asago Assess

governance compliance open-source ai-governance policy-as-code kubernetes compliance-automation ai-safety red-hat audit-trail

Sept. 2026

Überblick

asago (AI Safety And Governance Orchestration) ist ein Open-Source-Community-Projekt, das Red Hat am 4. August 2026 angekündigt hat und das darauf abzielt zu automatisieren, wie AI-Governance-Policies zu produktreifen, sicher deployten AI-Systemen werden. Statt ein einzelnes Guardrail- oder Evaluation-Tool zu sein, positioniert es sich als Bindeglied zwischen Compliance-, Data-Science- und Infrastruktur-Teams: Es liest Governance-Policy, ordnet sie anerkannten Risk-Frameworks zu, generiert use-case-spezifische Safety-Tests und erzeugt operative Controls für Hybrid-Cloud- und Kubernetes-Umgebungen zusammen mit einem auditierbaren, nachvollziehbaren Workflow (Red Hat Pressemitteilung, Open Source For You).

Das adressierte Problem ist real und weit verbreitet. Die Berichterstattung zum Launch rahmt asago vor drei anhaltenden Enterprise-Lücken: der Verzögerung zwischen Policy-Erstellung und Enforcement beim Deployment, dem Fehlen automatisierter Review-Gates vor dem Go-Live von Modellen und der daraus resultierenden Drift hin zu unmanaged „Shadow AI“ (AI Governance, Webull-Zusammenfassung). Die architektonische Wette — Policy as Code, ausgedrückt als Kubernetes-, Terraform- und Ansible-Artefakte — ist ein für Platform-Teams vertrautes und glaubwürdiges Muster (BiggO Finance).

asago liegt in assess, weil das Ökosystem-Signal stark ist, das Produktionssignal aber fehlt. Das Projekt befindet sich in der Formationsphase, das verfügbare Material besteht fast ausschließlich aus der Launch-Day-Ankündigung und abgeleiteter Berichterstattung, und in den Belegen findet sich kein unabhängiges Deployment, kein Benchmark und kein Nutzerbericht. Das reicht aus, um gezielte Untersuchungen und Prototyping zu rechtfertigen, nicht jedoch, um Pilot-Commitments auf lieferkritischen Governance-Pfaden zu rechtfertigen.

Adoptionssignale

Von Red Hat am 4. August 2026 als formales Open-Source-Community-Projekt angekündigt, mit Distribution über Business Wire und breiter Aufnahme in der Fachpresse (Business Wire, AIwire).
Gründungsteilnehmer aus Industrie und Wissenschaft: Red Hat, Alquimia AI, Brave Software, die EvalEval-Coalition, IBM Research, IT:U Austria, Microsoft, MIT Lincoln Laboratory, North Carolina State University, NVIDIA und The Alan Turing Institute (Red Hat Blog, Intelligent CIO).
Lizenziert unter Apache 2.0 mit öffentlichem GitHub-Repository und von Beginn an einem Community-Governance-Modell (Open Source For You).
Baut auf früherer Arbeit von Red Hat und NVIDIA als Mitglieder der Open Secure AI Alliance auf, und der Launch wird als im Einklang mit den NVIDIA-verknüpften SAFE-Guidelines (Shared AI Findings Exchange) beschrieben (AIwire, BiggO Finance).
Ausrichtung auf externe Standards statt einer proprietären Control-Taxonomie: NIST AI RMF, OWASP Top 10 for LLMs und der EU AI Act über den IBM AI Risk Atlas (AIwire).
Erklärte Absicht, vollständige verteilte Trace-Fähigkeiten bereitzustellen, die die Evidenzbasis protokollieren, die Auditoren zum Nachweis der Compliance benötigen (Red Hat Pressemitteilung).

Risiken

Reife in der Formationsphase. Red Hat gibt an, dass sich das Projekt aktuell in der Projektformationsphase befindet und ruft Entwickler und Wissenschaftler zur Mitarbeit auf; Breaking Changes und unvollständige Integrationen sind zu erwarten (Red Hat Pressemitteilung).
Keine Produktionsevidenz. Jede verfügbare Aussage ist eine Launch-Ankündigung oder deren Wiederholung; das Ergebnis „Tage statt Monate oder Jahre“ ist eine erklärte Absicht, kein beobachtetes Resultat (AIwire).
Automatisierte Policy-Interpretation ist eine Trust Boundary. Das Framework liest und interpretiert hochgeladene Governance-Policies automatisch und ordnet sie Risikoprofilen zu; eine Fehlzuordnung erzeugt Controls, die konform aussehen, es aber nicht sind, und die Belege beschreiben für diesen Schritt keinen Assurance-Prozess (AIwire).
Abhängigkeitskette des Orchestrators. asago integriert sich mit Best-in-Class-Open-Source-Tools und adressiert die operativen Lücken zwischen ihnen, sodass sein Nutzen von der Reife des umgebenden Evaluation- und Guardrail-Tooling abhängt (Red Hat Pressemitteilung).
Governance-Konsortium-Risiko. Eine breite, multi-organisationale Gründerliste ist eine Stärke für Legitimität, verlangsamt historisch aber die Entscheidungsfindung; die Belastbarkeit von asagos Community-Governance-Modell ist noch nicht erprobt (Intelligent CIO).
Kubernetes-zentrierte Annahme. Der Output ist auf Kubernetes, Terraform und Ansible ausgerichtet; Organisationen, die AI-Workloads außerhalb dieser Substrate betreiben, könnten die generierten Controls als schlecht passend empfinden (BiggO Finance).

Vorteile & Nachteile

Vorteile

asago ordnet hochgeladene Governance-Policies etablierten Risk-Frameworks wie dem NIST AI RMF, den OWASP Top 10 for LLMs und dem EU AI Act über den IBM AI Risk Atlas zu, sodass Teams ihre eigenen Crosswalks nicht händisch erstellen müssen.
Es erzeugt deploybare Konfiguration für Kubernetes-, Terraform- und Ansible-Umgebungen, wodurch dieselben Safety-Controls konsistent über hybride und Multi-Cloud-Infrastrukturen angewendet werden können.
Das Projekt startete unter der Apache License 2.0 mit einem öffentlichen GitHub-Repository, einem Community-Governance-Modell und einer Gründerliste, die Red Hat, IBM Research, Microsoft, NVIDIA, MIT Lincoln Laboratory und The Alan Turing Institute umfasst, was das Risiko einer Single-Vendor-Vereinnahmung senkt.

Nachteile

asago befindet sich explizit in der Projektformationsphase, weshalb vor einem stabilen Release mit Änderungen an APIs, Scope und Integrationsflächen zu rechnen ist.
Die Belege enthalten ausschließlich Vendor-Aussagen zu Ergebnissen — etwa Compliance-zu-Deployment-Zyklen, die sich von Monaten auf Tage verkürzen — ohne unabhängige oder kundenseitige Produktionsreferenzen zur Validierung.
Da asago darauf ausgelegt ist, mit anderen Best-in-Class-Open-Source-Tools zu integrieren statt sie zu ersetzen, erben Adopter die operative Last eines Multi-Tool-Stacks aus Evaluation, Guardrails und Policy, den asago nur orchestriert.

Empfehlung

Bewerten Sie asago jetzt im Rahmen von assess, halten Sie die Investition aber klein und explorativ. Die wertvollste Übung in diesem Quartal ist es, eine reale interne AI-Governance-Policy und einen deployten Use Case durch asagos Interpret-and-Map-Stufe laufen zu lassen und das generierte Risikoprofil sowie den Control-Set mit dem zu vergleichen, was Ihre Compliance-Funktion manuell erstellt hat. Dieser Vergleich sagt weit mehr über die Passung aus als das Launch-Material, und er ist günstig, weil das Projekt unter Apache 2.0 mit öffentlichem Repository steht (Open Source For You).

Teams, die bereits auf Kubernetes mit Terraform- oder Ansible-Pipelines standardisiert sind und bereits Verpflichtungen dem NIST AI RMF, den OWASP Top 10 for LLMs oder dem EU AI Act zuordnen, sind die natürlichen Early Evaluators — asagos Output zielt genau auf diesen Stack und diese Frameworks ab (AIwire). Alle anderen sollten beobachten statt bauen. Ziehen Sie ein bestehendes manuelles Review-Gate nicht zurück und stellen Sie es nicht zurück in der Erwartung, dass asago es ersetzen wird; behandeln Sie jeden generierten Control als Entwurf, der ein menschliches Sign-off erfordert, und halten Sie Ihre eigene Audit-Evidence-Pipeline unabhängig, bis asagos verteilte Trace-Fähigkeit in der Praxis geprüft werden kann.

Überprüfen Sie dies im nächsten Radar-Zyklus anhand konkreter Promotion-Kriterien: ein getaggtes Release jenseits der Formationsphase, Contribution-Aktivität von mehr als einem oder zwei der genannten Partner, mindestens ein Drittanbieter-Bericht über ein reales Deployment sowie dokumentiertes Verhalten, wenn die Policy-Interpretation ambig oder fehlerhaft ist. Werden diese Kriterien erfüllt, wäre ein Wechsel zu trial gerechtfertigt; bleibt es bei reinem Ankündigungssignal, wäre das Halten bei assess gerechtfertigt.