Künstliche Intelligenz hält in vielen Unternehmen nicht über ein zentrales Projekt Einzug, sondern schrittweise: Mitarbeitende testen Chat-Assistenten, Fachabteilungen buchen Software mit KI-Funktionen, und vertraute Büroprogramme erhalten neue Assistenzfunktionen. Ohne klare Regeln entsteht so eine Schatten-KI, bei der niemand genau weiß, welche Daten wohin fließen und wer für die Ergebnisse verantwortlich ist.

KI-Governance schafft hier Ordnung. Sie legt fest, welche KI-Anwendungen erlaubt sind, wer sie freigibt, welche Daten verarbeitet werden dürfen und wie Risiken bewertet werden. Damit ergänzt sie bestehende Strukturen für Datenschutz und Informationssicherheit um die Besonderheiten von KI.

Wie KI-Governance aufgebaut ist

Ein tragfähiger Rahmen besteht meist aus wenigen, klar zugeordneten Bausteinen:

Richtlinie: eine verständliche KI-Nutzungsrichtlinie mit freigegebenen Werkzeugen, erlaubten Datenarten und klaren Verboten.
Verzeichnis: eine Übersicht aller eingesetzten KI-Systeme und Anwendungsfälle samt verantwortlicher Person.
Risikobewertung: eine Einschätzung je Anwendungsfall, etwa zu Datenschutz, möglichen Fehlerfolgen und der Einstufung nach dem EU AI Act.
Freigabeprozess: ein definierter Weg, auf dem neue Werkzeuge geprüft und zugelassen werden.
Schulung und Kontrolle: Maßnahmen zur KI-Kompetenz und regelmäßige Überprüfung, ob die Regeln greifen.

Orientierung bieten Rahmenwerke wie die internationale Norm ISO/IEC 42001 für KI-Managementsysteme. Kleinere Unternehmen kommen oft mit einer schlanken Variante aus, die an vorhandene Abläufe für Datenschutz und IT-Sicherheit anschließt.

Typische Beispiele

Ein Unternehmen gibt einen KI-Assistenten innerhalb seiner Microsoft-365-Umgebung frei und untersagt gleichzeitig, Kundendaten in frei verfügbare Online-Dienste zu kopieren.
Vor der Einführung eines Werkzeugs zur Vorauswahl von Bewerbungen prüfen Personalabteilung, Datenschutz und IT gemeinsam, ob ein Hochrisiko-System vorliegt.
Für KI-generierte Kundenantworten wird festgelegt, dass ein Mensch sie vor dem Versand prüft, im Sinne von Human in the Loop.

Worauf Unternehmen achten sollten

Verantwortlichkeiten benennen: Wer entscheidet über neue KI-Werkzeuge, wer pflegt das Verzeichnis?
Regeln praxistauglich formulieren, damit Mitarbeitende sie im Alltag tatsächlich anwenden können.
Verträge von KI-Diensten prüfen, insbesondere den Speicherort der Daten und ob Eingaben für das Training genutzt werden.
Die Governance regelmäßig an neue Funktionen, Werkzeuge und Rechtsänderungen anpassen.

Bezug zu TOMORIS

TOMORIS befasst sich im Bereich NEXT mit KI, Software und Automatisierung. Informationen zur Begleitung von KI-Vorhaben finden sich unter KI-Beratung.

Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.

KI-Beratung ansehen