Was ist KI-Governance?

KI-Governance ist der Ordnungsrahmen, mit dem ein Unternehmen den Einsatz künstlicher Intelligenz steuert: Welche KI-Systeme genutzt werden dürfen, wofür, mit welchen Daten, wer verantwortlich ist und wie Risiken geprüft und dokumentiert werden. Sie verbindet Richtlinien, Zuständigkeiten, Schulung und Kontrolle zu einem Ablauf, der im Alltag funktioniert.

In vielen Betrieben läuft es heute so: Die Vertriebsleiterin nutzt einen Chatbot für Angebotstexte, der Einkauf lässt sich Lieferantenverträge zusammenfassen, die Werkstatt fotografiert Typenschilder für eine App. Jeder für sich, niemand hat den Überblick. KI-Governance holt diese Nutzung aus der Grauzone, ohne sie abzuwürgen.

Warum KI eigene Regeln braucht

Für Software gibt es in den meisten Unternehmen längst Regeln: Wer darf was installieren, wo liegen die Daten, wer vergibt Zugriffsrechte. KI bringt drei neue Eigenschaften mit, die diese Regeln nicht abdecken:

• Ergebnisse sind nicht vorhersehbar. Dieselbe Frage kann unterschiedliche Antworten erzeugen, und manche davon sind falsch.
• Daten fließen leicht ab. Ein kopierter Vertragstext im Chatfenster eines privaten Kontos ist schneller beim Anbieter, als die IT es merkt.
• Entscheidungen verschieben sich. Wenn eine KI vorsortiert, welche Bewerbung oder welcher Kunde zuerst bearbeitet wird, entscheidet sie faktisch mit.

Die Bausteine einer KI-Governance

1. KI-Richtlinie. Ein kurzes, verständliches Dokument: Welche Werkzeuge sind freigegeben, welche Daten dürfen hinein, welche nie, und wer ist Ansprechpartner.
2. Verzeichnis der KI-Anwendungen. Eine Liste aller eingesetzten Systeme mit Zweck, Anbieter, verarbeiteten Daten, verantwortlicher Person und Risikoeinstufung.
3. Risikoeinstufung. Nicht jede Anwendung braucht dieselbe Sorgfalt. Ein Textassistent für Social-Media-Entwürfe ist anders zu behandeln als eine Vorauswahl von Bewerbungen.
4. Rollen und Freigaben. Wer entscheidet über neue Anwendungen? Wer prüft Ergebnisse? An welcher Stelle muss ein Mensch freigeben – das Prinzip Human in the Loop.
5. Schulung. Mitarbeitende müssen wissen, was KI kann, wo sie irrt und welche Regeln gelten.
6. Kontrolle und Nachweis. Protokolle, Stichproben, eine regelmäßige Überprüfung des Verzeichnisses.

Der rechtliche Rahmen

Der EU AI Act ist das Kernstück. Er unterscheidet zwischen Anbietern, die KI-Systeme entwickeln oder in Verkehr bringen, und Betreibern, die sie im eigenen Unternehmen einsetzen. Die meisten Mittelständler sind Betreiber. Für sie gilt schon seit Februar 2025 die Pflicht, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen – die KI-Kompetenzpflicht. Bestimmte Praktiken sind verboten, für Hochrisiko-Anwendungen etwa im Personalbereich gelten strenge Anforderungen an Dokumentation und menschliche Aufsicht. Den vollständigen Text finden Sie in der KI-Verordnung auf EUR-Lex.

Daneben gilt die DSGVO für jede Verarbeitung personenbezogener Daten. Verarbeitet ein externer KI-Anbieter solche Daten in Ihrem Auftrag, brauchen Sie mit ihm einen Auftragsverarbeitungsvertrag. Hinzu kommen Urheberrecht, Geschäftsgeheimnisse und bei Beschäftigtendaten die Mitbestimmung des Betriebsrats. Als freiwilliger Rahmen für ein KI-Managementsystem gibt es die Norm ISO/IEC 42001, die ähnlich aufgebaut ist wie ISO 27001 für Informationssicherheit.

KI-Governance, Datenschutz und IT-Sicherheit

Die drei Bereiche überschneiden sich stark. In kleineren Unternehmen ist es sinnvoll, sie in einer Hand zu bündeln, statt drei getrennte Regelwerke zu pflegen.

Erste Schritte für mittelständische Unternehmen

1. Bestand aufnehmen: Fragen Sie in allen Abteilungen, welche KI-Werkzeuge tatsächlich genutzt werden – auch privat angemeldete.
2. Freigegebene Werkzeuge bereitstellen: Wer ein geprüftes Werkzeug mit Firmenkonto anbietet, beendet die Schatten-Nutzung schneller als jedes Verbot.
3. Richtlinie auf zwei Seiten: Was erlaubt ist, was nie, wen man fragt.
4. Verantwortliche Person benennen: Kein neues Gremium, sondern jemand, der den Überblick hält.
5. Schulen und dokumentieren: Die Schulung ist zugleich Ihr Nachweis der KI-Kompetenz.
6. Einmal im Jahr prüfen: Verzeichnis, Richtlinie und Risikoeinstufung aktualisieren.

Typische Fehler

• Pauschalverbot. Die Nutzung findet trotzdem statt, nur unsichtbar.
• Papier ohne Praxis. Eine vierzigseitige Richtlinie, die niemand liest, schützt niemanden.
• Nur die IT zuständig. Ob ein KI-Einsatz sinnvoll und vertretbar ist, können die Fachabteilungen am besten beurteilen.
• Einmal eingeführt, nie geprüft. Anbieter ändern Modelle und Bedingungen; das Verzeichnis veraltet schnell.

In der Praxis: Regeln, die im Alltag halten

Bei der KI-Einführung bauen wir die Governance gleich mit: Jede Anwendung kommt ins Verzeichnis, jede Aktion wird protokolliert, Freigaben sind im System hinterlegt, und die Daten liegen zu 100 % auf Servern in Deutschland. Die Schulung Ihrer Mitarbeitenden – samt Nachweis – übernimmt die KI-Akademie. Was die Schulungspflicht konkret bedeutet, erklärt der Beitrag KI-Schulungspflicht nach dem EU AI Act.

Häufige Fragen

Was ist KI-Governance einfach erklärt?

Die Spielregeln eines Unternehmens für KI: welche Werkzeuge erlaubt sind, welche Daten hineindürfen, wer verantwortlich ist und wie kontrolliert wird.

Braucht ein kleines Unternehmen eine KI-Governance?

Ja, aber in kleinem Format. Eine kurze Richtlinie, ein Verzeichnis der genutzten Werkzeuge, eine verantwortliche Person und eine dokumentierte Schulung reichen für den Anfang meist aus.

Ist eine KI-Richtlinie Pflicht?

Eine eigene Richtlinie schreibt das Gesetz nicht ausdrücklich vor. Sie ist aber der einfachste Weg, die Pflichten aus EU AI Act und DSGVO im Alltag umzusetzen und nachzuweisen.

Wer ist im Unternehmen für KI-Governance zuständig?

Die Verantwortung liegt bei der Geschäftsführung. Die Umsetzung übernimmt oft eine benannte Person aus IT, Datenschutz oder Organisation, eng abgestimmt mit den Fachabteilungen.