KI-Governance nimmt Gestalt an: Was das für Ihre Transformation bedeutet

Innerhalb weniger Jahre hat sich künstliche Intelligenz von einem kaum regulierten Innovationsfeld zu einem regulierten Bereich entwickelt. Sinnbild dafür ist der europäische AI Act, der weltweit erste horizontale Rechtsrahmen: Er stuft Systeme nach Risikostufen ein, verbietet bestimmte Anwendungen und schreibt abgestufte Pflichten vor, von Transparenzanforderungen für Allzweckmodelle bis zu strengen Auflagen für Hochrisikosysteme, mit einem Anwendungszeitplan, der sich über mehrere Jahre erstreckt.

Für Organisationen, die KI einsetzen, auch als reine Nutzerinnen marktüblicher Tools, hat das konkrete Folgen: Die KI-Governance wird zu einem eigenständigen Instrument mit eigenen Rollen, Kontrollen, Dokumentationspflichten und Nachweisen. Ein Instrument, das wie jedes andere ausgereift oder rudimentär sein kann.

Das Thema allein auf Brüssel zu reduzieren, wäre zu kurz gedacht. Sektorale Regulierungsbehörden formulieren eigene Erwartungen: Finanzaufsichten prüfen algorithmische Entscheidungsmodelle, Gesundheitsbehörden befassen sich mit Medizinprodukten, Datenschutzbehörden mit algorithmischen Verarbeitungen. Andere Rechtsordnungen entwickeln eigene Rahmenwerke, was das Leben für exportorientierte Unternehmen zusätzlich erschwert.

Der schnellste Druck kommt dabei gar nicht aus der Regulierung, sondern aus dem Geschäft: Große Auftraggeber nehmen KI-Klauseln in ihre Verträge auf, Versicherer stellen erste Fragen, öffentliche Ausschreibungen verlangen Garantien. Der Lieferantenfragebogen, der gestern noch nach der Sicherheitspolitik fragte, fragt heute nach der KI-Governance.

Ein Instrument, das diesen Namen verdient, deckt konkret einige feste Bausteine ab: eine Bestandsaufnahme aller KI-Systeme und Anwendungsfälle, einschließlich jener, die über die Hintertür der SaaS-Tools ins Unternehmen gelangen; eine Risikoeinstufung je Anwendungsfall; klar benannte Rollen und Verantwortlichkeiten; verhältnismäßige Kontrollen, von der menschlichen Überprüfung bis zur Überwachung von Fehlentwicklungen; und eine Dokumentation, mit der sich all das gegenüber Prüfern, Kunden oder Behörden belegen lässt.

Nichts davon ist exotisch: Es sind die klassischen Compliance-Bausteine, angewandt auf einen neuen, sich ständig wandelnden Gegenstand. Die Schwierigkeit liegt nicht im Konzept, sondern in der Umsetzung: zu wissen, wo man je Einheit steht, und den Kurs über die Zeit zu halten.

Alle ernsthaften Vorhaben beginnen an derselben Stelle: mit der Bestandsaufnahme der Systeme und Anwendungsfälle. Und das ist fast immer ein Schock: Zwischen KI-Modulen, die in SaaS-Tools eingebaut sind, inoffiziellen Nutzungen generativer Assistenten durch die Teams und vergessenen Pilotprojekten reicht der tatsächliche Umfang weit über das hinaus, was der Führungsebene bekannt ist.

Einen fiktiven Geltungsbereich zu steuern, schützt vor nichts. Eine ehrliche Bestandsaufnahme hingegen ermöglicht eine Sortierung: Welche Anwendungen sind unbedenklich, welche betreffen Entscheidungen über Personen, welche fallen unter die Hochrisikokategorie. Genau diese Sortierung bestimmt den Aufwand, und sie verändert das Budget grundlegend.

Die Erfahrung mit früheren Regulierungen, vom Datenschutz bis zur Cybersicherheit, lehrt eines: Erfolgreich sind jene Organisationen, die die Anforderung frühzeitig in ein messbares Instrument überführen, statt bis zur Frist zu warten und dann zu improvisieren. Wer den Start der DSGVO miterlebt hat, weiß genau, wovon hier die Rede ist.

Das Vorgehen umfasst vier Schritte: die eigenen KI-Anwendungsfälle kartieren, den Reifegrad der Governance anhand eines strukturierten Referenzrahmens bewerten, die Lücken gegenüber den tatsächlich relevanten Pflichten identifizieren und einen terminierten Maßnahmenplan umsetzen, der bei jedem Zyklus neu bewertet wird. Unser Katalog umfasst 19 Referenzrahmen für Daten und KI, um genau dies zu unterstützen, vom allgemeinen Governance-Rahmen bis zu spezifischen regulatorischen Anforderungen.