KI-Governance

KI-Governance beschreibt, wie ein Betrieb den Einsatz von KI-Systemen organisatorisch in den Griff bekommt: Wer darf welches Tool wofür nutzen? Wer prüft die Ergebnisse? Wer dokumentiert, welches System wo läuft? Ähnlich wie eine Arbeitsschutzordnung Verantwortlichkeiten und Abläufe festlegt, ohne jede Maschine einzeln zu nennen, legt KI-Governance den Rahmen für alle KI-Anwendungen fest – von Chatbots bis zu automatisierten Bewerbungsfiltern.

Dazu gehören typischerweise ein Register aller genutzten KI-Systeme, eine Einstufung nach Risiko, klare Zuständigkeiten für Freigabe und Kontrolle sowie Nachweise über Schulungen der Mitarbeitenden. Der EU AI Act schreibt Unternehmen dabei nicht pauschal eine bestimmte interne Struktur oder einen 'AI Officer' vor – entscheidend ist, dass die relevanten Aufgaben tatsächlich zugeordnet und erfüllt werden.

Zwei Pflichten sind bereits in Kraft: Seit 2. Februar 2025 gilt Art. 4 zur KI-Kompetenz, weitere Vorgaben für Hochrisiko-Systeme greifen größtenteils ab August 2026. Für Betreiber von Hochrisiko-KI verlangt Art. 26 zusätzlich kompetente Personen mit Ausbildung und Befugnis für die menschliche Aufsicht.

In der Praxis überschneidet sich KI-Governance mit einer schriftlichen KI-Richtlinie und der Rolle eines KI-Beauftragten – die Governance ist der Rahmen, die Richtlinie das Dokument, der Beauftragte oft die verantwortliche Person.

Governance verhindert, dass jede Abteilung eigene KI-Tools ohne Abstimmung einführt – ein Grund für sogenannte Schatten-KI, die Datenschutz- und Haftungsrisiken schafft, ohne dass die Geschäftsführung davon weiß.

Klare Zuständigkeiten sparen Zeit, wenn ein neues Tool eingeführt werden soll: Statt jedes Mal von vorn zu prüfen, greift ein bestehender Prozess für Risikoeinstufung, Freigabe und Dokumentation. Das senkt auch das Haftungsrisiko, weil im Streitfall nachvollziehbar ist, wer eine Entscheidung getroffen und wie das System kontrolliert wurde.

Wie viel Aufwand KI-Governance macht, hängt stark davon ab, wie viele KI-Systeme im Betrieb laufen und ob Hochrisiko-Anwendungen wie automatisierte Bewerbungsvorauswahl dabei sind. Für ein einfaches Set-up – Register der genutzten Tools, eine verantwortliche Person, eine kurze schriftliche Richtlinie – reicht oft wenig Aufwand. Werden Hochrisiko-Pflichten nach Art. 26 relevant, kommen Dokumentation der menschlichen Aufsicht, Schulungsnachweise und ggf. ein Risikomanagementsystem hinzu, was deutlich mehr Zeit bindet. Nach unserer Erfahrung lohnt sich ein strukturierter Einstieg: Ein Workshop hilft dabei, in kurzer Zeit eine erste Governance-Struktur mit Rollen, Register und Dokumentationsvorlage zu erarbeiten, bevor größere Investitionen in einzelne KI-Systeme anstehen.

Ein Maschinenbauer mit 60 Mitarbeitenden nutzt eine KI-gestützte Software, die eingehende Bewerbungen vorsortiert – eine Anwendung, die der EU AI Act als Hochrisiko einstuft. Die Geschäftsführung legt fest: Die Personalleitung prüft fachlich, die IT führt ein Register aller eingesetzten KI-Tools, und jede automatisierte Vorauswahl wird von einer Person gegengeprüft, bevor eine Absage verschickt wird. Zusätzlich dokumentiert der Betrieb, welche Mitarbeitenden zum Umgang mit dem Tool geschult wurden. Damit sind die wichtigsten Bausteine von KI-Governance – Zuständigkeit, Dokumentation, menschliche Kontrolle – abgedeckt, ohne dass eine neue Abteilung entsteht.