Vom Verbot zur Strategie: KI-Governance im Mittelstand, die Mitarbeiter mitnimmt

KI-Governance im Mittelstand scheitert, wenn sie bei Verboten, Richtlinien-PDFs und gesperrten Webseiten stehen bleibt. Mitarbeiter nutzen ChatGPT, Claude oder Gemini trotzdem, weil die Werkzeuge ihnen Zeit sparen; ohne ein brauchbares offizielles Angebot wandert diese Nutzung nur aus dem Sichtfeld von IT und Datenschutz.

Ein KI-Verbot schafft ein Sichtbarkeitsproblem

Ein Verbot beseitigt Schatten-KI nicht. Es sorgt dafür, dass Mitarbeiter ihre private E-Mail-Adresse verwenden, Texte auf dem Smartphone eingeben oder Ergebnisse aus einem privaten Browser ins Firmensystem kopieren. Die Fachabteilung arbeitet weiter, nur ohne Schutzmechanismen und ohne Audit-Trail, also ohne nachvollziehbares Protokoll darüber, welches System welche Daten verarbeitet hat.

Die Szene kennt fast jedes Unternehmen. Ein Vertriebler lässt einen Angebotsentwurf glätten und kopiert dafür Passagen aus einer Kundenanfrage in einen öffentlichen KI-Chat. Die Absicht ist vernünftig, der Vorgang trotzdem problematisch: Im Text stehen womöglich Preise, Ansprechpartner oder Hinweise auf ein laufendes Projekt. Ein pauschales Verbot macht daraus keinen sicheren Prozess. Es macht ihn unsichtbar.

Stellen Sie sich deshalb eine unbequeme Frage: Würden Ihre Mitarbeiter bei einer anonymen Abfrage die tatsächliche KI-Nutzung offenlegen? Lautet die ehrliche Antwort „vermutlich nicht“, fehlt keine Kontrolle auf dem Papier. Es fehlt Vertrauen im Umgang mit dem Thema.

KI-Nutzung im Unternehmen kontrollieren beginnt mit einem nutzbaren Angebot

KI-Governance bedeutet: Das Unternehmen legt fest, welche KI-Anwendungen für welche Aufgaben und Daten zugelassen sind, wer Verantwortung trägt und wie die Nutzung überprüfbar bleibt. Das klingt nach Compliance. In der Praxis entscheidet aber die Benutzererfahrung darüber, ob die Regeln gelten.

Ein internes KI-Portal, das langsam ist und jeden zweiten Prompt ablehnt, wird umgangen. Mitarbeiter vergleichen es nicht mit einem theoretischen Sicherheitsstandard, sondern mit dem privaten Chatfenster, das in Sekunden eine brauchbare Antwort liefert. Die offizielle Lösung muss deshalb bei den alltäglichen Aufgaben überzeugen: eine Besprechungsnotiz zusammenfassen, eine Excel-Formel erklären, eine Lieferantenmail formulieren, einen Vertragsabschnitt in einfache Sprache übersetzen.

Der Vorteil einer Unternehmenslösung liegt darin, dass sie auf freigegebenes Firmenwissen zugreifen kann. Ein Mitarbeiter im Kundenservice bekommt Antworten aus der aktuellen Produktdokumentation und den verbindlichen Serviceprozessen, statt sie aus veralteten lokalen Dateien zusammenzusuchen. Erst dann wird die sichere Nutzung zum schnelleren Weg, und erst dann hält sich jemand freiwillig an die Regel.

Ein KI-Gateway einführen: Die Datenentscheidung gehört in die Architektur, nicht in den Prompt

Mitarbeiter dürfen nicht bei jeder Anfrage beurteilen müssen, ob ein Datensatz vertraulich, personenbezogen oder geschäftskritisch ist. Diese Entscheidung ist im Tagesgeschäft zu fehleranfällig. Wer kurz vor Feierabend noch eine Kundenantwort fertigstellen will, liest keine lange KI-Richtlinie.

Eine belastbare KI-Governance setzt deshalb vor dem Modell an. Ein KI-Gateway, also eine technische Kontrollschicht zwischen Anwender und KI-Modell, prüft Eingaben, maskiert sensible Inhalte und leitet Anfragen je nach Schutzbedarf weiter. Allgemeine Schreibaufgaben dürfen an ein extern betriebenes Modell gehen. Daten aus der Kalkulation oder aus Kundenakten bleiben in einer kontrollierten Umgebung, etwa auf souveräner europäischer Cloud-Infrastruktur oder im eigenen Betrieb.

Das ist kein Selbstzweck. Eine Tourenplanung in einem Logistikunternehmen enthält Kundenstandorte, Liefermengen und Vertragskonditionen. Diese Daten gehören nicht ungeprüft in ein öffentliches Modell. Eine KI-Governance muss diesen Fall technisch abfangen, statt auf dauerhaft fehlerfreies Verhalten jedes einzelnen Mitarbeiters zu hoffen.

Protokolle und Schulungen werden Teil des Arbeitsablaufs

Der EU AI Act verlangt in Artikel 4 seit Februar 2025 angemessene KI-Kompetenz bei den Personen, die KI-Systeme einsetzen oder deren Einsatz verantworten. Ein einmaliges Webinar mit Teilnahmebestätigung erfüllt den Geist dieser Anforderung selten. Mitarbeiter brauchen Orientierung für die Aufgaben, die sie wirklich erledigen.

Eine gute Schulung zeigt einen echten Prompt aus dem Einkauf und fragt: Welche Angaben dürfen hinein, welche werden automatisch geschützt, wann ist eine menschliche Freigabe nötig? Das bleibt hängen. Die Definition von künstlicher Intelligenz auf der zweiten Seite des Handouts nicht.

KI-Governance braucht Nachweise, aber keine Bürokratie, die niemand pflegt. Nutzungsprotokolle, Freigabestände von KI-Anwendungen und Schulungsbestätigungen sollten automatisiert anfallen. Dabei gilt Datenminimierung: Die Organisation muss nachvollziehen können, welche Anwendung in welchem Rahmen genutzt wurde. Sie muss nicht jeden Gedanken eines Mitarbeiters dauerhaft speichern. Gerade bei Protokollen gehören Datenschutzbeauftragte und Betriebsrat früh an den Tisch. Wer sie erst kurz vor dem Start informiert, produziert vermeidbaren Widerstand.

Schatten-KI zeigt, wo die Arbeit heute hängen bleibt

Schatten-KI ist auch eine ungefilterte Bedarfsanalyse. Wenn viele Mitarbeiter dieselbe KI-Anwendung für Angebotsentwürfe nutzen, ist das ein Hinweis auf einen langsamen oder uneinheitlichen Angebotsprozess. Wenn Teams regelmäßig lange Besprechungen zusammenfassen lassen, fehlt vielleicht eine saubere Dokumentationsroutine. Die Nutzung verrät mehr über operative Reibung als jeder Workshop.

Diese Erkenntnisse gehören in die Priorisierung. Nicht jede Idee muss sofort ein KI-Agent werden, also eine Software, die Aufgaben anhand vorgegebener Regeln und verfügbarer Werkzeuge weitgehend selbstständig ausführt. Für viele Fälle genügt ein gesicherter Chat mit Zugriff auf freigegebene Dokumente. Das ist günstiger, schneller prüfbar und leichter zu verantworten.

Wir raten mittelständischen Unternehmen ausdrücklich davon ab, vorschnell ein Dutzend Fachbereichsprojekte zu starten. Beginnen Sie dort, wo die Nutzung bereits stattfindet und der Schaden bei falscher Datenverarbeitung überschaubar bleibt. Ein Pilot im internen Wissensmanagement ist meist sinnvoller als ein autonomer Agent, der sofort Angebote verschickt oder Buchungen verändert.

So wird KI-Governance zur Führungsaufgabe

KI-Governance lässt sich nicht allein bei der IT abladen. Die IT baut den sicheren Rahmen. Compliance definiert Anforderungen und prüft Risiken. Die Fachbereiche sagen, welche Arbeit tatsächlich schneller oder besser wird. Entscheidend ist eine benannte Person aus der Geschäftsleitung, die Zielkonflikte verbindlich entscheidet. Sonst diskutiert das Unternehmen monatelang über Werkzeuge, während die private Nutzung längst weiterläuft.

Ein realistischer Start braucht keine Jahresplanung. In den ersten Wochen erfassen Sie die tatsächlich genutzten KI-Anwendungen, die typischen Anwendungsfälle und die dabei verarbeiteten Datenarten. Danach definieren Sie einen kleinen, freigegebenen Nutzungsrahmen samt technischer Plattform. Erst nach dem Praxistest wird daraus ein unternehmensweiter Standard.

Die Architektur entscheidet über die spätere Beweglichkeit. Daten, Prompts und Anbindungen dürfen nicht in einem proprietären Anbieterprodukt gefangen sein. Offene Schnittstellen und klare Datenflüsse verhindern die Abhängigkeit von einem einzelnen Anbieter. Ändert ein Modellanbieter Preise, Vertragsbedingungen oder technische Regeln, muss das Unternehmen wechseln können, ohne seine gesamte KI-Governance neu zu bauen.

Wie Sie den Erfolg von KI-Governance messen

Messen Sie nicht allein die Zahl der Logins. Aussagekräftiger sind der Rückgang privater KI-Nutzung, dokumentierte Schulungsstände, die Zahl sicher abgewickelter Anwendungsfälle und die Zeitersparnis in einem konkret definierten Prozess. Wenn der Vertrieb Angebotsentwürfe nachweislich schneller erstellt, ohne Kundendaten unkontrolliert weiterzugeben, hat die KI-Governance ihren Zweck erfüllt.

Der nächste Schritt ist keine weitere Verbotsmail, sondern eine ehrliche Bestandsaufnahme der realen KI-Nutzung und ein begrenzter, sicherer Pilot. Wenn Sie dafür jemanden wollen, der so etwas baut und betreibt statt es zu beraten, buchen Sie einen Potenzial-Check: eine halbe Stunde, kostenlos, mit einer Einschätzung, welcher Anwendungsfall bei Ihnen als Erstes in einen kontrollierten Rahmen gehört.