KI-Governance beginnt mit einer offenen Entscheidung
KI-Governance führen Sie ein, indem Sie vorhandene KI-Nutzung erfassen, Zuständigkeiten festlegen und einen nachvollziehbaren Weg von der Idee bis zum laufenden Review schaffen. Die sieben Schritte unten sind ein praktischer Einstieg. Sie sind kein gesetzlich vorgeschriebener Ablauf und kein Zertifizierungsprogramm.
Drei Abteilungen nutzen KI, jede auf ihre Weise. Der Vertrieb erstellt Angebote, das Marketing schreibt Texte und die IT testet einen Agenten. Auf die Frage, welche Daten wohin gehen und wer den Einsatz freigegeben hat, gibt es drei verschiedene Antworten. Dieses illustrative Beispiel zeigt die eigentliche Lücke: Die Nutzung funktioniert bereits, die gemeinsame Verantwortung noch nicht.
Beginnen Sie deshalb mit einer konkret benannten Frage: Welche laufenden Anwendungen können wir verantwortbar weiterbetreiben, welche brauchen Auflagen und welche müssen pausieren? Eine allgemeine KI-Strategie allein beantwortet das nicht.
Sieben Schritte, sieben überprüfbare Ergebnisse
Jeder Schritt erzeugt ein Arbeitsartefakt, das der nächste Schritt braucht. Die Reihenfolge ist eine Orientierung; akute Daten- oder Sicherheitsvorfälle werden sofort bearbeitet und warten nicht auf den Abschluss des Inventars.
Ein gemeinsamer Überblick über konkrete Einsätze.
Ein Name pro Entscheidung, mit Vertretung.
Zweck, Risiken und offene Fachfragen.
Anwendbare Regeln und ein Freigabeweg.
Aufgabenbezogene Übungen und Lernnachweise.
Begrenzter Betrieb mit Abbruchkriterien.
Entscheidung: weiterführen, ändern oder stoppen.
1. Erfassen Sie Anwendungsfälle, nicht nur Produktnamen
Sammeln Sie zuerst, welche Arbeit mit KI erledigt wird. Fragen Sie in den Fachbereichen nach Texterstellung, Zusammenfassungen, Klassifizierung, Prognosen und automatischen Aktionen. Ergänzen Sie Beschaffung, Softwareverzeichnis und vorhandene Integrationen. Eine KI-Funktion in einer bereits gekauften Anwendung gehört ebenso dazu wie ein separat bezahltes KI-Abo.
Ein Eintrag „Chatbot“ ist zu wenig. Aussagekräftiger ist „Antwortentwürfe für Supportanfragen, Team Kundenservice, Zugriff auf Wissensdatenbank, Versand durch Mitarbeitende“. Notieren Sie Unbekanntes ausdrücklich als offen. Ein sichtbarer Prüfpunkt ist hilfreicher als eine vermutete Freigabe.
Für die konkrete Datenstruktur hilft die Anleitung zum KI-Inventar mit Feldern und Pflegeprozess. Ergebnis dieses Schritts ist eine erste gemeinsame Liste mit Verantwortlichen und erkennbaren Lücken.
2. Verteilen Sie Entscheidungen statt zusätzlicher Titel
Benennen Sie eine Person, die den organisationsweiten Ablauf verantwortet. Für jeden Anwendungsfall braucht es außerdem einen fachlichen Owner: Wer erklärt Zweck und Nutzen, beurteilt Ergebnisse und entscheidet mit über Änderungen? IT, Informationssicherheit, Datenschutz und gegebenenfalls weitere Fachstellen prüfen ihre jeweiligen Fragen.
Schreiben Sie auf, wer eine Nutzung freigeben darf und wer sie bei einem Vorfall stoppen kann. Klären Sie eine Vertretung und einen Eskalationsweg, falls sich Fachbereich und Kontrollfunktion nicht einigen. Ein neues Board ist nur sinnvoll, wenn bestehende Entscheidungswege die Aufgabe nicht tragen.
3. Trennen Sie rechtliche Einordnung und Betriebsrisiken
Bewerten Sie Zweck, betroffene Personen, Daten, Systemzugriffe und mögliche Folgen eines Fehlers. Die rechtliche Einstufung nach dem AI Act ist dabei eine eigene Prüfaufgabe. Ein geringes Risiko in einer rechtlichen Kategorie sagt noch nichts darüber aus, ob ein Agent versehentlich viele Dateien löschen könnte.
Halten Sie die Grundlage der Bewertung fest: eingesetzte Funktion, Dokumentation des Anbieters, geplante Nutzung und offene Fragen. Schreiben Sie „Prüfung offen“, wenn die Einordnung noch nicht belastbar ist. Die Betreiberpflichten in Artikel 26 beziehen sich auf Hochrisiko-KI-Systeme; sie sind keine pauschale Checkliste für jede Textassistenz.
4. Übersetzen Sie die Bewertung in alltägliche Regeln
Eine Richtlinie muss Beschäftigten in einer konkreten Situation helfen: Darf ich diese Daten in diesem Zugang für diesen Zweck verwenden? Wo frage ich nach, wenn der Fall noch nicht geregelt ist? Legen Sie erlaubte Einsätze, nicht erlaubte Daten, Prüfpflichten und Meldewege fest.
Trennen Sie stabile Grundregeln von häufig veränderten Anlagen. Die Tool-Liste kann sich ändern, ohne dass jedes Mal das gesamte Grundsatzpapier neu geschrieben wird. Die zwölf Bausteine einer KI-Richtlinie zeigen diese Aufteilung mit einer editierbaren Vorlage. Eine bestimmte Seitenzahl garantiert weder Verständlichkeit noch rechtliche Vollständigkeit.
5. Üben Sie Entscheidungen mit den betroffenen Teams
Schulen Sie anhand der tatsächlich eingesetzten Anwendungen. Eine Person, die Textentwürfe prüft, braucht andere Übungen als jemand, der einen Agenten mit Schreibrechten betreibt. Verwenden Sie fachtypische Fehlerfälle: eine erfundene Quelle, eine vertrauliche Information im Prompt oder eine falsche Zuordnung einer Kundenanfrage.
Dokumentieren Sie Inhalt, Datum, Teilnehmende und die Verbindung zu den jeweiligen Anwendungsfällen. Ergänzen Sie kurze Aufgaben, die zeigen, ob die Teilnehmenden Grenzen und Meldewege anwenden können. Ein Anwesenheitsnachweis beschreibt Teilnahme; er beweist für sich genommen keine sichere Anwendung.
6. Prüfen Sie den Ablauf an einem begrenzten Pilot
Wählen Sie einen überschaubaren Anwendungsfall mit klarer fachlicher Prüfung. Legen Sie vor dem Start erlaubte Daten, Zugriffsrechte, Tests, Erfolgskriterien und Abbruchbedingungen fest. Automatische Aktionen brauchen einen bewussten Freigabepunkt. Ein Agentenpilot ist nur nötig, wenn Agenten tatsächlich zum Vorhaben gehören.
Im illustrativen Supportbeispiel erstellt die KI zunächst Antwortentwürfe. Mitarbeitende prüfen Sachverhalt und Ton und versenden selbst. Erst wenn diese Arbeitsweise bewertet ist, wird über zusätzliche Handlungsmöglichkeiten entschieden. Dokumentieren Sie auch abgelehnte Erweiterungen: Sie erklären später, warum ein Zugriff bewusst fehlt.
7. Entscheiden Sie im ersten Review über den weiteren Betrieb
Das erste Review überprüft, ob Regeln und Betrieb zusammenpassen. Lassen sich Freigaben auffinden? Werden Fehler erkannt? Nutzen Beschäftigte den vorgesehenen Weg? Wurden seit der Bewertung Datenquellen, Modell oder Rechte verändert? Prüfen Sie einige konkrete Vorgänge statt nur die Vollständigkeit von Dokumenten.
| Befund | Entscheidung | Nachweis |
|---|---|---|
| Ergebnisse passen; Auflagen eingehalten | Begrenzt weiterführen | Freigabe mit nächstem Prüftermin |
| Neue Datenquelle oder mehr Rechte | Änderung vor Erweiterung prüfen | Aktualisierte Bewertung und Tests |
| Fehler bleibt unbemerkt; Kontrolle greift nicht | Nutzung begrenzen oder pausieren | Maßnahme, Owner und Wiedervorlage |
Vereinbaren Sie den nächsten Prüftermin passend zum Risiko und zur Veränderungsgeschwindigkeit. Ein regelmäßiger Termin ersetzt keine anlassbezogene Prüfung nach einem Vorfall oder einer wesentlichen Änderung. Das freiwillige NIST AI RMF bietet hierfür einen übergreifenden Rahmen zum Umgang mit KI-Risiken.
Quelle: NIST AI Risk Management Framework.
Planen Sie bis zur ersten Entscheidung
Für einen begrenzten Einstieg lässt sich beispielhaft ein erster Arbeitsblock für Bestandsaufnahme und Rollen, ein zweiter für Regeln und Übungen und ein dritter für Pilot und Review reservieren. Wie viel Kalenderzeit das braucht, hängt von Zugängen, Beteiligten und offenen Fachfragen ab. Behandeln Sie diese Blöcke als Planungsmodell, nicht als Fertigstellungsversprechen.
Wenn bereits Anwendungen laufen, beginnen Sie mit den Einträgen, bei denen Verantwortung, Daten oder Rechte ungeklärt sind. In einer operativen Governance-Begleitung können wir daraus einen priorisierten Arbeitsplan, einen Freigabeweg und die ersten belastbaren Arbeitsartefakte entwickeln.
Quellen und Einordnung
Die verlinkten Quellen bilden den redaktionellen Stand ab. Praktische Muster und Beispiele sind Arbeitshilfen; die konkrete rechtliche Bewertung eines Einsatzes bleibt eine Einzelfallfrage.
Vom Lesen ins Umsetzen.
Sie möchten diese Schritte auf Ihr Unternehmen übertragen? Im Erstgespräch klären wir den passenden Einstieg.
Mit Liburn sprechen
Liburn Shala
Liburn Shala ist KI-Berater, Trainer und Speaker. Er unterstützt Unternehmen dabei, KI verständlich und praxisnah von der Strategie bis zur Umsetzung einzusetzen.