KI-Governance im Mittelstand: Rollen, Regeln, KI-Register
Governance klingt nach Konzern. Für den Mittelstand reichen drei Rollen, eine kurze Richtlinie und ein Register. Dann wissen alle, was erlaubt ist.
KI-Governance legt fest, wer KI im Unternehmen wofür einsetzen darf, unter welchen Regeln und wer verantwortlich ist. Im Mittelstand braucht das kein Gremium. Drei Rollen, eine kurze Richtlinie, ein Freigabeprozess und ein KI-Register reichen für den Start.
Warum braucht der Mittelstand KI-Governance?
Weil KI längst im Alltag angekommen ist, oft ohne dass jemand den Überblick hat. Drei Gründe sprechen für klare Regeln:
- Datenschutz: Sobald personenbezogene Daten in KI-Systeme fließen, gelten die Anforderungen der DSGVO. Mehr dazu im Beitrag zu DSGVO-konformer KI.
- KI-Verordnung: Unternehmen, die KI einsetzen, haben eigene Pflichten, etwa zur KI-Kompetenz ihrer Mitarbeitenden und zur Transparenz.
- Vertrauen: Teams nutzen KI mutiger, wenn klar ist, was erlaubt ist.
Welche Rollen braucht es?
| Rolle | Aufgabe | Typisch besetzt durch |
|---|---|---|
| KI-Verantwortliche/r | Führt das Register, koordiniert Freigaben, hält die Richtlinie aktuell | IT-Leitung, Digitalisierung |
| Use-Case-Owner | Verantwortet eine KI-Anwendung fachlich und ihre Ergebnisse | Fachbereich |
| IT und Sicherheit | Prüft Architektur, Zugriffe und Betrieb | IT, Informationssicherheit |
| Datenschutz | Prüft Rechtsgrundlage, Verträge, Folgenabschätzung | Datenschutzbeauftragte/r |
In kleinen Unternehmen übernimmt eine Person mehrere Rollen. Wichtig ist nur, dass jede Aufgabe einen Namen hat.
Was gehört in eine KI-Richtlinie?
Eine gute Richtlinie passt auf zwei Seiten:
- Welche KI-Tools erlaubt sind und für welche Zwecke.
- Welche Daten nicht in KI-Tools gehören, etwa personenbezogene oder vertrauliche Daten in öffentliche Tools.
- Dass KI-Ergebnisse vor der Verwendung geprüft werden.
- Wann KI-generierte Inhalte gekennzeichnet werden.
- Wie neue KI-Anwendungen beantragt werden.
- Wer Ansprechpartner ist.
Das KI-Register: Ihr wichtigstes Werkzeug
Das Register ist eine Liste aller KI-Anwendungen im Unternehmen. Es beantwortet die Fragen, die Prüfer, Kunden und Geschäftsführung stellen werden: Was setzen wir ein, wofür, mit welchen Daten, und wer ist verantwortlich?
| Feld | Warum |
|---|---|
| KI-System und Zweck | Was die Anwendung tut |
| Verantwortlich | Wer fachlich zuständig ist |
| Daten | Welche Daten verarbeitet werden, ob personenbezogen |
| Anbieter und Verarbeitungsort | Wer beteiligt ist, wo die Daten liegen |
| Risikoklasse nach KI-Verordnung | Welche Pflichten gelten |
| DSGVO-Prüfung | Ob Vertrag und gegebenenfalls Folgenabschätzung vorliegen |
| Status und nächste Prüfung | Im Test, im Betrieb, abgeschaltet; wann wieder prüfen |
Wie läuft die Freigabe neuer KI-Anwendungen?
- Antrag: Der Fachbereich beschreibt Zweck, Daten und Nutzen in wenigen Sätzen.
- Einstufung: Die KI-Verantwortliche ordnet Risikoklasse und Datenschutzbedarf ein.
- Prüfung: IT und Datenschutz prüfen, je nach Einstufung kurz oder ausführlich.
- Eintrag: Die Anwendung kommt ins Register, mit Verantwortlichem und Prüftermin.
Für Anwendungen mit geringem Risiko dauert das Tage, nicht Monate. Für Agenten, die selbst handeln, gehört eine Freigabelogik in die Prüfung.
Was verlangt die KI-Verordnung zur KI-Kompetenz?
Seit Februar 2025 müssen Anbieter und Betreiber von KI-Systemen sich um die KI-Kompetenz ihrer Mitarbeitenden kümmern (Art. 4). Mit dem AI-Omnibus wurde die Pflicht abgeschwächt: Unternehmen müssen die Entwicklung von KI-Kompetenz unterstützen, ein bestimmtes Niveau oder ein Zertifikat ist nicht vorgeschrieben. Eine kurze Schulung zur Richtlinie und zu den genutzten Tools ist ein guter Nachweis. Mehr im Beitrag zur KI-Verordnung.
Governance im Betrieb: Was ist LLMOps?
Governance endet nicht mit der Freigabe. Im Betrieb ändern sich Modelle, Daten und Nutzung. LLMOps beschreibt die Praxis, KI-Anwendungen laufend zu überwachen: Antwortqualität, Kosten, Fehler und Nutzerfeedback. Wie Sie Qualität messbar machen, lesen Sie im Beitrag zur LLM Evaluation.
Häufige Fragen
Wer ist im Unternehmen für KI verantwortlich?
Die Geschäftsführung trägt die Gesamtverantwortung. Praktisch hilft eine benannte KI-Verantwortliche, die Register und Freigaben koordiniert, plus ein fachlicher Owner pro Anwendung.
Brauchen wir einen KI-Beauftragten?
Gesetzlich ist das nicht vorgeschrieben. Eine benannte Person, die den Überblick hält, ist trotzdem der einfachste Weg, Pflichten aus DSGVO und KI-Verordnung im Griff zu behalten.
Wie oft sollten KI-Anwendungen geprüft werden?
Mindestens jährlich und bei jeder wesentlichen Änderung, etwa neuem Modell, neuen Datenquellen oder neuem Zweck.
