KI-Governance
KI-Governance bezeichnet die Gesamtheit der Regeln, Zuständigkeiten, Prozesse und Kontrollen, mit denen ein Unternehmen den Einsatz von künstlicher Intelligenz steuert und verantwortet. Sie legt fest, wer KI-Werkzeuge einführen darf, welche Daten verarbeitet werden dürfen, wie Risiken bewertet werden und wie rechtliche Anforderungen wie der EU AI Act und die DSGVO eingehalten werden.
Auch bekannt als: AI Governance, KI-Richtlinie, KI-Steuerung im Unternehmen
Was ist KI-Governance?
KI-Governance bezeichnet die Gesamtheit der Regeln, Zuständigkeiten, Prozesse und Kontrollen, mit denen ein Unternehmen den Einsatz von künstlicher Intelligenz steuert und verantwortet. Sie legt fest, wer KI-Werkzeuge einführen darf, welche Daten verarbeitet werden dürfen, wie Risiken bewertet werden und wie rechtliche Anforderungen wie der EU AI Act und die DSGVO eingehalten werden.
Der Begriff klingt nach Konzern, betrifft aber jedes Unternehmen, in dem Mitarbeitende mit KI-Werkzeugen arbeiten. Und das sind inzwischen die meisten, ob die Geschäftsführung davon weiß oder nicht. Sobald ein Vertriebsmitarbeiter Kundendaten in einen Chatbot kopiert, um eine E-Mail formulieren zu lassen, findet KI-Einsatz statt. Ohne Governance geschieht das nach Gutdünken, mit Governance nach Regeln.
KI-Governance ist keine Bremse. Sie ist die Voraussetzung dafür, dass ein Unternehmen KI in der Breite nutzen kann, ohne bei jedem Anwendungsfall neu über Datenschutz, Haftung und Qualität zu diskutieren. Wer die Regeln einmal klar hat, kann schneller entscheiden. Erfahrungsgemäß sind es gerade die Unternehmen ohne Governance, die aus Unsicherheit gar nichts tun oder alles verbieten.
Die Bausteine einer KI-Governance
Eine funktionierende KI-Governance besteht aus sechs Bausteinen, die sich auch in kleinen Unternehmen umsetzen lassen.
Der erste Baustein ist die Zuständigkeit. Eine Person trägt die operative Verantwortung für das Thema, hält die Übersicht über Werkzeuge und Anwendungsfälle und ist Ansprechpartner für Fragen. Die Gesamtverantwortung bleibt bei der Geschäftsführung.
Der zweite Baustein ist das Werkzeugverzeichnis. Es listet auf, welche KI-Werkzeuge im Unternehmen genutzt werden, in welchem Plan, mit welchen Verträgen und für welche Zwecke. Der EU AI Act unterscheidet zwischen Anbietern und Betreibern von KI-Systemen, und die meisten Unternehmen sind Betreiber. Das Verzeichnis ist die Grundlage für jede weitere Bewertung.
Der dritte Baustein ist die KI-Richtlinie. Sie regelt für Mitarbeitende verständlich, was erlaubt ist und was nicht: zugelassene Werkzeuge, erlaubte und verbotene Datenkategorien, Pflicht zur Prüfung von Ergebnissen, Kennzeichnung von KI-Inhalten, wo nötig, und der Weg, neue Anwendungsfälle vorzuschlagen. Erfahrungsgemäß funktionieren kurze Richtlinien mit Beispielen besser als lange Regelwerke.
Der vierte Baustein ist die Datenschutzprüfung. Für jedes Werkzeug und jeden Anwendungsfall, der personenbezogene Daten berührt, sind Rechtsgrundlage, Auftragsverarbeitungsvertrag, Drittlandtransfer und gegebenenfalls Datenschutz-Folgenabschätzung zu klären. Das ist Aufgabe des Datenschutzbeauftragten, die Details beschreibt der Eintrag DSGVO und KI.
Der fünfte Baustein ist die Schulung. Art. 4 des EU AI Act verlangt seit dem 2. Februar 2025, dass Unternehmen für ein angemessenes Maß an KI-Kompetenz ihrer Mitarbeitenden sorgen. Unabhängig von der Pflicht ist Schulung das wirksamste Mittel gegen Fehlbedienung, Datenabfluss und ungeprüfte Ergebnisse.
Der sechste Baustein ist die Kontrolle. Regelmäßige Überprüfung: Werden die Regeln eingehalten? Gibt es neue Werkzeuge, die niemand gemeldet hat? Sind Vorfälle aufgetreten? Ein Termin pro Quartal reicht in den meisten KMU aus.
Abgrenzung zu Compliance und IT-Sicherheit
KI-Governance überschneidet sich mit Datenschutz, Compliance und IT-Sicherheit, ist aber nicht identisch. Datenschutz fragt, ob personenbezogene Daten rechtmäßig verarbeitet werden. IT-Sicherheit fragt, ob Systeme und Zugänge geschützt sind. Compliance fragt, ob gesetzliche und interne Vorgaben eingehalten werden.
KI-Governance stellt zusätzlich Fragen, die keine dieser Disziplinen abdeckt: Ist das Ergebnis eines KI-Systems verlässlich genug für den Zweck? Wer haftet, wenn eine Halluzination in ein Kundendokument gelangt? Wissen Kunden und Mitarbeitende, wo KI im Spiel ist? Welche Entscheidungen darf ein KI-System vorbereiten, welche nicht? Diese Fragen brauchen eine eigene Zuständigkeit, auch wenn die Antworten gemeinsam mit den anderen Bereichen entstehen.
Praxisbeispiel aus dem Unternehmensalltag
Ein Versicherungsmakler mit 45 Mitarbeitenden stellt bei einer internen Umfrage fest, dass mehr als die Hälfte der Belegschaft KI-Werkzeuge nutzt, überwiegend über private Konten, teils mit Kundendaten. Die Geschäftsführung hat davon nichts gewusst. Statt die Nutzung zu verbieten, entscheidet sie sich für eine geordnete Einführung.
Innerhalb von sechs Wochen entsteht die Grundlage: Eine Mitarbeiterin aus der Verwaltung übernimmt die Zuständigkeit. Das Unternehmen entscheidet sich für einen Unternehmensplan eines Anbieters, schließt den Auftragsverarbeitungsvertrag ab und bindet den externen Datenschutzbeauftragten ein. Eine dreiseitige Richtlinie legt fest, dass nur das freigegebene Werkzeug genutzt wird, dass Gesundheitsdaten und Vertragsdaten nur in freigegebenen Projekten verarbeitet werden und dass jedes Kundendokument vor dem Versand von einem Menschen geprüft wird.
Alle Mitarbeitenden nehmen an einer halbtägigen Schulung teil. Der Betriebsrat ist von Anfang an beteiligt und stimmt der Richtlinie zu. Ein vierteljährlicher Termin prüft, ob neue Anwendungsfälle entstanden sind. Die Nutzung ist danach nicht weniger geworden, sondern mehr, aber sie ist nachvollziehbar.
Bedeutung für kleine und mittelständische Unternehmen
Für KMU ist der Aufwand für KI-Governance deutlich kleiner als befürchtet. Die meisten mittelständischen Unternehmen setzen KI-Werkzeuge für Texte, Recherche, Zusammenfassungen und Kundenservice ein. Diese Anwendungen fallen nach dem EU AI Act in der Regel nicht unter Hochrisiko, sodass die Pflichten überschaubar bleiben: KI-Kompetenz sicherstellen, Transparenz wahren, Datenschutz einhalten. Der aktuelle Stand des AI Act sollte geprüft werden, da die EU Anpassungen des Zeitplans diskutiert hat, und dieser Text ersetzt keine Rechtsberatung.
Der Nutzen liegt in der Handlungsfähigkeit. Ein Unternehmen mit klaren Regeln kann neue Anwendungsfälle in Tagen freigeben statt in Monaten. Es kann Mitarbeitenden Werkzeuge an die Hand geben, ohne jeden Einzelfall zu diskutieren. Und es ist vorbereitet, wenn Kunden, Auftraggeber oder Aufsichtsbehörden nachfragen. Die Erstellung dieser Grundlagen ist Bestandteil unserer KI-Beratung für den Mittelstand, und die Seite Claude für Unternehmen beschreibt, wie sie mit der konkreten Einführung verbunden wird. Hintergrund zum rechtlichen Rahmen liefert der Artikel EU AI Act und KI-Kompetenz: Was Unternehmen wissen müssen.
Vorteile und Grenzen
KI-Governance schafft Sicherheit für Mitarbeitende, Nachvollziehbarkeit für die Geschäftsführung und Belegbarkeit gegenüber Dritten. Sie verhindert die typischen Fehler des ungeregelten Einsatzes: Datenabfluss über private Konten, ungeprüfte Ergebnisse in Kundendokumenten, Wildwuchs an Werkzeugen.
Ihre Grenze ist die Umsetzung. Eine Richtlinie, die niemand kennt, wirkt nicht. Eine Zuständigkeit ohne Zeit bleibt Formsache. Und Governance kann keine Fehlentscheidungen verhindern, wenn die Verantwortlichen die Technik nicht verstehen. Deshalb gehören Governance und KI-Schulung zusammen: Regeln wirken nur, wenn die Menschen, die sie befolgen sollen, wissen, warum es sie gibt.