KI-Governance. Aufbauen, bevor der erste Vorfall passiert.

KI-Governance bezeichnet Strukturen, Rollen, Prozesse und Werkzeuge, mit denen eine Organisation den verantwortungsvollen KI-Einsatz steuert. Während KI-Compliance den rechtlichen Mindeststandard erfüllt, geht Governance darüber hinaus: strategische Ausrichtung, Wertekohärenz, Risikoappetit, Investitionsentscheidungen, ethische Leitlinien. Governance ist die Voraussetzung für Compliance — ohne klare Rollen und Entscheidungswege lassen sich AI-Act-Pflichten nicht zuverlässig erfüllen.

Jede Organisation, die KI-Systeme entwickelt, betreibt oder strategisch einsetzt. Konkret notwendig bei: (1) Anbietern von Hochrisiko-KI (Art. 17 KI-Verordnung verlangt QMS), (2) Unternehmen mit ISO-42001-Zertifizierungsziel, (3) börsennotierten Unternehmen mit ESG-Reporting, (4) Finanzinstituten unter DORA, (5) öffentlichen Stellen mit Grundrechte-Folgenabschätzungspflicht. Praktisch sinnvoll für Organisationen ab ca. 20 Mitarbeitenden, die produktiv KI nutzen — der Aufbau ist günstiger als der erste Vorfall ohne Governance.

Empfohlene Besetzung (4-7 Personen): (1) C-Level-Sponsor — typischerweise CIO, CTO oder COO, treibt Mandat und Budget. (2) Compliance/DSB — bringt regulatorische Sicht. (3) Legal — Verträge, Haftung, IP. (4) Data-/AI-Team — technische Vertretung. (5) Business-Unit — größter Use-Case-Owner. (6) Optional: Ethik-Vertretung oder Betriebsrat (gesetzlich bei HR/Recruiting-KI in DE). Board tagt quartalsweise, Ad-hoc bei klassifizierungskritischen Entscheidungen.

Daten-Governance regelt den Datenlebenszyklus (Erhebung, Qualität, Eigentum, Klassifizierung, Aufbewahrung). KI-Governance regelt den Lebenszyklus von KI-Systemen — Daten sind nur eine Komponente. KI-Governance umfasst zusätzlich: Modellauswahl, Trainings-/Inferenzprozesse, Modellbewertung, Bias-Detektion, Erklärbarkeit, Modell-Lebenszyklus, KI-spezifische Risiken (Halluzination, Modellabhängigkeit, adversariale Angriffe). Daten-Governance ist Voraussetzung, kein Ersatz. Reife Organisationen integrieren beide unter einem Chief Data + AI Officer.

Beide Frameworks operationalisieren KI-Governance mit unterschiedlichem Schwerpunkt. ISO 42001 liefert das strukturelle Rückgrat — Kapitel 5 (Führung), Kapitel 6 (Planung) und Annex A.3 (Interne Organisation) verlangen direkt KI-Governance-Artefakte. NIST AI RMF liefert die operative Risikomethodik — die Govern-Funktion als querschneidende Säule, gestützt durch Map, Measure, Manage. Die meisten reifen Organisationen nutzen ISO 42001 als Management-System-Schale und NIST AI RMF als operative Risikomethodik. Matproof mappt beide in einen Workspace.

Fünf-Stufen-Modell: (1) Ad hoc — KI unkontrolliert, kein Inventar, keine Politik. (2) Bewusst — Politik auf Papier, Inventar in Anfängen, keine konsistente Klassifizierung. (3) Definiert — Governance-Board etabliert, Klassifizierung läuft, KI-Kompetenz-Schulung gestartet, Risikomanagement in Place. (4) Gemanagt — Post-Market-Monitoring operativ, Quartals-Reviews, ISO-42001-Audit-bereit. (5) Optimiert — kontinuierliche Verbesserung, ISO 42001 zertifiziert, AI-Act-Konformitätsbewertung bestanden, proaktiv bei neuen Regelungen. Manuell 12-24 Monate pro Stufe, mit Plattform 6-12 Monate.

Realistisches Budget für mittelständische Organisation (50-500 MA) im ersten Jahr: 80.000-250.000 €. Aufschlüsselung: KI-Governance-Lead 0,5 FTE (40-80 Tsd. €), Compliance/Legal-Beteiligung 0,2 FTE (20-40 Tsd. €), externe Beratung (15-50 Tsd. €), Technologie-Plattform (5-30 Tsd. €), Schulung und Change Management (5-20 Tsd. €), Audit-Vorbereitung (5-15 Tsd. €). Folgejahre typischerweise 30-50 % des ersten Jahres. Kosten OHNE Governance: durchschnittliche AI-Act-Strafen starten im niedrigen sechsstelligen Bereich; Reputations- und Rechtsrisiko unbegrenzt.