Leitfaden · AI-Governance
AI Governance aufbauen: Strukturen, Rollen und der Weg zur Steuerbarkeit
Die meisten Unternehmen, mit denen wir sprechen, haben inzwischen eine KI-Richtlinie. Deutlich weniger können die Frage beantworten, welche KI-Systeme bei ihnen tatsächlich laufen. Zwischen diesen beiden Sätzen liegt der ganze Unterschied zwischen einem Dokument und einer Fähigkeit - und genau um diese Fähigkeit geht es, wenn wir von AI Governance sprechen.
Dieser Leitfaden beschreibt, wie sich AI Governance in der Praxis aufbauen lässt: welche Strukturen es braucht, welche Rollen sie tragen und welche Rolle ISO/IEC 42001 dabei spielt. Er richtet sich an Technologie- und Fachverantwortliche, die nicht mehr grundsätzlich diskutieren wollen, ob Governance nötig ist, sondern wissen wollen, womit sie anfangen.
Was AI Governance ist - in drei Sätzen
AI Governance ist die Fähigkeit eines Unternehmens, seine KI-Systeme zu kennen, zu bewerten, freizugeben und im Betrieb zu kontrollieren. Sie verbindet organisatorische Strukturen (Rollen, Prozesse, Verantwortung) mit technischen Kontrollen (Architektur, Berechtigungen, Monitoring). Oder anders gesagt: AI Governance ist nicht das Regelwerk. Sie ist der Beweis, dass das Regelwerk im Betrieb ankommt.
Warum das Thema 2026 auf den Tisch gehört
Drei Entwicklungen treffen gerade zusammen.
Erstens die Regulierung. Die zentralen Pflichten des EU AI Act sind seit dem 2. August 2026 anwendbar. Die diskutierte Verschiebung im Rahmen des Digital Omnibus betrifft im Kern die Hochrisiko-Anforderungen - die Transparenzpflichten nach Artikel 50, etwa die Kennzeichnung von KI-Interaktionen und KI-generierten Inhalten, gelten. Wer heute erst anfängt, ein Bild der eigenen KI-Landschaft zu zeichnen, arbeitet bereits im Rückstand.
Zweitens die Landschaft selbst. KI kommt längst nicht mehr als einzelnes Werkzeug ins Haus, sondern als Schicht: Copilots in der Office-Umgebung, KI-Funktionen in Standardsoftware, API-basierte Integrationen, erste Agenten-Systeme - und daneben die Schatten-KI, also Werkzeuge, die Mitarbeitende ohne Freigabe nutzen. Jede dieser Formen erzeugt Datenflüsse, die irgendwo hinführen. Die wenigsten Unternehmen können sagen, wohin.
Drittens die Erwartung von außen. Kunden, Auditoren und Aufsichtsräte fragen nicht mehr, ob KI eingesetzt wird, sondern wie sie kontrolliert wird. Nachweisfähigkeit wird zum Geschäftsfaktor - in regulierten Branchen zuerst, in den Lieferketten aller anderen kurz danach.
Die fünf Bausteine einer tragfähigen AI Governance
Aus unseren Projekten und aus dem Aufbau unseres eigenen AI-Managementsystems hat sich ein Muster herausgebildet. Tragfähige AI Governance steht auf fünf Bausteinen - in dieser Reihenfolge.
1. Das Inventar: Wissen, was läuft
Am Anfang steht keine Policy, sondern eine Liste. Welche KI-Systeme existieren tatsächlich - eingekauft, eingebettet, selbst gebaut, geduldet? Welche Daten verarbeiten sie, welche Entscheidungen beeinflussen sie, wer verantwortet sie? Dieses Inventar ist unbequem, weil es die Schatten-KI sichtbar macht. Genau deshalb ist es der wichtigste Schritt: Man kann nichts steuern, was man nicht kennt.
2. Rollen und Verantwortung: Wer entscheidet
Governance ohne benannte Verantwortung bleibt Absichtserklärung. In der Praxis bewährt sich ein schlankes Modell: ein zentrales Gremium (häufig als AI Board bezeichnet), das Freigaben und Grundsatzfragen entscheidet; je System eine verantwortliche Person auf Fachseite (Ownership); dazu die Fachrollen für Datenschutz, Informationssicherheit und - wo vorhanden - Compliance. Entscheidend ist weniger die Organisationsform als die Eindeutigkeit: Für jedes System im Inventar muss die Frage „Wer hat das freigegeben, und wer verantwortet den Betrieb?" eine Antwort mit Namen haben.
3. Risikoklassifizierung und Freigabe: Wie Neues ins Haus kommt
Nicht jedes KI-System braucht dieselbe Prüfungstiefe. Ein internes Textwerkzeug ist etwas anderes als ein System, das Kreditentscheidungen vorbereitet. Eine einfache Risikoklassifizierung - orientiert an den Kategorien des AI Act, aber übersetzt auf die eigene Realität - sorgt dafür, dass die Prüfungstiefe zum Risiko passt. Darauf setzt ein standardisierter Freigabeprozess auf: Wer ein neues KI-Werkzeug einsetzen will, weiß, welchen Weg der Antrag nimmt und wie lange er dauert. Das ist der Punkt, an dem Governance vom Verhinderer zum Ermöglicher wird: Ein klarer Freigabeweg ist schneller als hundert Einzelfalldiskussionen - und er ist das wirksamste Mittel gegen Schatten-KI.
4. Technische Kontrollen: Wo Governance auf Architektur trifft
Hier scheitern die meisten Ansätze, denn dieser Baustein lässt sich nicht im Dokument erledigen. Zur technischen Seite gehören: Architektur- und Datenfluss-Transparenz (welches System spricht mit welchem, welche Daten verlassen welchen Raum), Rollen- und Berechtigungsmodelle (sieht die KI mehr, als der fragende Mensch sehen dürfte?), Monitoring und Protokollierung im Betrieb sowie ein Lifecycle-Verständnis - Modelle und Anbieter ändern sich, Freigaben müssen ein Verfallsdatum kennen. Gerade bei Copilot-Landschaften, RAG-Architekturen und Agenten-Systemen entscheidet sich Governance in der Architektur, nicht im Ordner.
5. Nachweisfähigkeit: Zeigen können, was man tut
Der letzte Baustein verbindet alles: Dokumentation, die den Betrieb abbildet statt ihn zu idealisieren; Kennzahlen, die das Gremium wirklich liest; und die Fähigkeit, einem Auditor, einem Kunden oder der eigenen Geschäftsführung in vertretbarer Zeit zu zeigen, dass die Kontrollen existieren und wirken. Nachweisfähigkeit ist kein Selbstzweck - sie ist die Währung, in der Vertrauen bezahlt wird.
Was ISO/IEC 42001 leistet - und was nicht
ISO/IEC 42001 ist der erste zertifizierbare Standard für AI-Managementsysteme (AIMS) und der derzeit beste strukturelle Rahmen für die Bausteine zwei, drei und fünf: Rollen, Prozesse, Risikomanagement, Dokumentation. Wer ein AIMS nach diesem Standard aufbaut, bekommt eine belastbare Ordnung - und ein Signal an Kunden und Auditoren, das international verstanden wird.
Ehrlich ist aber auch: Der Standard adressiert primär die organisatorische Seite. Die technische Operationalisierung - Agenten-Architekturen, API-Integrationen, Datenflüsse, Berechtigungen, AI Security - löst kein Zertifikat. Ein AIMS ohne Architektur-Verständnis ist ein Ordner. Eine Architektur ohne Managementsystem ist ein Blindflug. Steuerbar wird KI erst aus beidem.
Wir sagen das aus eigener Erfahrung: Wir betreiben selbst ein AI-Managementsystem nach ISO/IEC 42001 für unseren produktiven KI-Prozess, die KI-gestützte Dokumentenverarbeitung an unserem Standort Gelsenkirchen; die formale Zertifizierung ist in Vorbereitung. Der Aufbau hat uns mehr über Governance gelehrt als jedes Rahmenwerk - vor allem, wie groß der Abstand zwischen einem sauberen Dokument und einem gelebten Prozess ist.
Die drei häufigsten Fehler
Mit der Policy anfangen und beim Inventar nie ankommen. Die Richtlinie ist in vier Wochen geschrieben, das Inventar dauert - also wird es verschoben. Damit steuert man ein Bild der Landschaft, nicht die Landschaft.
Governance als Verbotsapparat bauen. Wo der Freigabeweg fehlt oder Monate dauert, entsteht Schatten-KI zwangsläufig. Die Verunsicherung der Mitarbeitenden ist dabei übrigens ein rationales Signal, kein Widerstandsproblem - sie verschwindet mit klaren Wegen, nicht mit Appellen.
Organisation und Technik getrennt vergeben. Das Gremium beschließt, die IT baut, beide reden aneinander vorbei. AI Governance ist ein Querschnittsthema aus Governance, Architektur und Security - wer es in Silos schneidet, bekommt Silos zurück.
Der erste Schritt: die Lage kennen, bevor man baut
Erst die Lage verstehen. Dann entscheiden. Für AI Governance heißt das: Der Aufbau beginnt nicht mit einem Zielbild, sondern mit einer ehrlichen Bestandsaufnahme - welche Systeme laufen, welche Strukturen tragen schon, wo sind die Lücken zwischen Anspruch und Betrieb.
Genau dafür gibt es unser AI Readiness Assessment: eine unabhängige Standortbestimmung Ihrer KI- und Governance-Lage mit klarem Befund und priorisierten nächsten Schritten - Festpreis nach Scoping. Wie ein solcher Befund aussieht, zeigt unser Musterbefund (PDF). Den Aufbau selbst begleiten wir so, dass die Fähigkeit bei Ihnen entsteht - unabhängig in der Bewertung und methodisch sowie kommerziell eigenständig. Die Steuerung Ihrer KI bleibt, wo sie hingehört: bei Ihnen.
Häufige Fragen zum Aufbau von AI Governance
Was ist AI Governance?
AI Governance ist die Fähigkeit eines Unternehmens, seine KI-Systeme zu kennen, zu bewerten, freizugeben und im Betrieb zu kontrollieren. Sie verbindet organisatorische Strukturen wie Rollen und Freigabeprozesse mit technischen Kontrollen wie Berechtigungen, Monitoring und Architektur-Transparenz.
Wie baut man AI Governance auf?
In fünf Bausteinen: erstens ein vollständiges Inventar aller KI-Systeme, zweitens klare Rollen und Verantwortung (etwa ein AI Board plus Ownership je System), drittens Risikoklassifizierung mit standardisiertem Freigabeprozess, viertens technische Kontrollen in Architektur und Betrieb, fünftens Nachweisfähigkeit durch gelebte Dokumentation und Kennzahlen.
Welche Rollen braucht AI Governance?
Ein zentrales Entscheidungsgremium für Freigaben und Grundsatzfragen, eine benannte verantwortliche Person je KI-System auf Fachseite sowie die Fachrollen für Datenschutz, Informationssicherheit und Compliance. Entscheidend ist, dass für jedes System Freigabe und Betriebsverantwortung einer Person zugeordnet sind.
Was ist ISO/IEC 42001 und wofür lohnt sich der Standard?
ISO/IEC 42001 ist der erste zertifizierbare Standard für AI-Managementsysteme (AIMS). Er liefert den strukturellen Rahmen für Rollen, Prozesse, Risikomanagement und Dokumentation. Die technische Operationalisierung - Architektur, Datenflüsse, Berechtigungen, AI Security - deckt der Standard nicht ab; sie muss ergänzend aufgebaut werden.
Was verlangt der EU AI Act seit August 2026?
Die zentralen Pflichten des EU AI Act sind seit dem 2. August 2026 anwendbar. Die im Digital Omnibus diskutierte Verschiebung betrifft im Kern die Hochrisiko-Anforderungen; die Transparenzpflichten nach Artikel 50 - etwa die Kennzeichnung von KI-Interaktionen und KI-generierten Inhalten - gelten. Unternehmen brauchen dafür zuerst Transparenz darüber, wo KI bei ihnen überhaupt im Einsatz ist.