KI-Governance aufbauen: Ein Fahrplan in sieben Phasen

Viele Unternehmen haben verstanden, dass sie ihren KI-Einsatz steuern müssen. Die eigentliche Hürde ist der Anfang: Womit beginnen, wer macht was, und woran erkennt man, dass ein Schritt abgeschlossen ist? Wer eine KI-Governance aufbauen will, braucht deshalb weniger eine Grundsatzdebatte als einen Fahrplan mit klaren Ergebnissen.

Dieser Beitrag beschreibt einen solchen Fahrplan in sieben Phasen. Er richtet sich an Geschäftsführungen, IT-Verantwortliche und Compliance-Verantwortliche, die bereits entschieden haben, ihren KI-Einsatz zu ordnen. Ob und in welchem Umfang Ihr Unternehmen eine KI-Governance braucht, erläutert der Beitrag KI-Governance im Mittelstand.

Vorweg eine Einordnung: Der AI Act schreibt kein Phasenmodell vor. Der hier beschriebene Ablauf ist gute Praxis, die sich an der Logik von Managementsystemen orientiert. Gesetzliche Pflichten, die je nach Rolle und Risiko gelten, sind an den jeweiligen Stellen mit Fundstelle genannt.

Vor dem Start: Auftrag und Geltungsbereich festlegen

Eine KI-Governance funktioniert nur mit einem klaren Auftrag der Geschäftsleitung. Dazu gehören drei Festlegungen: welches Ziel verfolgt wird (etwa sicherer Einsatz, Einhaltung des AI Act, Vorbereitung auf Kundenanforderungen), welche Bereiche und Standorte einbezogen sind und wer das Vorhaben koordiniert.

Ebenso wichtig ist ein realistischer Rahmen. Der Aufwand hängt von der Zahl der KI-Anwendungen, der Sensibilität der Daten und den vorhandenen Managementsystemen ab. Ein kleines Unternehmen mit wenigen eingekauften Werkzeugen kommt mit deutlich weniger aus als eine Organisation mit vielen eigenen Anwendungen. Entscheidend ist, dass jede Phase ein greifbares Ergebnis liefert.

KI-Governance aufbauen in sieben Phasen

Die Phasen bauen aufeinander auf, lassen sich aber teilweise überlappend bearbeiten. Die folgende Übersicht nennt für jede Phase das Ergebnis, an dem Sie den Abschluss erkennen.

Phase	Kernfrage	Ergebnis
1 Bestandsaufnahme	Wo wird KI bereits genutzt?	Rohliste aller Werkzeuge und KI-Funktionen, inklusive inoffizieller Nutzung
2 Rollen	Wer entscheidet, wer koordiniert, wer prüft?	schriftlich festgelegte Zuständigkeiten mit Vertretung
3 Richtlinie	Welche Regeln gelten für alle?	von der Geschäftsleitung freigegebene KI-Richtlinie
4 Inventar	Was genau ist im Einsatz und wie kritisch?	gepflegtes KI-Verzeichnis mit Rolle, Daten und Einstufung je System
5 Prüfung und Freigabe	Wie kommt ein neues System in den Betrieb?	beschriebener Ablauf mit Prüfkriterien und Entscheidungsvermerk
6 Nachweise	Wie belegen wir, was wir tun?	definierte Nachweisarten mit Ablageort und Verantwortlichen
7 Monitoring und Verbesserung	Funktioniert es im Alltag?	Kennzahlen, Prüfrhythmus, jährliche Bewertung durch die Leitung

Phase 1: Bestandsaufnahme

Erheben Sie in allen Bereichen, welche KI-Werkzeuge genutzt werden. Fragen Sie auch nach KI-Funktionen in bestehender Software und nach Diensten, die Beschäftigte eigenständig verwenden. Eine kurze Umfrage mit wenigen Fragen genügt für den Anfang. Wichtig ist, sie ohne Schuldzuweisung zu stellen, sonst bleibt die inoffizielle Nutzung unsichtbar.

Phase 2: Rollen

Legen Sie fest, wer KI-Anwendungen freigibt, wer die Gesamtkoordination übernimmt und wer je Anwendung fachlich verantwortlich ist. Binden Sie Informationssicherheit und Datenschutz verbindlich ein. Halten Sie für jede Rolle eine Vertretung fest. Gibt es einen Betriebsrat, binden Sie ihn frühzeitig ein: Er ist über geplante KI-Anwendungen zu unterrichten (§ 90 BetrVG), und bei Werkzeugen, die Verhalten oder Leistung der Beschäftigten überwachen können, hat er ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Diese Zuständigkeiten sind auch die Grundlage dafür, dass bei Hochrisiko-Systemen die menschliche Aufsicht an kompetente und befugte Personen übertragen werden kann, wie es Art. 26 Abs. 2 AI Act ab dem 2. Dezember 2027 von Betreibern verlangt.

Phase 3: Richtlinie

Die KI-Richtlinie fasst die verbindlichen Regeln zusammen: erlaubte und verbotene Nutzungen, Umgang mit Daten, Kennzeichnung, Freigabeweg. Sie wird von der Geschäftsleitung in Kraft gesetzt und allen Beschäftigten bekannt gemacht.

Phase 4: Inventar

Aus der Rohliste der Bestandsaufnahme wird ein gepflegtes Verzeichnis. Je System werden unter anderem Zweck, verarbeitete Daten, die eigene Rolle nach dem AI Act und die interne Kritikalität erfasst. Welche Felder sinnvoll sind und wer das Verzeichnis pflegt, erläutert der Beitrag zum KI-Register.

Phase 5: Prüf- und Freigabeprozess

Neue KI-Anwendungen durchlaufen vor dem Einsatz einen festen Ablauf: Antrag mit Zweckbeschreibung, Prüfung von Datenschutz, Informationssicherheit und rechtlicher Einordnung, Bewertung der Risiken, Entscheidung mit Auflagen und Vermerk. Der Prüfumfang sollte sich nach der Kritikalität richten. Ein Textassistent ohne Kundendaten braucht eine kürzere Prüfung als ein System, das Bewerbungen vorsortiert; Letzteres kann unter Anhang III AI Act fallen. Wer auf welcher Stufe entscheidet, legt die Geschäftsleitung in der Richtlinie fest. Für Anwendungen mit hoher Kritikalität empfiehlt sich eine strukturierte Risikobewertung nach festem Schema.

Phase 6: Nachweise

Legen Sie fest, welche Nachweise entstehen, wo sie abgelegt werden und wer sie pflegt. Dazu mehr im folgenden Abschnitt.

Phase 7: Monitoring und Verbesserung

Governance, die nur auf dem Papier steht, veraltet schnell. Planen Sie regelmäßige Überprüfungen: Stimmt das Verzeichnis noch? Gab es Vorfälle, Beschwerden oder auffällige Ergebnisse? Haben Anbieter ihre Systeme verändert? Einmal im Jahr sollte die Geschäftsleitung den Stand bewerten und über Anpassungen entscheiden.

Nachweisführung: Was Sie belegen können sollten

Nachweise sind kein Selbstzweck. Sie zeigen gegenüber Kunden, Prüfern oder Behörden, dass Entscheidungen bewusst und nachvollziehbar getroffen wurden. Für die meisten Unternehmen genügen wenige, gut gepflegte Nachweisarten:

• Freigabevermerke je KI-Anwendung mit Datum, Prüfergebnis, Auflagen und Entscheidungsperson
• Risikobewertungen mit den beschlossenen Maßnahmen
• Schulungsnachweise, die belegen, welche Maßnahmen zur KI-Kompetenz nach Art. 4 AI Act ergriffen wurden
• Änderungsprotokolle bei Updates, neuen Datenquellen oder geänderter Nutzung
• Vorfall- und Beschwerdeprotokolle mit Ursachen und Folgemaßnahmen
• Bewertungen der Leitung aus der jährlichen Überprüfung

Für Betreiber von Hochrisiko-Systemen kommen gesetzliche Nachweise hinzu, etwa die Aufbewahrung automatisch erzeugter Protokolle für mindestens sechs Monate (Art. 26 Abs. 6). Welche Dokumentation je KI-System verpflichtend und welche freiwillig sinnvoll ist, vertieft der Beitrag zur KI-Dokumentation.

Ein Grundsatz hat sich bewährt: Nachweise entstehen im Prozess, nicht nachträglich. Wer Freigaben, Bewertungen und Schulungen zum Zeitpunkt der Entscheidung festhält, muss später nichts rekonstruieren.

Typische Lücken beim Aufbau

Typische Lücken beim Aufbau einer KI-Governance sind:

• Unvollständiges Inventar: KI-Funktionen in Standardsoftware oder bei Dienstleistern fehlen, weil nur nach ausdrücklich als KI bezeichneten Werkzeugen gefragt wurde.
• Unklare Entscheidungsrechte: Es ist geregelt, wer prüft, aber nicht, wer am Ende freigibt oder ablehnt.
• Richtlinie ohne Prozess: Regeln sind formuliert, aber es gibt keinen Weg, eine neue Anwendung anzumelden.
• Keine Neubewertung bei Änderungen: Ein einmal freigegebenes System wird nach Updates oder Zweckänderungen nicht erneut betrachtet.
• Fehlende Ereignisbehandlung: Es ist nicht festgelegt, wie Fehlfunktionen, Datenabflüsse oder Beschwerden gemeldet und bearbeitet werden.
• Nachweise erst auf Anfrage: Dokumente werden erst erstellt, wenn ein Kunde oder Prüfer danach fragt.

Jede dieser Lücken lässt sich einer Phase zuordnen. Das macht den Fahrplan auch zu einem Prüfraster für eine bereits bestehende Governance.

Was Sie jetzt tun können

1. Auftrag einholen: Lassen Sie Ziel, Geltungsbereich und Koordination von der Geschäftsleitung festlegen.
2. Mit Phase 1 und 2 beginnen: Bestandsaufnahme und Rollen lassen sich parallel starten und liefern schnell sichtbare Ergebnisse.
3. Freigabeprozess vor Perfektion: Ein einfacher, verbindlicher Freigabeweg bringt mehr als eine ausgefeilte Richtlinie ohne Anwendung.
4. Nachweise von Anfang an mitführen: Legen Sie eine zentrale Ablage fest, bevor die ersten Freigaben erfolgen.
5. Überprüfungstermin festlegen: Planen Sie die erste Bewertung durch die Leitung bereits beim Start ein.

Wenn Sie den Fahrplan auf Ihre Organisation übertragen möchten, unterstütze ich Sie gern beim strukturierten Aufbau Ihrer KI-Governance, von der Gap-Analyse bis zum internen Audit.

Fazit

Eine KI-Governance aufzubauen ist kein Großprojekt, wenn es in überschaubare Phasen gegliedert ist und jede Phase ein klares Ergebnis hat. Die Reihenfolge ist dabei wichtiger als die Vollständigkeit im ersten Durchgang: erst wissen, was im Einsatz ist, dann Zuständigkeiten und Regeln, dann Prüfung, Nachweise und Überwachung. Ein erster Durchlauf durch alle Phasen, auch in einfacher Form, bringt mehr als eine perfekt ausgearbeitete Einzelphase; die jährliche Bewertung zeigt dann, wo nachgeschärft werden muss.

Quellen

• Regulatory framework on AI (AI Act), Europäische Kommission
• Artikel 4 KI-Kompetenz, AI Act (konsolidierte Fassung), AI Act Service Desk der Europäischen Kommission
• Artikel 26 Pflichten der Betreiber von Hochrisiko-KI-Systemen, AI Act Service Desk der Europäischen Kommission
• ISO/IEC 42001:2023 Artificial intelligence – Management system, IEC Webstore