KI-Governance. Klare Strukturen für verantwortungsvolle KI.

KI-Governance bezeichnet die Strukturen, Rollen, Prozesse und Werkzeuge, mit denen eine Organisation den verantwortungsvollen Einsatz von KI-Systemen steuert. Während KI-Compliance den rechtlichen Mindeststandard erfüllt, geht Governance darüber hinaus: strategische Ausrichtung, Wertekohärenz, Risikoappetit, Investitionsentscheidungen, ethische Leitlinien. Governance ist die Voraussetzung für Compliance — ohne klare Rollen und Entscheidungswege lassen sich AI-Act-Pflichten nicht zuverlässig erfüllen.

Jede Organisation, die KI-Systeme entwickelt, betreibt oder strategisch einsetzt. Konkret notwendig bei: (1) Anbietern von Hochrisiko-KI (Art. 17 KI-Verordnung verlangt Qualitätsmanagementsystem), (2) Unternehmen mit ISO-42001-Zertifizierungsziel, (3) börsennotierten Unternehmen mit ESG-Reporting-Pflichten, (4) Finanzinstituten unter DORA, (5) öffentlichen Stellen mit Grundrechte-Folgenabschätzungspflicht. Praktisch sinnvoll für alle Unternehmen ab ca. 20 Mitarbeitenden, die produktiv KI einsetzen — der Aufbau ist günstiger als der erste Vorfall ohne Governance.

Empfohlene Besetzung (4-7 Personen): (1) Sponsor auf C-Level — typischerweise CIO, CTO oder COO, (2) Compliance/Datenschutz — DSB plus AI-Compliance-Lead, (3) Legal — interne oder externe Rechtsexpertise, (4) Data-/AI-Team — technische Vertretung, (5) Business-Unit-Vertretung — größter KI-Nutzer aus dem Fachbereich, (6) optional: Ethik-Vertretung oder Betriebsrat. Das Board tagt typischerweise quartalsweise, mit eskalationsbasierten Ad-hoc-Sitzungen für klassifizierungskritische Entscheidungen.

Eine wirksame KI-Richtlinie (Policy) umfasst: (1) Geltungsbereich — welche Systeme, welche Personen, welche Rollen. (2) Risikoappetit — welche Anwendungsfälle sind freigegeben, welche eskalationspflichtig, welche verboten. (3) Genehmigungsprozess — wer entscheidet bei welcher Risikoklasse. (4) Datenschutz und Sicherheit — Verarbeitung personenbezogener Daten, Modelltraining-Restriktionen, Datenklassifizierung. (5) Mensch im Loop — wo Aufsicht zwingend ist. (6) Transparenz — Kennzeichnungs- und Offenlegungspflichten. (7) Schulungspflicht — KI-Kompetenz nach Art. 4. (8) Incident-Reporting. (9) Drittanbieter — Vendor-Approval-Prozess für Foundation Models. (10) Lebenszyklus — Reviews, Decommissioning, Aufzeichnungspflichten.

ISO 42001 ist die direkteste Operationalisierung von KI-Governance. Die Norm verlangt explizit: (1) eine KI-Politik (Clause 5.2) — die Spitze des Policy-Stacks. (2) Rollen und Verantwortlichkeiten (Clause 5.3) — RACI-Matrix erforderlich. (3) Risikomanagementsystem (Clause 6) — operative Governance. (4) Annex A.3 Internal Organization — formale Governance-Strukturen. (5) Annex A.5 Impact Assessment — Governance-Entscheidung pro Anwendungsfall. Eine ISO-42001-Zertifizierung ist faktisch der Nachweis funktionierender KI-Governance.

Fünfstufiges Reifegrad-Modell: (1) Ad hoc — KI wird genutzt, aber unkontrolliert. Keine Übersicht, keine Richtlinie, kein Inventar. (2) Bewusst — KI-Politik existiert auf dem Papier, Inventar in Anfängen, keine konsistente Klassifizierung. (3) Definiert — Governance-Board etabliert, Klassifizierungsprozess läuft, KI-Kompetenz-Schulung gestartet, Risikomanagement etabliert. (4) Gemanagt — Post-Market-Monitoring operativ, Reviews quartalsweise, Audit-Bereitschaft für ISO 42001. (5) Optimiert — kontinuierliche Verbesserung, ISO 42001 zertifiziert, AI-Act-Konformitätsbewertung erfolgreich, vorausschauend bei neuen Regulierungen. Der typische Übergang dauert 12-24 Monate pro Stufe, mit Matproof typischerweise 6-12 Monate.

Daten-Governance regelt den Lebenszyklus von Daten (Erhebung, Qualität, Eigentum, Klassifizierung, Aufbewahrung). KI-Governance regelt den Lebenszyklus von KI-Systemen — die Daten sind nur eine Komponente. KI-Governance umfasst zusätzlich: Modellauswahl, Trainings-/Inferenzprozesse, Modellbewertung, Bias-Detektion, Erklärbarkeit, Modell-Lebenszyklus, KI-spezifische Risiken (Halluzination, Modellabhängigkeit, adversariale Angriffe). Praktisch: Daten-Governance ist eine Voraussetzung für KI-Governance, aber kein Ersatz. Reife Organisationen integrieren beide unter einem Chief Data + AI Officer.