KI-Einsatz braucht Rollen, Regeln und Verantwortlichkeiten

Regelmäßige KI-Nutzung braucht organisatorische Führung

Betrieblicher KI-Einsatz benötigt klare Verantwortung, zulässige Nutzung, geregelten Datenzugriff, angemessene Prüfung, Eskalation, Dokumentation und Kompetenz.

KI-Governance ist kein einzelnes Regelwerk. Sie ist ein Betriebssystem aus Rollen, Entscheidungsrechten, Kontrollen und Lernschleifen. Es verbindet Geschäftszweck, Fachlichkeit, Technik, Datenschutz, Sicherheit und Unternehmensführung.

Ausgangslage

Im Juni 2025 war KI-Nutzung in vielen Unternehmen nicht mehr auf einzelne Experimente begrenzt.

Mitarbeitende verwendeten generative Systeme für:

• Entwurf und Überarbeitung,
• Recherche und Zusammenfassung,
• Übersetzung,
• Datenanalyse,
• Softwareentwicklung,
• Kundenkommunikation,
• interne Wissenssuche,
• Prozessunterstützung.

Gleichzeitig entstanden integrierte Funktionen in Bürosoftware, CRM, Marketingplattformen und Entwicklungssystemen. Nutzung konnte deshalb stattfinden, ohne dass ein Unternehmen bewusst ein eigenes KI-Projekt gestartet hatte.

Diese Verbreitung veränderte die Führungsfrage.

Es ging nicht mehr nur darum, ein Werkzeug freizugeben oder zu sperren. Unternehmen mussten klären:

• Welche Nutzung ist erwünscht?
• Welche Daten dürfen verarbeitet werden?
• Welche Ergebnisse benötigen Prüfung?
• Wer genehmigt neue Anwendungen?
• Wer überwacht Anbieter und Änderungen?
• Wie werden Fehler und Vorfälle behandelt?
• Welche Kompetenz benötigen Mitarbeitende?
• Wie wird dokumentiert, dass Regeln eingehalten werden?

Der regulatorische Kontext im Juni 2025

Der EU AI Act war am 1. August 2024 in Kraft getreten.

Seit dem 2. Februar 2025 galten erste Bestimmungen, darunter die Regeln zu verbotenen Praktiken und die Verpflichtung, Maßnahmen für ausreichende KI-Kompetenz der mit KI befassten Personen zu ergreifen.

Weitere Vorgaben wurden gestaffelt anwendbar. Die Governance-Regeln und Verpflichtungen für Modelle mit allgemeinem Verwendungszweck sollten erst ab dem 2. August 2025 gelten.

Für eine Einordnung im Juni 2025 ist diese zeitliche Grenze wichtig.

Unternehmen mussten bereits handeln, durften aber noch nicht so schreiben, als seien sämtliche späteren Pflichten vollständig anwendbar.

Dieser Beitrag ist keine Rechtsberatung. Der AI Act, Datenschutzrecht, Arbeitsrecht, Mitbestimmung, Urheberrecht und sektorale Anforderungen müssen für den konkreten Einsatz gesondert geprüft werden. Bei rechtlich relevanten Entscheidungen sind spezialisierte Kanzleien, Datenschutzbeauftragte und gegebenenfalls weitere Fachstellen einzubeziehen.

Was KI-Governance leisten muss

Zweck und Nutzen klären

Jede Anwendung benötigt einen verantworteten Geschäftszweck.

Zu dokumentieren sind:

• gewünschte Unterstützung,
• betroffene Nutzer oder Personen,
• erwarteter Nutzen,
• zulässiger Umfang,
• Abbruch- und Ausstiegskriterien.

Eine Anwendung ohne klaren Zweck lässt sich weder angemessen prüfen noch priorisieren.

Zulässige Nutzung festlegen

Mitarbeitende benötigen verständliche Regeln.

Beispiele:

• Welche Werkzeuge sind freigegeben?
• Welche Daten dürfen eingegeben werden?
• Welche Aufgaben sind nicht zulässig?
• Wann muss eine Ausgabe gekennzeichnet werden?
• Welche Ergebnisse dürfen nicht ungeprüft verwendet werden?
• Welche Anwendungen benötigen vorherige Freigabe?

Die Regeln müssen zum Arbeitsalltag passen. Eine abstrakte Richtlinie, die niemand auf konkrete Situationen übertragen kann, bleibt wirkungslos.

Daten- und Systemzugriff steuern

KI-Anwendungen können auf Dokumente, E-Mails, Kundendaten, CRM, Projektmanagement oder weitere Systeme zugreifen.

Mit jedem Zugriff steigt die mögliche Wirkung.

Zu klären sind:

• minimale Berechtigung,
• Zweckbindung,
• Datenkategorien,
• Speicher- und Löschregeln,
• externe Anbieter,
• technische Schnittstellen,
• Protokollierung,
• Trennung von Test und produktivem Betrieb.

Ein Agent mit Schreibrecht benötigt eine andere Governance als ein internes Entwurfswerkzeug ohne Systemzugriff.

Prüfung und Freigabe gestalten

Die Kontrolltiefe richtet sich nach Risiko.

Governance definiert:

• welche Ergebnisse nur Entwürfe sind,
• wann Stichproben genügen,
• wann fachliche Pflichtprüfung gilt,
• wann Vier-Augen-Prinzip erforderlich ist,
• wann automatische Verarbeitung ausgeschlossen ist,
• wer freigeben darf.

Die Regeln müssen technisch und organisatorisch umsetzbar sein.

Eskalation und Vorfälle behandeln

Ein KI-Prozess kann:

• falsche Ergebnisse erzeugen,
• auf ungeeignete Quellen zugreifen,
• sensible Daten verarbeiten,
• eine unzulässige Aktion auslösen,
• systematisch bestimmte Fälle benachteiligen,
• durch Anbieteränderung anders funktionieren.

Dafür benötigt das Unternehmen:

• Meldeweg,
• Stopprecht,
• technische Abschaltmöglichkeit,
• Verantwortlichen für Bewertung,
• Dokumentation,
• Kommunikation an Betroffene,
• Korrektur und Wiederanlauf.

Ein Vorfall darf nicht als individuelles Bedienproblem abgetan werden, wenn die Ursache im System oder Prozess liegt.

Dokumentation und Nachvollziehbarkeit sichern

Nicht jede Nutzung benötigt dieselbe Dokumentation.

Für relevante Anwendungen sollten jedoch mindestens nachvollziehbar sein:

• Zweck,
• Verantwortliche,
• verwendetes System und Version,
• Datenquellen,
• Regeln und Prüfschritte,
• bekannte Grenzen,
• Freigabe,
• Änderungen,
• Vorfälle,
• regelmäßige Überprüfung.

Dokumentation dient nicht nur Compliance. Sie ermöglicht Wartung, Übergabe und Lernen.

Kompetenz aufbauen

Artikel 4 des EU AI Act machte KI-Kompetenz zu einer konkreten organisatorischen Aufgabe.

Kompetenz bedeutet nicht, dass jede Person technische Modelldetails beherrschen muss.

Sie muss zum Einsatz passen und kann umfassen:

• Fähigkeiten und Grenzen des Systems,
• zulässige Daten,
• typische Fehler,
• Prüfkriterien,
• Sicherheits- und Datenschutzregeln,
• Eskalationsweg,
• Auswirkungen auf betroffene Personen.

Ein einmaliges allgemeines Webinar genügt nicht für jede Rolle.

Grafik vergrößern

Das Rollenmodell

KI-Governance benötigt keine große neue Abteilung. Sie benötigt eindeutig zugeordnete Funktionen.

Geschäftsverantwortlicher

Entscheidet über Zweck, Priorität, Ressourcen und akzeptables Risiko.

Prozessverantwortlicher

Verantwortet den Ablauf, die Übergaben und die Integration in den Betrieb.

Fach- oder Wissensverantwortlicher

Sichert Quellen, Begriffe, Regeln und fachliche Qualität.

Technischer Verantwortlicher

Verantwortet Konfiguration, Schnittstellen, Berechtigungen, Versionen und Betrieb.

Datenschutz, Sicherheit und Compliance

Prüfen die jeweils relevanten Anforderungen und begleiten risikorelevante Entscheidungen.

Prüfende und freigebende Rollen

Bewerten Ergebnisse nach festgelegten Kriterien und besitzen ein tatsächliches Stopprecht.

Nutzer

Wenden das System im definierten Rahmen an, erkennen Grenzen und melden Abweichungen.

Vorfall- und Eskalationsverantwortlicher

Koordiniert Reaktion, Dokumentation, Korrektur und gegebenenfalls externe Kommunikation.

Eine Person kann mehrere Funktionen übernehmen. Unklarheit darf dadurch nicht entstehen.

Das SDC-Rollenmodell für KI-Governance

Ein pragmatisches Governance-Modell für KMU

1. KI-Nutzungsinventar

Das Unternehmen erfasst:

• freigegebene Systeme,
• tatsächlich genutzte Systeme,
• Aufgaben,
• Daten,
• betroffene Prozesse,
• verantwortliche Personen.

Dieses Inventar muss nicht sofort vollständig sein. Es sollte risikorelevante und wiederkehrende Nutzungen zuerst sichtbar machen.

2. Einfache Risikoklassen

Eine praktische Einteilung kann lauten:

• Klasse A: interner Entwurf, geringe Wirkung, leicht korrigierbar.
• Klasse B: externe Kommunikation oder operative Entscheidung mit Pflichtprüfung.
• Klasse C: sensible Daten, erhebliche Wirkung, Systemaktion oder geringe Umkehrbarkeit. Gesonderte Freigabe und Prüfung erforderlich.
• Nicht zulässig: verbotene, nicht verantwortbare oder nicht ausreichend geklärte Nutzung.

Die Einteilung ersetzt keine rechtliche Klassifikation nach dem AI Act. Sie unterstützt die interne Steuerung.

3. Verbindliche Nutzungsregeln

Regeln sollten konkrete Situationen beantworten und Beispiele enthalten.

4. Freigabeprozess für neue Anwendungen

Neue Anwendungen werden nicht nur technisch beschafft. Geschäftszweck, Daten, Risiko, Anbieter, Prüfung und Verantwortlichkeit werden gemeinsam bewertet.

5. Kompetenz nach Rolle

Nutzer, Fachprüfer, technische Verantwortliche und Führung benötigen unterschiedliche Schulungsinhalte.

6. Wiederkehrende Überprüfung

Modelle, Anbieter, Prozesse und Rechtslage ändern sich. Anwendungen werden deshalb nach festen Anlässen oder Intervallen geprüft.

Strategische Einordnung

ISO/IEC 42001 beschrieb Ende 2023 ein Managementsystem für KI. Sein Wert liegt nicht nur in möglicher Zertifizierung. Es strukturiert KI als wiederkehrende Führungsaufgabe nach dem Prinzip Planen, Umsetzen, Prüfen und Verbessern.

Der NIST AI RMF ordnet ähnliche Funktionen als Govern, Map, Measure und Manage.

Beide Ansätze zeigen eine gemeinsame Logik:

KI-Governance ist kein einmaliges Genehmigungsformular. Sie verbindet Planung, Kontext, Kontrolle, Betrieb und Lernen.

Perspektive aus der Praxis

Die größte Gefahr für mittelständische Unternehmen liegt häufig nicht in einem offiziell eingeführten Hochrisikosystem.

Sie liegt in der wachsenden Zahl kleiner Nutzungen:

• ein Team verwendet ein nicht freigegebenes Werkzeug,
• sensible Informationen werden in einen Assistenten kopiert,
• ein Plugin erhält weitreichenden Zugriff,
• eine automatisch erzeugte Antwort wird ohne Prüfung versendet,
• eine zentrale Wissensquelle wird nicht aktualisiert,
• niemand bemerkt eine Modell- oder Anbieteränderung.

Ein pragmatisches Governance-System muss diese Realität erfassen, ohne jede Nutzung in Bürokratie zu ersticken.

Der geeignete Maßstab ist Proportionalität:

• geringe Wirkung, einfache Regeln,
• höhere Wirkung, stärkere Prüfung,
• sensible oder irreversible Wirkung, formale Freigabe und spezialisierte Prüfung.

Beschaffung gehört in die Governance

Auch der Einkauf eines KI-Dienstes ist keine rein technische oder preisliche Entscheidung.

Zu prüfen sind unter anderem Vertragsbedingungen, Datenverwendung, Unterauftragnehmer, Speicherorte, Löschmöglichkeiten, Änderungsmitteilungen, Modellupdates, Zugriffskontrollen und die Möglichkeit eines geordneten Ausstiegs. Ein fachlich geeigneter Anwendungsfall kann untragbar werden, wenn der Anbieter wesentliche Anforderungen nicht nachvollziehbar erfüllt.

Deshalb müssen Beschaffung, Fachbereich und technische Verantwortung denselben Einsatzfall bewerten. Die Freigabe eines Werkzeugs gilt nicht automatisch für jede mögliche Nutzung innerhalb dieses Werkzeugs.

Was Unternehmen nicht tun sollten

Unternehmen sollten KI-Governance nicht an einen einzelnen Bereich delegieren.

IT kann technische Zugriffe steuern, aber nicht allein den Geschäftszweck beurteilen. Fachbereiche kennen die Aufgabe, aber nicht zwingend Datenschutz- und Sicherheitsfolgen. Compliance kann Regeln definieren, aber nicht den Prozess betreiben.

Ebenso unzureichend ist eine Richtlinie ohne technische Umsetzung. Wenn nicht freigegebene Werkzeuge leicht nutzbar bleiben, Berechtigungen zu weit sind und keine Meldemöglichkeit besteht, bleibt Governance theoretisch.

Unternehmen sollten auch nicht jede Anwendung gleich behandeln. Eine überzogene Freigabepflicht fördert Schattennutzung. Eine zu lockere Regel lässt relevante Risiken unkontrolliert.

Konsequenz für Unternehmen

KI-Governance ist ein Teil digitaler Reife.

Sie zeigt sich daran, ob ein Unternehmen neue technische Möglichkeiten in vorhandene Verantwortung übersetzen kann.

Belastbare Governance ermöglicht:

• schnellere Auswahl geeigneter Anwendungsfälle,
• klare Grenzen für Mitarbeitende,
• bessere Daten- und Sicherheitsentscheidungen,
• nachvollziehbare Freigaben,
• kontrollierte Skalierung,
• Lernen aus Fehlern,
• Anschluss an rechtliche und normative Anforderungen.

Sie bremst sinnvollen Einsatz nicht. Sie verhindert, dass Geschwindigkeit ohne Richtung entsteht.

Fachlicher Anschluss

KI-Governance als laufende Führungsaufgabe verankern

KI-Governance und Orchestrierung verbinden Nutzungsinventar, Rollen, Regeln, Datenzugriff, Prüfmodelle, Kompetenz und Eskalation. In einer SDC-Partnership können diese Elemente schrittweise in reale Prozesse überführt und regelmäßig weiterentwickelt werden.

KI-Governance und Orchestrierung systematisch einordnen

Autor

Über Göke Frerichs

Göke Frerichs verbindet seit 1999 digitale Strategie, Kommunikation, Technologie und Umsetzung. Als Digitalstratege und Smart Digital Creative unterstützt er inhabergeführte B2B-Unternehmen dabei, aus einzelnen Maßnahmen klare und belastbare digitale Systeme zu entwickeln. Seine Perspektive beruht auf langjähriger Beratungs- und Umsetzungspraxis in DACH und Nordamerika.

Mehr über Göke Frerichs