KI-⁠Governance in Singapur: Was IMDA, PDPC und MAS von Unternehmen verlangen

Singapur hat einen der kohärentesten KI-Governance-Stacks der Welt aufgebaut — nicht durch ein einzelnes Gesetz, sondern durch ineinandergreifende Rahmenwerke, die alle in dieselbe Richtung weisen: Aussagen über KI müssen testbar, verantwortbar und belegbar sein. IMDA und die AI Verify Foundation veröffentlichten im Mai 2024 das Model AI Governance Framework for Generative AI mit neun Dimensionen, darunter Verantwortlichkeit, Daten, Vorfallsmeldung, Testen und Assurance sowie Inhaltsherkunft. Die PDPC publizierte im März 2024 Leitlinien zur Nutzung personenbezogener Daten in KI-Empfehlungs- und Entscheidungssystemen. Die FEAT-Prinzipien der MAS — Fairness, Ethik, Verantwortlichkeit, Transparenz — setzen seit 2018 den Maßstab für Finanzinstitute. Dazu kommt SGTech, der Branchenverband mit über 1.000 Technologieunternehmen — ein Markt, in dem verantwortungsvolle KI Kaufkriterium ist, kein Häkchen.

Was erwartet IMDAs Model AI Governance Framework konkret?

Die GenAI-Ausgabe ist freiwillig, doch ihre neun Dimensionen beschreiben genau das, was Aufsicht, Vorstände und Einkauf heute abfragen. Drei Themen sind für Unternehmensdeployments entscheidend:

• Verantwortlichkeit entlang der KI-Lieferkette — Modellentwickler, Anwendungsbetreiber und Infrastrukturanbieter haften jeweils für ihre Ebene.
• Datenherkunft — wissen, woher Trainings- und Grounding-Daten stammen, und es nachweisen können.
• Vorfallsmeldung — KI-Fehler erkennen, eskalieren und dokumentieren wie Sicherheitsvorfälle.

Ergänzt wird das Rahmenwerk durch eine Testkultur. Die von IMDA im Juni 2023 gegründete AI Verify Foundation pflegt ein Open-Source-Testframework samt Toolkit, das Governance-Prinzipien in Prozessprüfungen und technische Tests übersetzt — ausgeführt in Ihrer eigenen Umgebung, mit auditierbaren Berichten. Die Erwartung in Singapur ist unmissverständlich: Was sich nicht dort testen lässt, wo Ihre Daten liegen, ist Marketing.

Wie greift das PDPA, wenn KI personenbezogene Daten berührt?

Die PDPC-Leitlinien von 2024 behandeln Entwicklung, Test und Betrieb von KI-Systemen mit personenbezogenen Daten. Organisationen müssen Einwilligungs- und Informationspflichten erfüllen oder sich auf definierte Ausnahmen stützen, Datenminimierung anwenden und Rechenschaftsmaßnahmen über den gesamten KI-Lebenszyklus vorhalten. Der Praxistest: Wenn Ihre Plattform nicht zeigen kann, welche personenbezogenen Daten wann und warum in welches Modell geflossen sind, wird PDPA-Compliance zum Ratespiel.

MAS FEAT: die höhere Messlatte für Finanzinstitute

Die MAS veröffentlichte die FEAT-Prinzipien 2018 — als eine der ersten KI- und Datenanalytik-Leitlinien einer Finanzaufsicht — und beauftragte anschließend das Veritas-Konsortium, sie in Bewertungsmethodiken und Open-Source-Werkzeuge zu übersetzen. Für Banken und Versicherer in Singapur sind Erklärbarkeit, begründete Ergebnisse und klar zugeordnete Governance-Verantwortung aufsichtliche Erwartung, keine Absichtserklärung.

Was sollte ein Unternehmen in Singapur von einer KI-Plattform verlangen?

• Beweisbare Datenresidenz — Inferenz, Retrieval und Logs innerhalb Ihres Perimeters, air-gap-fähig, statt vertraglicher Versprechen über fremde Clouds.
• Testbare Aussagen — Assurance-Tests, die Sie selbst ausführen können, im Geist von AI Verify.
• Menschliche Aufsicht — Freigabeschranken vor folgenreichen Aktionen, mit wahrheitsgemäßer Statusanzeige.
• Unveränderliche Auditierbarkeit — ein Protokoll pro Aufruf, das nur angefügt und nie geändert oder gelöscht wird, bereit für Vorfallsmeldung und Aufsichtsfragen.

Singapurs Rahmenwerke laufen auf einen architektonischen Schluss zu: Governance muss im Ausführungspfad leben, innerhalb Ihres Perimeters — denn nur dort lässt sie sich beweisen.