Fast jedes Unternehmen nutzt inzwischen KI. Die Marketingabteilung schreibt Texte mit ChatGPT, der Vertrieb lässt Angebote vorformulieren, die Buchhaltung testet ein Tool zur Rechnungserkennung, und irgendjemand hat einen Chatbot auf die Website gesetzt.
Und fast kein Unternehmen hat Regeln dafür.
Genau das ist die Lücke, die AI Governance schließt. Der Begriff klingt nach Konzernabteilung und Beratungsfolien. Dahinter steckt aber etwas sehr Bodenständiges: die Frage, ob Sie wissen, was in Ihrem Unternehmen mit KI passiert, und ob Sie es im Griff haben.
Die einfachste Definition
AI Governance ist das Regelwerk dafür, wie ein Unternehmen KI einsetzt. So, wie es für Geld eine Buchhaltung gibt und für Kundendaten den Datenschutz, gibt es für KI die Governance.
Sie beantwortet vier Fragen:
- Welche KI nutzen wir überhaupt?
- Wer darf was damit tun?
- Welche Regeln gelten?
- Wie weisen wir das nach?
Mehr ist es im Kern nicht. Alles Weitere, von Risikoklassen bis zu Audit-Prozessen, sind Ausprägungen dieser vier Fragen.
Frage 1: Welche KI nutzen wir überhaupt?
Die ehrliche Antwort in den meisten Unternehmen lautet: Wir wissen es nicht genau.
Es gibt die offiziell eingeführten Systeme. Es gibt die Tools, die einzelne Abteilungen selbst abonniert haben. Es gibt KI-Funktionen, die still in bestehender Software aufgetaucht sind, weil der Hersteller sie per Update eingebaut hat. Und es gibt die private ChatGPT-Nutzung auf dem Firmenrechner.
Der erste Schritt jeder Governance ist deshalb ein Inventar. Eine schlichte Liste: Welches System, welcher Zweck, welche Daten fließen hinein, wer nutzt es, wer hat es eingeführt. Das ist unspektakulär, und es ist bei fast jedem Unternehmen, mit dem wir sprechen, der Moment der größten Überraschung.
Frage 2: Wer darf was damit tun?
KI ohne Zuständigkeit ist KI ohne Verantwortung. Jemand muss entscheiden, ob ein neues Tool eingeführt wird. Jemand muss prüfen, ob es zu den Regeln passt. Und jemand trägt die Verantwortung, wenn das System einen Fehler macht, der Konsequenzen hat.
In kleinen und mittleren Unternehmen ist das meist keine neue Stelle, sondern ein Hut, den jemand zusätzlich aufsetzt. Oft der Datenschutzbeauftragte, manchmal der IT-Leiter, in inhabergeführten Firmen häufig der Geschäftsführer selbst. Entscheidend ist nicht, wer es ist, sondern dass es jemand ist und dass alle im Haus das wissen.
Frage 3: Welche Regeln gelten?
Hier wird es konkret. Eine KI-Richtlinie für Mitarbeiter muss keine dreißig Seiten haben. Sie muss die Fragen beantworten, die im Alltag tatsächlich auftauchen:
- Welche Daten dürfen in welche Tools? Kundendaten in einen öffentlichen Chatbot: nein. Interne Texte in ein Tool mit Vertrag und EU-Datenverarbeitung: ja.
- Welche Entscheidungen darf KI vorbereiten, welche darf sie treffen? Ein Angebot vorformulieren: ja. Eine Bewerbung ablehnen: nur mit menschlicher Prüfung.
- Wie kennzeichnen wir KI-generierte Inhalte gegenüber Kunden? Seit August 2026 verlangt der EU AI Act das in bestimmten Fällen ausdrücklich.
- Wer wird geschult, und worin?
Der letzte Punkt ist übrigens keine Kür. Der AI Act verpflichtet Unternehmen bereits seit Februar 2025 dazu, dass Mitarbeiter, die mit KI arbeiten, ausreichend Kompetenz dafür haben.
Frage 4: Wie weisen wir das nach?
Regeln, die nur im Kopf existieren, sind im Ernstfall keine Regeln. Governance heißt, dass Sie zeigen können, was Sie tun: die Richtlinie ist dokumentiert, das Inventar wird gepflegt, Schulungen sind belegt, für riskantere Systeme gibt es eine Bewertung.
Das ist der Teil, den viele als Bürokratie empfinden. Es ist aber auch der Teil, der Sie schützt. Gegenüber Kunden, die nachfragen. Gegenüber Versicherungen. Und gegenüber Behörden, falls einmal etwas schiefgeht.
Warum das gerade jetzt auf den Tisch gehört
Drei Gründe, in aufsteigender Wichtigkeit.
Der rechtliche Rahmen ist da. Der EU AI Act gilt seit August 2026 in weiten Teilen. Verbotene Praktiken und Schulungspflichten gelten schon länger, die Kennzeichnungspflichten seit diesem Sommer. Die strengen Regeln für Hochrisiko-Systeme wurden im Juli 2026 auf Ende 2027 verschoben. Das ist eine Gnadenfrist, kein Freibrief.
Kunden fragen danach. Wer als Zulieferer, Dienstleister oder Softwareanbieter für größere Unternehmen arbeitet, bekommt inzwischen Fragebögen zum KI-Einsatz. Wer dann nichts vorweisen kann, hat ein Problem, das nichts mit Bußgeldern zu tun hat.
Sie haften. Wenn ein KI-System in Ihrem Unternehmen einen Schaden verursacht, weil niemand geprüft hat, welche Daten hineinfließen oder ob die Ergebnisse stimmen, ist das kein Technikproblem. Es ist ein Organisationsversagen, und dafür steht die Geschäftsführung gerade.
Was AI Governance nicht ist
AI Governance ist keine Verhinderungsabteilung. Richtig gemacht, ist sie das Gegenteil: Sie schafft die Klarheit, die Mitarbeiter brauchen, um KI überhaupt zu nutzen. Wer nicht weiß, was erlaubt ist, macht entweder gar nichts oder heimlich alles. Beides ist schlecht.
Und sie ist auch kein Konzernthema. Ein Unternehmen mit dreißig Mitarbeitern braucht ein zweiseitiges Dokument, eine Liste und einen Verantwortlichen. Das ist an einem Nachmittag aufgesetzt, wenn man weiß, worauf es ankommt.
Ein Aspekt, der oft fehlt
Die meisten Beschreibungen von AI Governance drehen sich um Compliance. Ein Punkt kommt dabei fast immer zu kurz: die Kontrolle über die Verfügbarkeit.
Es nützt wenig, ein System sauber zu dokumentieren, wenn der Anbieter es jederzeit verändern oder abschalten kann. Warum das zur Governance gehört und wie man KI-Prozesse baut, die einen Anbieterwechsel überstehen, habe ich in einem eigenen Artikel beschrieben: Wenn der KI-Anbieter den Stecker zieht.
Sie wollen wissen, wo Ihr Unternehmen steht? Wir gehen in einem Gespräch die vier Fragen mit Ihnen durch und sagen Ihnen, was fehlt und was Sie sich sparen können.