KI-Governance: wer darf was mit KI
KI-Governance ist der betriebliche Rahmen für den KI-Einsatz: Wer darf welches Werkzeug nutzen, wer prüft das Ergebnis, wer gibt ein neues frei. Dazu gehören ein Verzeichnis der Anwendungen, eine Risikoeinstufung je Fall, eine Richtlinie und Nachweise. Wir schreiben diesen Rahmen für Ihr Haus – so knapp, dass er gelesen wird, und so belegt, dass er einer Nachfrage standhält.
- 11+
- Unternehmen mit KI im Einsatz
- 100 %
- Server in Deutschland und der EU
Hallo! Ich bin der KI-Berater von SEODACH. Erzählen Sie kurz, wo es in Ihrem Unternehmen hakt, und ich skizziere Ihnen einen Plan.
- Ein Verzeichnis statt Vermutungen
Zuerst wird aufgeschrieben, welche KI-Werkzeuge im Haus tatsächlich laufen – meist mehr, als die Geschäftsführung kennt. Ohne diese Liste bleibt jede Einstufung Stückwerk.
- Je Anwendung ein Name
Wer darf das Werkzeug nutzen, wer prüft das Ergebnis, wer verantwortet es, wer gibt eine neue Anwendung frei. Regeln ohne zuständige Person werden im Alltag nicht beachtet.
- Belegbar, nicht nur beschlossen
Richtlinie, Einstufung, Freigaben und Schulungsteilnahme liegen als Unterlagen vor. Fragt eine Aufsicht, ein Auditor oder ein Großkunde im Lieferantenfragebogen, können Sie antworten.
Woran es ohne Regelwerk als Erstes klemmt
Schatten-KI über private Konten
Beschäftigte arbeiten mit privaten Zugängen bekannter Assistenten und laden Angebote, Verträge oder Personalunterlagen hinein. Niemand weiß, welche Werkzeuge im Haus laufen und was dort hineingegeben wurde.
Niemand kann die Rolle benennen
Bauen Sie ein Sprachmodell in ein eigenes Kundenprodukt ein, kann aus der Nutzung eines Werkzeugs eine Anbieterrolle werden. Solange das nicht geklärt ist, weiß auch niemand, welche Pflichten gelten.
Freigabe nach Zuruf
Eine Abteilung testet ein neues Werkzeug, der Vertrag ist schnell geklickt, der Datenschutz kommt später dran. Zwei Monate danach hängt ein Kundenprozess an einem Dienst, den niemand geprüft hat.
Der Nachweis fehlt im entscheidenden Moment
Ein Großkunde fragt im Lieferantenfragebogen nach Ihrem KI-Einsatz, eine Versicherung nach Ihren Regeln. Beschlossen wurde manches mündlich, aufgeschrieben nichts – vorlegen können Sie dann nichts.
Was Ihr KI-Regelwerk am Ende enthält
Sechs Bestandteile, jeder als eigenes Dokument und für sich prüfbar. Umfang und Tiefe richten sich nach Ihrer Betriebsgröße: Ein Betrieb mit zwanzig Beschäftigten braucht wenige Seiten, nicht das Handbuch eines Konzerns.
Verzeichnis der KI-Anwendungen
Eine Tabelle über alle eingesetzten Werkzeuge: Zweck, Abteilung, Anbieter, Art der eingegebenen Daten, Rolle Ihres Hauses, Risikoeinstufung, verantwortliche Person, Datum der letzten Prüfung.
Risikoeinstufung je Anwendung
Jeder Fall wird den Stufen des EU AI Act zugeordnet – von unbedenklich über transparenzpflichtig bis hochriskant – und die eigene Rolle als Anbieter oder Betreiber festgehalten. Aus der Stufe folgt, wie viel Aufwand der Fall verursacht.
Nutzungsrichtlinie für Beschäftigte
Wenige Seiten in einfacher Sprache: erlaubte Werkzeuge, Daten die nie hineingehören, Pflicht zur Prüfung jedes Ergebnisses, Kennzeichnung nach außen, Meldeweg bei Zweifeln. Geschrieben für Lager und Buchhaltung, nicht für Juristen.
Rollen und Freigabeweg
Ein kurzer Ablauf für jedes neue Werkzeug: wer beantragt, wer prüft Datenweg und Vertrag, wer entscheidet, wo das Ergebnis landet. Damit hört die Freigabe nach Zuruf auf, ohne dass eine Bremse entsteht.
Datenwege und Auftragsverarbeitung
Je Anwendung wird festgehalten, welche Daten zu welchem Anbieter fließen und wo ein Auftragsverarbeitungsvertrag nötig ist. Personenbezogene Daten, Geschäftsgeheimnisse und unkritische Inhalte werden getrennt behandelt.
Nachweise und die regelmäßige Durchsicht
Schulungsinhalte und Teilnahme nach Artikel 4 des EU AI Act, Freigabeentscheidungen, Vorfälle und ihre Behandlung. Dazu ein Termin im Kalender, an dem eine benannte Person das Verzeichnis durchgeht – sonst steht dort nach einem Jahr der Stand von damals.
Dieses Regelwerk führen wir zuerst für uns selbst
Verzeichnis, Risikoeinstufung, Richtlinie und Freigabeweg laufen in 9 eigenen Geschäftsbereichen – mit denselben Tabellen, die Sie am Ende bekommen. Daher wissen wir, welche Regel im Alltag gelesen und befolgt wird und welche nach zwei Wochen umgangen ist.
Ein KI-Governance-Framework hat drei Ebenen
Die Fachliteratur nennt viele Rahmenwerke, im Betrieb tragen drei Ebenen. Fehlt eine, fällt der Rest zusammen: Regeln ohne Register sind blind, ein Register ohne Kontrolle veraltet, Kontrolle ohne Regeln ist Geschmackssache.
Regeln – was gilt
Die Richtlinie und die Rollen. Sie beantwortet die Fragen, die im Alltag wirklich gestellt werden: Darf ich diesen Text hineingeben? Muss ich das Ergebnis kennzeichnen? Wen frage ich, wenn ich unsicher bin? Zwei bis fünf Seiten reichen, wenn sie konkret sind.
Register – was läuft
Das Verzeichnis der Anwendungen mit Zweck, Datenart, Rolle und Einstufung. Es ist die einzige Stelle, an der sich Fragen nach Umfang und Risiko beantworten lassen, und die Grundlage für jede Einstufung und jeden Nachweis.
Kontrolle – was belegt ist
Freigabeweg, Schulungsnachweis, Protokoll der Vorfälle und ein Termin für die Durchsicht. Hier entscheidet sich, ob das Regelwerk gelebt wird oder als Datei auf einem Laufwerk liegt.
So entsteht das Regelwerk in Ihrem Haus
Bestand aufnehmen
Wir fragen die Abteilungen, welche KI-Werkzeuge im Einsatz sind, sehen in Abrechnungen und Browser-Erweiterungen und sammeln die Fälle ein, die über private Konten laufen. Ergebnis ist die erste Fassung des Verzeichnisses.
Einstufen und Rolle klären
Je Anwendung ordnen wir Risikostufe und Rolle zu und trennen die Datenarten. Fälle, die in den hochriskanten Bereich fallen oder eine Anbieterrolle auslösen können, benennen wir deutlich und ziehen Ihre Kanzlei hinzu.
Richtlinie und Freigabeweg schreiben
Die Richtlinie entsteht aus Ihren echten Fällen, nicht aus einer Vorlage. Dazu der Antragsweg für neue Werkzeuge, die Rollen mit Namen und die Schulung je Rolle, abgestimmt mit Geschäftsführung und Betriebsrat, wo es einen gibt.
Einführen, nachweisen, nachhalten
Wir stellen das Regelwerk im Haus vor, schulen nach Rollen und hinterlassen die Nachweise in prüfbarer Form. Danach übernimmt Ihre verantwortliche Person die Durchsicht – oder wir gehen das Verzeichnis in vereinbarten Abständen mit ihr durch.
Wissen zu Regeln und Recht
Die Begriffe, die in jeder Diskussion über KI-Regeln vorkommen.
Der Begriff im Lexikon: Bausteine, Abgrenzung, erste Schritte.
Risikostufen, Rollen und Stufenplan der europäischen KI-Verordnung.
Was Artikel 4 von Arbeitgebern verlangt und wen es trifft.
Für wen die Verordnung gilt, ab wann welche Stufe greift.
Jede Anwendung eine Zeile, jede Zeile ein Posten
Jedes KI-Werkzeug im Haus ist eine Zeile im Verzeichnis, mit Datenart, Rolle, Einstufung und verantwortlicher Person — die Zahl dieser Zeilen setzt den Umfang. Drei Fragen zu Schwerpunkt, Phase Ihres Hauses und Dringlichkeit, danach kommen Terminvorschläge, Antwort innerhalb von 24 Stunden an Werktagen; was der Rahmen für Sie kostet, klären wir im Erstgespräch.
Zahl der Werkzeuge im Haus
Drei bekannte Assistenten ergeben eine kurze Tabelle. Läuft in jeder Abteilung etwas anderes, auch über private Konten, bekommt jede Zeile eine eigene Einstufung.
Anwender oder auch Anbieter
Werkzeuge nur zu nutzen bleibt der schmale Fall. Steckt ein Sprachmodell in Ihrem eigenen Kundenprodukt, kommen die Pflichten eines Anbieters dazu.
Welche Stufe Ihre Fälle tragen
Transparenzpflichtige Fälle sind mit Hinweis und Prüfpflicht geregelt. Hochriskante Anwendungen, etwa rund um Beschäftigtendaten, verlangen eigene Dokumentation und engere Kontrolle.
Was schon geregelt ist
Bestehen Verarbeitungsverzeichnis, Auftragsverarbeitung und ein Qualitätsordner, hängen wir die KI-Spur daran. Fehlt das, entsteht der Rahmen von Grund auf.
Wie viele Rollen lernen
Eine Gruppe von Vielnutzern ist mit einer Schulung versorgt. Lager, Buchhaltung und Vertrieb brauchen je eigene Beispiele und je einen Teilnahmenachweis.
Welche KI-Frage steht bei Ihnen ungeklärt im Raum?
Drei Fragen zu Schwerpunkt, Unternehmensphase und Dringlichkeit. Danach kommen wir mit den passenden Unterlagen ins Erstgespräch – bei Regelfragen etwa mit der leeren Verzeichnistabelle und einem Richtlinienmuster zum Durchsehen.
Zu welchem Thema brauchen Sie Beratung?
Häufige Fragen zur KI-Governance
Wir brauchen zuerst eine Definition – wo steht die?
Im Lexikon, im Beitrag Was ist KI-Governance? – dort stehen Bausteine, Abgrenzung und erste Schritte. Auf dieser Seite geht es um die Umsetzung: Verzeichnis, Einstufung, Richtlinie, Freigabeweg und Nachweise, geschrieben für Ihren Betrieb.
Brauchen wir das als kleines Unternehmen wirklich?
Die Pflichten hängen nicht an der Mitarbeiterzahl, der Umfang der Antwort schon: Bei zwanzig Beschäftigten und drei KI-Werkzeugen genügen eine Tabelle, drei Seiten Richtlinie und eine benannte Person – meist aus IT, Qualitätssicherung oder Datenschutz, denn ein eigener Posten entsteht dafür im Mittelstand selten. Die Verantwortung bleibt bei der Geschäftsführung. Dafür ist die Diskussion, die sonst bei jedem neuen Werkzeug von vorne beginnt, einmal geklärt.
Was verlangt der EU AI Act konkret von uns als Anwender?
Im Kern drei Dinge: die eigenen KI-Anwendungen nach Risiko einordnen, dort informieren, wo Menschen mit einer KI zu tun haben oder Inhalte künstlich erzeugt sind, und die Entwicklung der KI-Kompetenz der Beschäftigten fördern, die KI beruflich einsetzen. Die dritte Pflicht steht in Artikel 4 und gilt seit dem 2. Februar 2025; der Digital-Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat ihren Wortlaut abgeschwächt – ein bestimmtes Kompetenzniveau müssen Sie nicht garantieren –, gestrichen ist sie nicht. Welche Stufe seit wann greift und für wen, haben wir im Beitrag zum EU AI Act für Unternehmen zusammengestellt.
Wie verhält sich das zur DSGVO?
Beides gilt parallel und beantwortet verschiedene Fragen. Die DSGVO fragt, ob und wie personenbezogene Daten verarbeitet werden dürfen – dort gehören Rechtsgrundlage, Verzeichnis der Verarbeitungen und der Auftragsverarbeitungsvertrag hin. Der AI Act fragt, ob das System selbst sicher, eingeordnet und erkennbar ist. Im Regelwerk stehen beide Spuren nebeneinander, damit nichts doppelt oder gar nicht bearbeitet wird.
Ist das eine Zertifizierung nach ISO/IEC 42001?
Nein. Wir bauen das Regelwerk und die Nachweise; eine Zertifizierung erteilt eine akkreditierte Stelle, nicht ein Dienstleister. Streben Sie eine Zertifizierung an, ist ein geordnetes Verzeichnis mit Einstufungen und Freigaben die Vorarbeit, die ohnehin verlangt wird. Wir sagen Ihnen offen, wenn Ihr Vorhaben über das hinausgeht, was wir leisten.
Was ist der Unterschied zur KI-Beratung und zur KI-Umsetzung?
In der KI-Beratung fällt die Entscheidung, welche Anwendungsfälle sich rechnen und in welcher Reihenfolge sie kommen. Hier entsteht das Regelwerk dazu – unabhängig davon, ob Sie schon Fälle umsetzen. In der KI-Implementierung werden die Regeln dann in den Systemen hinterlegt: Rechte, Protokolle, Freigaben an der laufenden Lösung.
Ersetzt das eine Rechtsberatung?
Nein. Wir ordnen Ihre Fälle fachlich ein, formulieren Richtlinie und Abläufe und bauen die Nachweise. Die verbindliche rechtliche Bewertung – besonders bei hochriskanten Anwendungen, bei Beschäftigtendaten und bei eigenen Produkten mit KI darin – gehört zu Ihrer Kanzlei. Wo wir die Grenze sehen, sagen wir es im Erstgespräch und nicht erst im Bericht.
Das könnte Sie auch interessieren
Welche Anwendungsfälle sich rechnen und was zuerst dran ist.
Regeln in den Systemen hinterlegen und die Lösung betreiben.
KI-Kompetenz je Rolle aufbauen und die Teilnahme nachweisen.
Anwendungsfälle nach Abteilung – die Liste, die ins Verzeichnis wandert.
Sprachmodell auf eigener Hardware, wenn ein Fall das Modell im eigenen Rechenzentrum verlangt.
Artikel 4 im Detail: Pflicht, Rollen und Dokumentation der Schulung.
Wissen Sie, welche KI-Werkzeuge in Ihrem Haus laufen?
Nennen Sie uns im Erstgespräch Ihre Abteilungen und die Werkzeuge, von denen Sie wissen. Sie erfahren, welche Einstufung Ihre Fälle vermutlich tragen, welche Rolle Ihr Haus dabei hat und wie knapp das Regelwerk ausfallen darf.
Das Erstgespräch ist kostenfrei und unverbindlich.
Lieber direkt sprechen? (0) 89 24 8853 444 WhatsApp
Begriffe aus dem Wiki-Lexikon