.000 Euro und das Gericht gesagt hat, wir haben erkannt, dass das völlig automatisiert von AI erstellt wurde, wir bezahlen das nicht. Also so Sachen finde ich sehr spannend, dass das eben immer noch vorkommt. Also von einem Gutachter, wo ich mir denke, okay, das ist dein core Business, ja, ein Gutachten zu schreiben und es lagerst du aus, was ja okay ist, also man soll ja auch irgendwie die Möglichkeit nutzen, aber eben kritisch nutzen und wissen nutzen und was da eben nicht der Fall ist. Ja, da war dann nicht der Human in der Lobe, am Ende leider. Ja, genau. Ja, gut. Vielleicht habt ihr abklüßend noch ein paar Tipps, wo man sich informieren kann. Also wir haben da einiges auf den Website, vielleicht habt ihr aber auch sonst noch Tipps, wo ihr euch selbst so dem Thema Update hält. Habt ihr da 1, 2? Ihr könnt auch nachlefern oder habt ihr da gibt es ein Podcast, Bücher, Videos? Nein, also ich habe da schon ein, zwei und einige davon wurden auch schon bei dir in einem Podcast genannt, natürlich einmal Link in Learning. Es ist eine Superplattform, um sich verschiedene Themen anzugucken und mittlerweile, was ich auch mache, sind so auf YouTube mir Videos anzugucken von DNBC bis Foxe. Also die haben dann immer gute Pakete so 10, 15 Minuten oder bestimmte oder bestimmte Themen und damit kann man über eine kurze Zeit im ganz vielernern und da gibt es auch immer die ganzen Updates, da ist zu den verschiedenen Modellen oder zu den verschiedenen Firmen. Gibt es denn ein Frontiermodel, dass wieder was Neues gemacht hat und wenn man die abonniert, kriegt man die auch immer quasi abgespielt und man kann zu anhören und was ich zum Beispiel mache und zwar wenn ich hier alleine unterwegs bin, allein im Auto sitze, das weiß man eine Frau, da heu ich halt keine Musik. Ich habe mir dann Podcast, ich habe mir solche Soundbytes, um einfach da immer ob Today zu sein und die bau ich quasi immer im Alltag ein. Da habe ich tatsächlich den "Your Everyday AI Podcast" hör ich mir da immer an. Teilweise auch ein bisschen schneller, das hilft auch immer, weil der doch ein bisschen länger geht und da bleibt man, bleibt ich zumindest relativ gut ab-to-date, mass grad zu los ist, welche Models auf den Markt kommen und was bei den großen Probeidern passiert. Ja, cool, machen wir ein Dishonaut, dann hatte ich auch noch nicht gehört von Heices, KI-Update, da es gibt einige, aber dann hatte ich jetzt noch nicht gehört, pack mir ein Dishonaut und vielleicht noch auch die eine oder andere Quelle. Ja gut, also ich denke, das ist immer mal gut durch das Thema Dorf für alle die zuhören, also er informiert euch gern über die "Shonaut" unten, also die SAP bietet auch einiges auf den Website, gerade zum Thema "Gavernance Response AI". Ich verlinke auch nochmal den Podcast mit der Bettina zum Thema Ethik, es ist auch ein wichtiges Thema, dann bleibt mir nur euch ganz herzlich ein Dank zu sagen, ganz herzlich ein Dank, dass ihr euch die Zeit genommen habt. Danke dir schon mal. Danke dir, Thomas. Danke dir, Thomas. Genau, ich hoffe, für alle, die zugehört haben. Ich hoffe, wir konnten das Thema ein bisschen weiter erklären und ich denke, ein bisschen Transparenz habt ihr gesagt, aber auch vertreuend, also die SAP, wenn man es eine gute Sache ist, dass wir in die Themen viel investieren, ist er absolut wichtig, gerade bei den neuen Themen. Gut, machen wir ein Deckel drauf, oder? Sehr gut. Sehr gut, da ist ja schön. Danke. Dann danke euch. Ciao, ciao. Schönen Tag, alle noch. Ciao. [Musik]