KI-Governance

KI-Governance sind die Regeln, mit denen ein Unternehmen den eigenen KI-Einsatz steuert: wer welche Werkzeuge für welchen Zweck nutzen darf, welche Daten dabei nach außen gehen, wer eine automatische Entscheidung überstimmen kann und wer im Fehlerfall verantwortlich ist.

Was gehört in eine KI-Governance?

In der Praxis reichen fünf Festlegungen weiter als ein Regelwerk, das niemand liest.

Ein Verzeichnis: Welche KI-Werkzeuge sind im Einsatz, in welcher Abteilung, mit welchem Zweck. Ohne diese Liste lässt sich keine der folgenden Fragen beantworten, und in den meisten Unternehmen ist sie deutlich länger als die Geschäftsführung vermutet.

Datenklassen: Welche Kategorien von Daten dürfen in welches System. Personenbezogene Daten, Kundendokumente, Quellcode, Preiskalkulationen. Ein Verbot von allem wird umgangen, eine klare Abstufung nicht.

Zuständigkeit: Wo entscheidet ein Mensch, und wer ist dieser Mensch. Das ist die Anwendung von Human-in-the-Loop auf konkrete Vorgänge statt auf ein Prinzip.

Nachvollziehbarkeit: Was wird protokolliert, wie lange, und wer darf es einsehen. Ohne Protokoll ist nach einem Vorfall nicht feststellbar, was passiert ist.

Beschaffung: Welche Prüfung durchläuft ein neues Werkzeug, bevor es an echte Daten darf. Hier entscheidet sich, ob Governance funktioniert oder nur existiert.

Warum lohnt sich das?

Der offensichtliche Grund ist rechtlich. Der EU AI Act verlangt für bestimmte Anwendungen dokumentierte Aufsicht, und die DSGVO gilt für KI-Systeme wie für jede andere Verarbeitung. Laut Bitkom nennen 53 % der deutschen Unternehmen rechtliche Unsicherheit als Hemmnis beim KI-Einsatz.

Der praktische Grund ist wichtiger. Ohne Regeln entsteht KI-Einsatz trotzdem, nur unsichtbar: Beschäftigte laden Dokumente in private Konten, weil es die Arbeit erleichtert. Governance ist deshalb weniger eine Bremse als eine Alternative dazu.

Und der geschäftliche Grund: Wer die eigenen Regeln erklären kann, kann auch Kundenfragen zur Datenverarbeitung beantworten. In Ausschreibungen wird genau das inzwischen abgefragt.

Was Governance nicht sein sollte

Kein Dokument, das einmal geschrieben und dann abgelegt wird. Die Werkzeuge ändern sich schneller als jede Richtlinie, weshalb das Verzeichnis und die Beschaffungsprüfung mehr wert sind als ausformulierte Grundsätze.

Und kein Vorhaben, das vor dem ersten Projekt abgeschlossen sein muss. Ein KI-Pilotprojekt mit einem klar begrenzten Datenbestand ist der bessere Anlass, diese Fragen konkret zu beantworten, als ein Workshop ohne Anwendungsfall.

Eine Fassung, die in vier Wochen steht

Für den Anfang reicht ein Dokument von zwei Seiten, und es entsteht in dieser Reihenfolge.

Woche eins: das Verzeichnis. Frage in den Abteilungen nach, welche Werkzeuge tatsächlich benutzt werden, ohne Sanktion für die Antwort. Diese Frage ehrlich beantwortet zu bekommen ist der schwierigste und wertvollste Teil.

Woche zwei: die Datenklassen. Drei Stufen genügen zum Start: unkritisch, intern, vertraulich. Dazu je eine Zeile, welche Werkzeuge dafür freigegeben sind.

Woche drei: Zuständigkeit und Protokoll für die zwei oder drei Anwendungen, bei denen ein Fehler nach außen wirkt. Alles andere kann warten.

Woche vier: der Beschaffungsweg für neue Werkzeuge, auf eine halbe Seite. Wer prüft, woraufhin, und wer gibt frei.

Was dabei entsteht, ist bewusst unvollständig. Ein knappes Dokument, das gilt und gelesen wird, steuert mehr als ein umfassendes, das in Abstimmung hängt. Ergänzt wird es dann, wenn eine konkrete Anwendung eine Frage aufwirft, die es noch nicht beantwortet.