KI-Governance: KI-Governance umfasst die Strukturen, Richtlinien und Prozesse, mit denen ein Unternehmen den Einsatz künstlicher Intelligenz steuert und verantwortet: Zuständigkeiten, Freigaben, Risikobewertung, Überwachung. Sie verbindet rechtliche Pflichten wie die KI-Verordnung mit ethischen und unternehmerischen Anforderungen.
KI-Governance beantwortet die Frage, wer im Unternehmen unter welchen Regeln über KI entscheidet — bevor Einzelfälle, Vorfälle oder Behördenanfragen die Antwort erzwingen. Die typischen Bausteine:
- KI-Richtlinie: verbindliche Regeln für Auswahl, Nutzung und Verbote (etwa: keine Kundendaten in frei zugängliche Tools)
- Rollen: eine verantwortliche Person oder ein kleines Gremium für Freigaben und Grundsatzfragen
- KI-Inventar: Verzeichnis aller Systeme mit Risikoeinstufung
- Risikobewertung und Folgenabschätzung: pro System vor der Freigabe, wiederholt bei Änderungen
- Kompetenzmanagement: Schulungen nach Rollen, inklusive Nachweisführung (Art. 4 KI-VO)
- Monitoring und Vorfallmanagement: Leistung, Fehlverhalten und Beschwerden beobachten, Eskalationswege definieren
- Lieferantensteuerung: Anforderungen an KI-Anbieter vertraglich sichern
Als Rahmenwerke haben sich ISO/IEC 42001 (zertifizierbares Managementsystem) und das NIST AI Risk Management Framework (Leitfaden ohne Zertifizierung) etabliert. Die KI-Verordnung schreibt Governance nicht als Ganzes vor, setzt sie aber faktisch voraus: Ohne geregelte Zuständigkeiten lassen sich Betreiberpflichten kaum zuverlässig erfüllen.
KI-Governance ist kein Konzernthema. Für ein KMU kann sie auf wenigen Seiten stehen: eine Richtlinie, eine verantwortliche Person, ein Inventar, ein Freigabeweg, ein jährlicher Review. Entscheidend ist nicht der Umfang der Dokumente, sondern dass die Regeln gelebt und Entscheidungen nachvollziehbar werden.
Relevanz für die Zertifizierung
Wer KI-Governance aufbaut, hat den Kern eines KI-Managementsystems nach ISO/IEC 42001 bereits in der Hand — die Norm gießt genau diese Bausteine in eine auditierbare Struktur mit Politik, Risikoprozess und Maßnahmenkatalog. Eine Zertifizierung, etwa durch KCERT im nicht akkreditierten Bereich, macht die Governance gegenüber Kunden und Partnern sichtbar. Sie ersetzt keine Rechtspflichten aus der KI-Verordnung, belegt aber, dass ein System dahintersteht, das sie systematisch abarbeitet.
Häufige Fragen zu KI-Governance
Ja, aber in angemessener Größe. Sobald Beschäftigte KI-Werkzeuge beruflich nutzen, gelten Betreiberpflichten aus der KI-Verordnung — KI-Kompetenz seit Februar 2025, Transparenzpflichten seit August 2026. Ein KMU erfüllt das mit schlanken Mitteln: eine zweiseitige KI-Richtlinie, ein Inventar als Tabelle, eine verantwortliche Person, dokumentierte Schulungen. Das kostet wenige Tage Aufwand und verhindert die teuren Fälle: Datenabfluss, Fehlentscheidungen, ungeprüfte Schatten-KI.
KI-Governance ist das Konzept — Regeln, Rollen und Prozesse für den KI-Einsatz, in beliebiger Form. Ein AIMS nach ISO/IEC 42001 ist die genormte, zertifizierbare Ausprägung davon: Es bringt die Governance in die Harmonized Structure mit Kapiteln 4 bis 10, verlangt Risikobewertung, Folgenabschätzung und interne Audits und lässt sich extern prüfen. Kurz: Jedes AIMS ist KI-Governance, aber nicht jede KI-Governance ist ein AIMS.
Eine benannte Person mit Nähe zu Prozessen und Recht — häufig die QM-, IT- oder Datenschutzverantwortliche, in größeren Betrieben ein kleines Gremium aus IT, Fachbereich und Geschäftsführung. Wichtig ist die klare Benennung samt Vertretung und die Rückendeckung der Leitung, denn Freigaben und Verbote brauchen Durchsetzungskraft. Die Gesamtverantwortung bleibt rechtlich bei der Geschäftsführung; delegieren lässt sich die Umsetzung, nicht die Haftung.