KI-Governance einführen: vom Tool-Chaos zum klaren Freigabeprozess

Mit der Bestandsaufnahme beginnen, nicht mit der Richtlinie

Bevor neue Regeln formuliert werden, braucht die Organisation ein belastbares Bild der Ist-Situation. Dazu gehören bereits eingesetzte KI-Tools, geplante Anwendungsfälle, Piloten und die informellen Wege, über die heute Entscheidungen entstehen. Auch externe Entwicklungspartner und in Standardsoftware eingebettete KI-Funktionen gehören in diese Bestandsaufnahme.

Ziel ist keine perfekte Inventurliste, sondern eine priorisierte Arbeitsgrundlage. Ein Anwendungsfall mit hoher Reichweite oder sensiblen Daten braucht früher Aufmerksamkeit als ein isoliertes Experiment. Die Bestandsaufnahme zeigt außerdem, welche bestehenden Produkt-, IT-, Rechts- und Datenschutzprozesse bereits genutzt werden können.

• Welche KI-Systeme und Funktionen werden bereits genutzt?
• Wer ist fachlich und technisch für sie verantwortlich?
• Welche Daten, Nutzergruppen und Drittparteien sind beteiligt?
• Wo und wie wurde über Einführung oder Betrieb entschieden?

Ein Intake macht aus Ideen vergleichbare Anwendungsfälle

Der Intake ist der gemeinsame Eingang für neue KI-Vorhaben. Er soll nur die Informationen verlangen, die für eine erste Entscheidung wirklich notwendig sind. Ein zu langes Formular führt dazu, dass Teams den Prozess umgehen; ein zu kurzes Formular verschiebt alle Klärungen in endlose Meetings.

Bewährt hat sich eine Struktur, die Geschäftsziel, betroffene Nutzer, Daten, eingesetzte Anbieter und Verantwortung zusammenbringt. Die Angaben müssen nicht endgültig sein. Sie müssen aber ausreichen, um den nächsten sinnvollen Prüfschritt zu bestimmen.

• Problem und erwarteter Nutzen: Welche Arbeit oder Entscheidung soll verbessert werden?
• Kontext: Wer nutzt das System und wer ist von seinen Ergebnissen betroffen?
• Daten und Integrationen: Welche Eingaben, Quellen und angrenzenden Systeme sind vorgesehen?
• Anbieter und Modell: Welche Drittparteien oder technischen Abhängigkeiten gibt es?
• Verantwortung: Wer besitzt den Anwendungsfall und wer darf ihn freigeben?

Gates müssen Entscheidungen ermöglichen, nicht nur Dokumente erzeugen

Ein Gate ist ein expliziter Entscheidungspunkt. Typische Stufen sind Idee, Pilot, kontrollierte Nutzung und Betrieb. Nicht jedes Vorhaben braucht dieselbe Prüfung. Risikobasierte Governance passt Tiefe und Beteiligte an den konkreten Anwendungsfall an.

Jede Stufe braucht klare Eintrittskriterien und mögliche Ergebnisse: freigeben, mit Auflagen freigeben, zurückstellen oder stoppen. Gerade ein begründetes Stopp ist ein produktives Ergebnis. Es verhindert, dass Teams aus bereits investiertem Aufwand heraus ein ungeeignetes Vorhaben weiterverfolgen.

• Idee: Ist das Problem relevant und ist KI dafür überhaupt geeignet?
• Pilot: Sind Testumfang, Daten, Verantwortliche und Abbruchkriterien festgelegt?
• Betrieb: Sind Nutzungsregeln, Monitoring, Support und Eskalationswege vorhanden?
• Weiterbetrieb: Werden Änderungen an Modell, Daten, Anbieter oder Kontext erneut bewertet?

Verantwortung und Dokumentation gehören zusammen

Ein RACI-Diagramm allein entscheidet nichts. Entscheidend ist, dass für jedes Gate eine benannte Rolle die Entscheidung treffen darf und dass die beteiligten Funktionen ihren Beitrag rechtzeitig liefern. Produkt, IT, Recht und Datenschutz sollten dabei nicht nacheinander in isolierten Schleifen arbeiten, sondern anhand desselben Anwendungsfalls.

Ein kurzes Entscheidungsprotokoll macht das Ergebnis nachvollziehbar: Was wurde entschieden, auf welcher Grundlage, unter welchen Auflagen und wann muss erneut geprüft werden? Diese Dokumentation gehört in die Wissens- und Arbeitsstruktur des Teams, nicht in einen separaten Governance-Ordner.

Ein schlanker Start für die ersten 30 Tage

Beginnen Sie mit einer kleinen Anzahl realer Anwendungsfälle und testen Sie Intake und Gates daran. Ein bestehender Pilot, ein geplanter Neukauf und ein bereits betriebenes Tool liefern unterschiedliche Perspektiven. Danach werden Felder, Rollen und Entscheidungskriterien angepasst, bevor der Prozess breiter ausgerollt wird.

Ein regelmäßiges KI-Forum kann die neue Arbeitsweise unterstützen, wenn dort tatsächlich Entscheidungen vorbereitet oder getroffen werden. Ohne diesen Auftrag wird daraus schnell nur ein weiterer Informationsaustausch. Der EU AI Act liefert den rechtlichen Rahmen; das Operating Model sorgt dafür, dass Verantwortung im Alltag funktioniert.