Wenn ich KI-Governance in einem Satz erklären müsste, würde ich es so formulieren: KI-Governance beschreibt, wie ein Unternehmen entscheidet, welche KI es einsetzt, wofür, unter wessen Verantwortung und mit welchen Kontrollmechanismen.
Viele deutsche Unternehmen haben diese Entscheidungen noch nicht getroffen. Sie nutzen KI täglich – in offiziellen Projekten, in Copilot-Lizenzen, in den KI-Funktionen, die mit dem letzten CRM-Update eingeführt wurden, und in privaten Chatbot-Konten. Was ihnen fehlt, ist ein Überblick und eine Entscheidungsgrundlage.
Warum das gerade jetzt wichtig ist
Der Einsatz von KI in deutschen Unternehmen hat rasant zugenommen. In einer Bitkom-Umfrage vom September 2025 nutzten 36 % der Unternehmen mit 20 oder mehr Mitarbeitern KI – fast doppelt so viele wie im Vorjahr. In derselben Umfrage wird Rechtsunsicherheit als größtes Hindernis genannt, das von 53 % der Unternehmen angeführt wurde.
Die Mitarbeiter warten nicht auf ihre Arbeitgeber. In der Bitkom-Umfrage vom Oktober 2025 wussten oder vermuteten 40 % der Unternehmen, dass Mitarbeiter private KI-Tools am Arbeitsplatz nutzen. Nur 26 % stellten ein offizielles generatives KI-Tool zur Verfügung, und nur 23 % verfügten über Richtlinien zur KI-Nutzung. Eine weitere Bitkom-Umfrage ergab, dass nur jeder fünfte Mitarbeiter am Arbeitsplatz eine KI-Schulung erhalten hatte.
Die Regulierung erhöht den Druck. Teile des EU-KI-Gesetzes gelten bereits: verbotene Praktiken und die Pflicht zur KI-Kompetenz seit Februar 2025 sowie Transparenzvorschriften für Chatbots und KI-generierte Inhalte seit August 2026. Die Verpflichtungen für risikoreiche Systeme, wie z. B. KI bei Einstellungs- oder Kreditentscheidungen, wurden auf Dezember 2027 verschoben (siehe Artikel 1, siehe Artikel 2). In Deutschland hat der Bundestag im Juni 2026 das nationale Umsetzungsgesetz verabschiedet, das die Bundesnetzagentur zur zentralen KI-Aufsichtsbehörde macht.
KI verbreitet sich also in Unternehmen schneller, als man es nachverfolgen kann, während die Erwartungen von Regulierungsbehörden, Kunden und Mitarbeitern steigen.
Was eine gute KI-Governance umfasst
KI-Governance klingt nach einem großen Thema. In der Praxis läuft es jedoch auf eine Handvoll Entscheidungen hinaus, die einmal getroffen und regelmäßig aktualisiert werden:
Bestandsaufnahme: Welche KI-Systeme und KI-Funktionen wir nutzen, einschließlich derer in Software von Drittanbietern.
Zweck und Risiko: Wofür jedes System verwendet wird und wie viel Schaden ein falsches Ergebnis anrichten könnte.
Verantwortlichkeit: Eine verantwortliche Person pro System und eine Rolle, die unternehmensweit koordiniert.
Datenregeln: Welche Daten darf jedes System nutzen und wohin fließen diese Daten?
Lebenszyklus: Wie wir ein System testen, überwachen und überprüfen, wenn sich das Modell, die Daten oder der Anwendungsfall ändern.
Sind diese Punkte geregelt, erhält ein neuer Anwendungsfall schnell ein „Ja“ oder ein klares „Nein“. Die Einhaltung des KI-Gesetzes, der DSGVO und der Betriebsratsvereinbarungen ergibt sich aus diesem Prozess und ist nicht jedes Mal ein separates Projekt.
Was ich als Berater sehe
Ich arbeite an Projekten zur KI-Architektur und -Implementierung, und dabei tauchen immer wieder dieselben Muster auf:
Es gibt kein KI-Inventar. Die Antwort auf die Frage: „Wo setzen Sie KI heute ein?“ umfasst lediglich die offiziellen Projekte. Dabei werden die KI-Komponenten in alltäglicher Software und die Tools, die Teams mit ihrer Kreditkarte gekauft haben, nicht berücksichtigt.
Niemand ist für KI-Entscheidungen verantwortlich. Die Rechtsabteilung hält es für ein IT-Thema. Die IT-Abteilung hält es für ein Compliance-Thema. Das Geschäft geht davon aus, dass bereits jemand die Prüfung vorgenommen hat.
Governance existiert nur auf dem Papier. Es gibt zwar eine Richtlinie, aber kein genehmigtes Tool, keinen benannten Ansprechpartner und keinen Prozess, den die Mitarbeiter tatsächlich nutzen.
Der Genehmigungsausschuss wird zum Engpass. Jeder Anwendungsfall, egal ob mit geringem oder hohem Risiko, durchläuft dieselbe manuelle Prüfung, und die Teams geben auf oder umgehen das Verfahren.
Behauptungen der Anbieter werden ohne Nachweis akzeptiert. „Unser Tool ist konform“ landet auf einer Folie, ohne Dokumentation darüber, was das System tut, welche Daten es verwendet und wie es getestet wird.
Pilotprojekte können nicht in Betrieb genommen werden. Ein funktionierender Prototyp verzögert sich um Monate, weil Fragen zum Datenschutz, zum Betriebsrat und zur Sicherheit erst am Ende aufkommen.
Die Fehler, die am meisten kosten
KI-Governance ausschließlich als rechtliches Thema zu betrachten. Juristen sind zwar unverzichtbar, doch bei den Entscheidungen geht es um geschäftliche Ziele, Architektur und Daten. Governance funktioniert, wenn Geschäftsführung, IT, Rechtsabteilung, Datenschutz und – in Deutschland oft auch – der Betriebsrat gemeinsam entscheiden.
KI zu verbieten, anstatt ein zugelassenes Tool anzubieten. Ein Verbot verlagert die Nutzung in private Konten, wo man keinerlei Kontrolle über die Daten hat.
Alles nach dem gleichen Schema prüfen. Ein Tool zur Erstellung von Sitzungsprotokollen und eine KI, die Bewerber vorab überprüft, erfordern nicht denselben Prozess. Ohne Risikostufen verlangsamt die Governance harmlose Fälle und übersieht dennoch die kritischen.
KI von Anbietern aus dem Geltungsbereich ausklammern. Unternehmen, die KI-Systeme einsetzen, haben gemäß dem KI-Gesetz eigene Pflichten, beispielsweise hinsichtlich der menschlichen Aufsicht und der Transparenz gegenüber den betroffenen Personen.
Darauf warten, dass Vorschriften die Umsetzung erzwingen. Protokollierung, menschliche Aufsicht und Dokumentation sind architektonische Entscheidungen. Sie später in ein fertiges System nachzurüsten, kostet weitaus mehr, als sie von vornherein einzuplanen.
Was passiert, wenn das Problem nicht gelöst wird?
Die Bußgelder des KI-Gesetzes sorgen für Schlagzeilen: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken und bis zu 15 Millionen Euro oder 3 % für die meisten anderen Verstöße. Meiner Erfahrung nach stellen sich die geschäftlichen Folgen jedoch schon früher ein:
Die Einführung von KI verlangsamt sich. Jeder neue Anwendungsfall wird zum Gegenstand einer neuen Debatte, und Wettbewerber mit klaren Regeln ziehen davon.
Pilotbudgets werden verschwendet. Prototypen, die die Genehmigung nicht erhalten, schaffen niemals einen Mehrwert.
Datenlecks. Kundendaten und Geschäftsgeheimnisse landen in Tools, die sich Ihrer Kontrolle entziehen.
Entscheidungen lassen sich nicht rechtfertigen. Wenn eine KI-gestützte Entscheidung schiefgeht, müssen Sie nachweisen, wer was auf welcher Grundlage entschieden hat.
Geschäfte gehen verloren. Großkunden und öffentliche Auftraggeber fragen Lieferanten zunehmend, wie sie den Einsatz von KI regeln. Ohne eine Antwort bestehen Sie den Fragebogen nicht.
Wo soll man anfangen: die nächsten 90 Tage
Da mein Ansatz in Bezug auf KI eher auf der Realität als auf Hype basiert, finden Sie hier einen Einstieg, ohne gleich ein großes Programm auf die Beine stellen zu müssen:
Erstellen Sie ein KI-Inventar. Listen Sie jedes verwendete KI-System und jede KI-Funktion auf, einschließlich Verantwortlichem, Zweck und verwendeten Daten.
Legen Sie Risikostufen fest. Definieren Sie zwei oder drei Stufen mit einem entsprechenden Genehmigungsweg, sodass Tools mit geringem Risiko eine Schnellspur erhalten.
Benennen Sie Verantwortliche. Eine verantwortliche Person pro System und eine zentrale Rolle für die KI-Governance.
Stellen Sie ein genehmigtes Tool und eine kurze Nutzungsrichtlinie bereit. Zwei Seiten mit klaren Regeln sind besser als dreißig Seiten, die niemand liest.
Gestalten Sie die KI-Kompetenz rollenbasiert. Entwickler, Personalabteilung, Vertrieb und Management benötigen unterschiedliche Schulungen.
Fordern Sie von Anbietern Nachweise an. Dokumentation, Datenumgang, Tests und Unterstützung bei der Erfüllung Ihrer eigenen Verpflichtungen.
Integrieren Sie Governance von Tag eins an in neue Projekte. Protokollierung, Überwachung und Dokumentation kosten zu Beginn nur wenig.
Die Unternehmen, die meiner Beobachtung nach bei der KI am schnellsten vorankommen, sind diejenigen, die diese Fragen frühzeitig geklärt haben. Sobald die Regeln klar sind, hören die Teams auf, bei jedem Anwendungsfall um Erlaubnis zu bitten, und beginnen mit der Umsetzung.
Ich bin ein unabhängiger Berater ohne Verbindungen zu KI-Anbietern oder Modellanbietern. Wenn Sie eine zweite Meinung zu Ihrem KI-Governance-Konzept wünschen, senden Sie mir eine Nachricht.