KI-Governance in deutschen Unternehmen: wiederkehrende Probleme und ihre Folgen

Wenn ich KI-Governance in einem Satz erklären müsste, dann so: Sie legt fest, welche KI ein Unternehmen wofür einsetzt, wer dafür verantwortlich ist und welche Kontrollen gelten.

Viele deutsche Unternehmen haben diese Entscheidungen noch nicht getroffen. Dabei nutzen sie KI längst täglich: in offiziellen Projekten, über Copilot-Lizenzen, in KI-Funktionen, die mit dem letzten CRM-Update hinzugekommen sind, und über private Chatbot-Konten. Was fehlt, ist ein vollständiger Überblick und ein klarer Entscheidungsprozess.

Der Einsatz von KI in deutschen Unternehmen hat sich schnell verbreitet. Laut einer Bitkom-Umfrage vom September 2025 nutzten 36 % der Unternehmen mit mindestens 20 Beschäftigten KI. Das war fast doppelt so viel wie im Vorjahr. Dieselbe Umfrage nennt rechtliche Unsicherheit als größtes Hemmnis, das 53 % der Unternehmen angaben.

Die Beschäftigten warten nicht darauf, dass ihre Arbeitgeber handeln. In einer Bitkom-Umfrage vom Oktober 2025 gaben 40 % der Unternehmen an, zu wissen oder zu vermuten, dass Mitarbeitende private KI-Tools bei der Arbeit nutzen. Nur 26 % stellten ein offizielles generatives KI-Tool bereit, und lediglich 23 % hatten Richtlinien für die KI-Nutzung. Eine weitere Bitkom-Umfrage ergab, dass nur jeder fünfte Beschäftigte bei der Arbeit eine KI-Schulung erhalten hatte.

Auch die Regulierung erhöht den Handlungsdruck. Teile des EU AI Act gelten bereits: Verbote bestimmter KI-Praktiken und die Pflicht zur Förderung von KI-Kompetenz seit Februar 2025 sowie Transparenzpflichten für Chatbots und KI-generierte Inhalte seit August 2026. Die Pflichten für Hochrisiko-KI-Systeme, etwa beim Einsatz von KI in Einstellungsverfahren oder Kreditentscheidungen, wurden auf Dezember 2027 verschoben (sehen Sie Artikel 1, sehen Sie Artikel 2). In Deutschland verabschiedete der Bundestag im Juni 2026 das nationale Durchführungsgesetz, das die Bundesnetzagentur zur zentralen KI-Aufsichtsbehörde macht.

KI verbreitet sich in Unternehmen also schneller, als ihr Einsatz erfasst wird. Gleichzeitig steigen die Erwartungen von Aufsichtsbehörden, Kunden und Beschäftigten.

KI-Governance klingt nach einem Großprojekt. In der Praxis geht es um einige grundlegende Entscheidungen, die einmal getroffen und anschließend aktuell gehalten werden:

1. Inventar: Welche KI-Systeme und KI-Funktionen nutzen wir, auch wenn sie in Software von Drittanbietern integriert sind?

2. Zweck und Risiko: Wofür wird jedes System eingesetzt, und welchen Schaden könnte eine fehlerhafte Ausgabe verursachen?

3. Verantwortlichkeiten: Wer trägt die Verantwortung für das jeweilige System, und welche Rolle koordiniert das Thema unternehmensweit?

4. Datenregeln: Auf welche Daten darf das jeweilige System zugreifen, und wohin werden diese Daten übermittelt?

5. Lebenszyklus: Wie testen, überwachen und überprüfen wir ein System, wenn sich das Modell, die Daten oder der Anwendungsfall ändern?

Sind diese Grundlagen vorhanden, kann ein neuer Anwendungsfall schnell freigegeben oder klar abgelehnt werden. Die Einhaltung des AI Act, der DSGVO und betrieblicher Vereinbarungen wird damit Teil des Prozesses, statt jedes Mal ein eigenes Projekt auszulösen.

In Projekten rund um KI-Architektur und Umsetzung begegnen mir immer wieder dieselben Muster:

1. Es gibt kein KI-Verzeichnis. Auf die Frage „Wo setzen Sie heute KI ein?“ werden meist die offiziellen Projekte genannt. KI-Funktionen in alltäglicher Software oder Tools, die Teams eigenständig beschafft haben, fehlen in der Antwort.

2. Niemand fühlt sich für KI-Entscheidungen verantwortlich. Die Rechtsabteilung sieht die IT in der Pflicht, die IT verweist auf Compliance, und die Fachbereiche gehen davon aus, dass alles bereits geprüft wurde.

3. Governance existiert nur auf dem Papier. Es gibt eine Richtlinie, aber weder ein freigegebenes Tool noch eine konkrete Ansprechperson oder einen Prozess, der im Alltag tatsächlich genutzt wird.

4. Das Freigabegremium wird zum Engpass. Jeder Anwendungsfall durchläuft dieselbe manuelle Prüfung, unabhängig vom Risiko. Irgendwann geben Teams auf oder suchen nach Umgehungslösungen.

5. Aussagen von Anbietern werden ungeprüft übernommen. „Unser Tool ist compliant“ steht dann auf einer Präsentationsfolie, ohne Nachweise zur Funktionsweise, zur Datennutzung oder zu den durchgeführten Tests.

6. Pilotprojekte schaffen es nicht in den produktiven Betrieb. Ein funktionierender Prototyp liegt monatelang auf Eis, weil Datenschutz, Betriebsrat und Informationssicherheit erst ganz am Ende einbezogen werden.

• KI-Governance als reine Rechtsfrage zu behandeln. Juristische Expertise ist unverzichtbar. Die Entscheidungen betreffen jedoch ebenso den Geschäftszweck, die Architektur und die Daten. Funktionieren kann Governance nur, wenn Fachbereiche, IT, Recht, Datenschutz und in Deutschland häufig auch der Betriebsrat gemeinsam entscheiden.

• KI zu verbieten, statt ein freigegebenes Tool anzubieten. Ein Verbot verlagert die Nutzung in private Konten, bei denen das Unternehmen keinerlei Kontrolle über die Daten hat.

• Alle Anwendungsfälle gleich zu prüfen. Ein Tool für Besprechungszusammenfassungen braucht nicht denselben Prüfprozess wie eine KI, die Bewerbungen vorsortiert. Ohne Risikostufen wird Governance bei unkritischen Fällen zum Bremsklotz und übersieht womöglich trotzdem kritische Anwendungen.

• KI-Funktionen von Anbietern auszuklammern. Unternehmen, die KI-Systeme einsetzen, haben nach dem AI Act eigene Pflichten, etwa zur menschlichen Aufsicht und zur Transparenz gegenüber betroffenen Personen.

• Auf verbindliche Vorgaben zu warten. Protokollierung, menschliche Aufsicht und Dokumentation sind Architekturentscheidungen. Sie nachträglich in ein fertiges System einzubauen, ist deutlich teurer, als sie von Anfang an einzuplanen.

Die Bußgelder des AI Act sorgen für Schlagzeilen: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken und bis zu 15 Millionen Euro oder 3 % bei den meisten anderen Verstößen. Nach meiner Erfahrung zeigen sich die geschäftlichen Folgen jedoch oft früher:

• Der KI-Einsatz kommt langsamer voran. Jeder neue Anwendungsfall löst dieselbe Grundsatzdiskussion aus, während Wettbewerber mit klaren Regeln schneller handeln.

• Pilotbudgets werden verschwendet. Prototypen, die keine Freigabe erhalten, schaffen keinen geschäftlichen Nutzen.

• Daten gehen verloren. Kundendaten und Geschäftsgeheimnisse landen in Tools außerhalb der eigenen Kontrolle.

• Entscheidungen lassen sich nicht begründen. Wenn eine KI-gestützte Entscheidung zu Problemen führt, muss nachvollziehbar sein, wer was auf welcher Grundlage entschieden hat.

• Aufträge gehen verloren. Große Kunden und öffentliche Auftraggeber fragen Lieferanten zunehmend danach, wie sie KI steuern. Wer darauf keine überzeugende Antwort hat, scheitert bereits am Fragebogen.

Mein Ansatz für KI orientiert sich an der Praxis statt am Hype. So können Sie anfangen, ohne gleich ein großes Programm aufzusetzen:

1. Ein KI-Verzeichnis erstellen. Erfassen Sie alle genutzten KI-Systeme und KI-Funktionen, einschließlich Verantwortlichen, Einsatzzweck und verwendeten Daten.

2. Risikostufen festlegen. Definieren Sie zwei oder drei Stufen mit passenden Freigabewegen, damit Anwendungen mit geringem Risiko schnell entschieden werden können.

3. Verantwortliche benennen. Legen Sie für jedes System eine verantwortliche Person und für die KI-Governance eine zentrale Koordinationsrolle fest.

4. Ein freigegebenes Tool und eine kurze Nutzungsrichtlinie bereitstellen. Zwei Seiten mit verständlichen Regeln sind hilfreicher als dreißig Seiten, die niemand liest.

5. KI-Kompetenz passend zur Rolle aufbauen. Entwicklung, Personal, Vertrieb und Management benötigen unterschiedliche Schulungen.

6. Nachweise von Anbietern verlangen. Dazu gehören Dokumentation, Informationen zur Datenverarbeitung, Testergebnisse und Unterstützung bei den eigenen Pflichten.

7. Governance von Beginn an in neue Projekte integrieren. Protokollierung, Aufsicht und Dokumentation verursachen deutlich weniger Aufwand, wenn sie früh eingeplant werden.

Die Unternehmen, die bei KI am schnellsten vorankommen, klären diese Fragen frühzeitig. Sobald die Regeln feststehen, müssen Teams nicht für jeden Anwendungsfall erneut um Erlaubnis bitten, sondern können mit der Umsetzung beginnen.

Ich bin ein unabhängiger Berater, der in keiner Verbindung zu einem KI-Anbieter oder Modellanbieter steht. Wenn Sie eine zweite Meinung zu Ihrer KI-Governance-Struktur einholen möchten, schreiben Sie mir einfach eine Nachricht.