„Welche KI-Tools sind bei uns eigentlich im Einsatz?” — wer diese Frage im eigenen Unternehmen stellt, bekommt selten eine vollständige Antwort. Die Marketing-Abteilung textet mit ChatGPT, die Entwickler nutzen Copilot, im Kundenservice läuft ein Chatbot-Pilot, und irgendjemand hat ein Transkriptions-Tool für Meetings abonniert. Jedes Tool für sich mag vertretbar sein. Das Problem ist: Niemand hat entschieden, dass es vertretbar ist. Genau diese Lücke schließt KI-Governance.
Was KI-Governance bedeutet — und was nicht
KI-Governance ist der Rahmen aus Zuständigkeiten, Regeln und Kontrollen, mit dem ein Unternehmen den Einsatz von KI steuert. Sie beantwortet vier Fragen: Wer darf über neue KI-Anwendungen entscheiden? Nach welchen Kriterien wird geprüft? Wie wird der laufende Betrieb überwacht? Und wer haftet, wenn etwas schiefgeht?
Was KI-Governance nicht ist: ein Verbotskatalog. Unternehmen, die KI pauschal sperren, bekommen Schatten-KI — Beschäftigte nutzen die Tools dann privat weiter, nur eben ohne Vertrag, ohne Datenschutzprüfung und ohne dass es jemand mitbekommt. Eine gute Governance macht den erlaubten Weg einfacher als den Umweg.
Der Druck kommt von zwei Seiten
Regulatorisch: Die EU-KI-Verordnung (AI Act) verpflichtet Unternehmen seit Februar 2025 zu KI-Kompetenz nach Art. 4 und stuft Anwendungen nach Risiko ein — mit gestaffelten Pflichten für Anbieter und Betreiber. Wer Hochrisiko-Systeme einsetzt, braucht dokumentierte Prozesse für Risikomanagement, menschliche Aufsicht und Protokollierung. Dazu kommen DSGVO-Anforderungen, sobald personenbezogene Daten in KI-Tools fließen — also praktisch immer.
Operativ: Ohne zentrale Steuerung entstehen Doppel-Abos, unklare Vertragslagen und Datenabflüsse in Tools, die nie jemand geprüft hat. Die Kosten sind dabei das kleinere Problem — kritischer ist, dass Kundendaten oder Geschäftsgeheimnisse in Systemen landen, deren Anbieter sie zum Training weiterverwenden dürfen.
Die Bausteine einer funktionierenden KI-Governance
1. Inventar. Bevor irgendetwas geregelt wird: erfassen, was läuft. Eine einfache Abfrage je Abteilung reicht für den Anfang — Tool, Zweck, welche Daten hineingehen, wer es nutzt.
2. KI-Richtlinie. Ein kurzes Dokument, das erlaubte Tools, verbotene Datenkategorien (z. B. Kundendaten in öffentliche Chatbots) und den Freigabeweg für neue Anwendungen festlegt. Zwei bis vier Seiten genügen — eine Richtlinie, die niemand liest, steuert nichts.
3. Freigabeprozess. Neue KI-Tools durchlaufen eine Prüfung: Risikoklasse nach AI Act, Datenschutz (AV-Vertrag, Drittlandtransfer, Trainingsnutzung), Informationssicherheit. Für Standardfälle sollte das in Tagen erledigt sein, nicht in Monaten.
4. Zuständigkeit. Jemand muss den Hut aufhaben. In größeren Organisationen ist das ein KI-Beauftragter oder ein kleines Gremium aus Datenschutz, IT-Sicherheit und Fachbereich; im Mittelstand übernimmt die Rolle oft ein externer Beauftragter, der Datenschutz und Informationssicherheit gleich mit abdeckt.
5. Schulung und Überwachung. Art. 4 AI Act verlangt KI-Kompetenz bei allen, die mit KI-Systemen arbeiten. Und einmal freigegebene Tools bleiben nicht automatisch unkritisch — Anbieter ändern Vertragsbedingungen und Modelle, deshalb gehört eine regelmäßige Wiedervorlage in den Prozess.
Einstieg ohne Bürokratie-Monster
Der häufigste Fehler ist, mit dem perfekten Framework zu starten und nach sechs Monaten Konzeptarbeit immer noch keine einzige Regel im Betrieb zu haben. Pragmatischer ist die umgekehrte Reihenfolge: erst das Inventar, dann eine schlanke Richtlinie für die drei häufigsten Anwendungsfälle, dann der Freigabeprozess — und das Framework wächst mit den realen Fällen.
Wie die Governance-Strukturen im Detail aussehen können — von der Rollenverteilung bis zur Verzahnung mit einem bestehenden ISMS — beschreibt unser Portal-Beitrag zur KI-Governance aus Sicht der Informationssicherheit. Wer die Zuständigkeit extern besetzen will, findet beim externen KI-Beauftragten das passende Modell dazu.
Fazit
KI-Governance ist kein Projekt, das man einmal abschließt, sondern ein Betriebsmodus: wissen, was läuft; entscheiden, was laufen darf; kontrollieren, dass es dabei bleibt. Unternehmen, die jetzt mit einem schlanken Rahmen starten, erfüllen nicht nur die Pflichten aus AI Act und DSGVO — sie verhindern vor allem, dass die wichtigste Technologie des Jahrzehnts unkoordiniert durchs Haus wuchert.