KI-Governance im Mittelstand

KI-Governance beantwortet drei Fragen, die in den meisten Unternehmen niemand beantworten kann. Welche KI-Werkzeuge werden bei uns eingesetzt? Welche Daten fließen hinein? Und wer hat entschieden, dass das so sein darf? Solange diese drei Antworten fehlen, ist jede Aussage zur Regelkonformität geraten, egal wie gut die eingesetzten Systeme sind.

Der Einstieg ist deshalb nie ein Regelwerk, sondern eine Inventur. In fast jedem Betrieb laufen KI-Werkzeuge, die nie freigegeben wurden: ein Übersetzungsdienst im Vertrieb, ein Chatbot-Konto in der Buchhaltung, ein Code-Assistent in der Entwicklung. Diese Schatten-KI ist selten böswillig und fast immer nützlich. Sie ist nur unsichtbar, und was unsichtbar ist, lässt sich weder prüfen noch absichern.

Aus der Inventur folgt die eigentliche Arbeit. Für jeden Einsatzfall wird festgelegt, welche Datenkategorien hineindürfen, wer die Ergebnisse prüft, bevor sie wirken, und woran ein Fehler im Nachhinein erkennbar ist. Den letzten Punkt überspringen Unternehmen am häufigsten, und genau an ihm bleibt später jede Prüfung hängen. Ohne Protokoll über Eingabe, Modellstand und Freigabe lässt sich ein einzelner Vorgang nicht mehr rekonstruieren.

Der EU AI Act verschärft das, aber er erfindet es nicht. Risikoeinstufung, Transparenz und Dokumentation sind für Unternehmen mit einem funktionierenden Freigabeprozess eine Formalisierung dessen, was ohnehin passiert. Für alle anderen werden sie ein Projekt. Wer die Inventur hat, kann einstufen. Wer einstufen kann, kann dokumentieren.

Bewährt hat sich, Governance nicht als Richtlinie zu schreiben, sondern in den Ablauf einzubauen. Ein Anwendungsfall, der ohne hinterlegten Zweck, ohne benannte Datenkategorien und ohne Prüfschritt gar nicht produktiv gehen kann, braucht kein Dokument, das ihn verbietet.

Dazu gehört eine ehrliche Antwort auf die Frage, wer haftet. Ein KI-System trifft keine Entscheidungen, es macht Vorschläge. Die Entscheidung trifft, wer den Vorschlag übernimmt, oder wer festgelegt hat, dass er ohne Prüfung wirkt. Diese Zuordnung gehört vor die Produktivsetzung und nicht in die Aufarbeitung eines Vorfalls. Sie ist auch der Punkt, an dem sich echte Governance vom Feigenblatt unterscheidet: Solange niemand benannt ist, ist niemand zuständig.

Die Artikel unten behandeln die einzelnen Schritte, von der Schatten-KI-Inventur über die Kontrolle der Datenflüsse bis zum Audit-Trail, der die Nachvollziehbarkeit trägt.