KI-Governance-Modell im Unternehmen

Lernziele

Sie beschreiben die drei Kernrollen eines unternehmensinternen KI-Governance-Modells (KI-Beauftragte/r, Fachbereich / Prozessverantwortliche, Compliance / IT / Datenschutz) und erläutern die Aufgaben jeder Rolle.

Sie erklären das Governance-Handbuch als operatives Steuerungsinstrument mit seinen fünf Pflichtabschnitten und ordnen es in die gesamte Governance-Architektur ein.

Sie stellen die Verbindung zwischen dem Governance-Modell und den EU-AI-Act-Deployer-Pflichten nach Art. 26 her und benennen die konkreten Pflichten eines Unternehmens beim KI-Einsatz.

Sie entwerfen eine schlanke Governance-Struktur, die für mittelständische Organisationen (50–200 MA) praktikabel ist, ohne übermäßigen bürokratischen Aufwand zu erzeugen.

Sie klassifizieren KI-Anwendungen nach dem Drei-Stufen-Freigabemodell (Grün / Gelb / Rot) und begründen die Klassifikation anhand konkreter Kriterien.

Abbildung: Fünf zentrale Rollen einer KI-Governance — von Lenkungsausschuss bis Tech-Owner.

Auf einen Blick

Worum geht es? — Der didaktische Einstieg

Drei Monate nach dem ersten KI-Pilot-Start bei einem mittelständischen Unternehmen läuft die Situation wie folgt: Fünf verschiedene Teams haben jeweils eigene KI-Tools eingeführt, niemand weiß, welche Systeme produktiv im Einsatz sind, es gibt weder eine Übersicht über die genutzten Plattformen noch eine einheitliche Datenschutzprüfung, und als die Geschäftsführung nach dem Governance-Status fragt, entstehen hitzige Diskussionen darüber, wer eigentlich zuständig ist.

Dieses Szenario ist kein Einzelfall — es ist das typische Ergebnis von KI-Adoption ohne Governance-Rahmen. Ohne Governance wächst KI-Adoption unkontrolliert: jedes Team adoptiert eigene Tools, Datenschutzrisiken akkumulieren sich unbemerkt, und das Unternehmen kann bei einer Aufsichtsbehörden-Prüfung nicht nachweisen, welche KI-Systeme unter welchen Bedingungen eingesetzt werden.

Die gute Nachricht: Ein wirksames Governance-Modell muss für eine mittelständische Organisation nicht bürokratisch sein. Eine Teilzeit-KI-Beauftragte, ein lebendiges Markdown-Dokument als Governance-Handbuch und eine monatliche 30-Minuten-Governance-Runde genügen in der ersten Phase — und sind deutlich besser als gar keine Governance.

Warnung — EU AI Act: Compliance-Pflichten für Deployer

Der EU AI Act (in Kraft seit 1. August 2024) verpflichtet Unternehmen, die KI-Systeme einsetzen (Deployer), zur Erfüllung konkreter Pflichten nach Art. 26 — unabhängig davon, ob sie KI selbst entwickeln. Die wichtigsten Pflichten: (1) Nutzung nur gemäß Anbieter-Anleitung, (2) Sicherstellung ausreichender KI-Kompetenz der Mitarbeitenden (Art. 4 — diese Schulung trägt dazu bei), (3) Menschliche Aufsicht über KI-Systeme mit höherem Risiko, (4) Meldepflichten bei schwerwiegenden Vorfällen. Fehlende Dokumentation dieser Compliance-Maßnahmen kann bei Aufsichtsbehörden-Prüfungen zu Bußgeldern führen. Das Governance-Modell ist die organisatorische Umsetzung dieser gesetzlichen Anforderungen.

Lerntext — Theorie und Konzepte

Die drei Governance-Rollen

Rolle 1 — KI-Beauftragte/r: Die zentrale Governance-Rolle. Nicht zwingend eine neue Vollzeitstelle — in der ersten Phase genügt eine erfahrene Person, die diese Funktion als Teil ihrer Rolle übernimmt (z. B. Head of Digital, IT-Leitung oder erfahrener Projektmanager mit KI-Affinität). Aufgaben: - Governance-Handbuch pflegen und aktualisieren - Konsistenz über alle KI-Initiativen sicherstellen - Schnittstelle zur Unternehmensleitung, zum Betriebsrat und externen Aufsichtsstellen - Drei-Stufen-Klassifikation aller produktiven KI-Anwendungen überwachen - Systematische Qualitätsprobleme aus dem Monitoring identifizieren und Verbesserungsmaßnahmen initiieren - EU-AI-Act-Compliance sicherstellen (Deployer-Pflichten nach Art. 26)

Rolle 2 — Fachbereich / Prozessverantwortliche (Skill-Owner): Jede KI-Anwendung hat einen fachlichen Verantwortlichen aus dem jeweiligen Fachbereich. Diese Person ist nicht die IT — sie ist die Person, die den Prozess kennt, die fachlichen Anforderungen versteht und die Qualität der KI-Outputs beurteilen kann. Aufgaben: Fachliche Reviews bei Gelb-klassifizierten Anwendungen, Eskalation von Qualitätsproblemen, Pflege der fachlichen Inhalte (z. B. Wissensbasis-Dokumente im RAG-System).

Rolle 3 — Compliance / IT / Datenschutz: Infrastruktur, Sicherheit und Datenschutz. Aufgaben: Vendor-Assessment vor Einführung neuer KI-Tools, Zugriffsrechte-Matrix, Datenschutz-Folgenabschätzung (DSFA) bei Systemen mit personenbezogenen Daten, IT-Security-Monitoring, Incident-Response.

Abb. 93.1 — KI-Governance-Rollen und ihre Beziehungen

Merksatz

Governance ohne klare Rollenbesetzung ist Absichtserklärung, keine Steuerungsstruktur. Die drei Rollen müssen namentlich besetzt sein — mit Zeitbudget und Eskalationsweg. Ein unbesetzter Skill-Owner bedeutet: niemand ist für die Qualität des KI-Outputs verantwortlich.

Das Governance-Handbuch — fünf Pflichtabschnitte

Das Governance-Handbuch ist das operative Steuerungsdokument aller KI-Aktivitäten im Unternehmen. Es ist kein statisches PDF, sondern ein lebendiges Dokument (z. B. als Notion-Seite oder SharePoint-Dokument), das bei jeder neuen KI-Initiative aktualisiert wird.

Abschnitt 1 — Grundprinzipien: Übergeordnete Werte und Leitlinien für den KI-Einsatz. DSGVO-Konformität und EU-AI-Act-Compliance als explizite Vorrangregeln. Definition von „erlaubtem KI-Einsatz” in der Organisation (z. B.: KI-Assistenz bei Routinetätigkeiten erlaubt; KI-Entscheidungen ohne menschliche Prüfung nur bei Grün-klassifizierten Prozessen).

Abschnitt 2 — Freigabe-Register (KI-Anwendungsverzeichnis): Eine tabellarische Übersicht aller produktiven KI-Anwendungen. Spalten: Name der Anwendung | Einsatzbereich | Plattform | Freigabeklasse | Review-Touchpoint | Skill-Owner | Status (Pilot/Produktiv/Pause) | Letzte Prüfung. Dieses Register ist das Herzstück des Governance-Handbuchs — es gibt der KI-Beauftragten auf einen Blick, welche KI-Systeme laufen und unter welchen Bedingungen.

Abschnitt 3 — Dokumentations-Regeln: Was wird automatisch geloggt (z. B. Systemlogs, Fehlerrate)? Was wird manuell dokumentiert (z. B. DSGVO-Vorfälle)? Aufbewahrungsfristen.

Abschnitt 4 — Zugriffsrechte-Matrix: Welche KI-Anwendung hat auf welche Systeme Zugriff, mit welchen Berechtigungen? Least-Privilege-Prinzip als Grundregel.

Abschnitt 5 — Notfall- und Eskalationsprozesse: Kill-Switch-Prozedur (Wer kann eine KI-Anwendung sofort deaktivieren?), Incident-Response-Plan (Was passiert bei einem DSGVO-Vorfall oder einer KI-induzierten Fehlinformation?), Eskalationswege.

EU AI Act — Deployer-Pflichten nach Art. 26

Der EU AI Act trat am 1. August 2024 in Kraft und gilt schrittweise. Für Unternehmen, die KI-Systeme einsetzen (Deployer), gelten folgende Kernpflichten nach Art. 26:

Nutzung gemäß Anbieter-Anleitung: Das KI-System darf nur für die vom Anbieter vorgesehenen Zwecke eingesetzt werden.

KI-Kompetenz der Mitarbeitenden (Art. 4): Deployer müssen sicherstellen, dass Mitarbeitende, die mit KI-Systemen arbeiten, ausreichende KI-Kompetenz haben. Diese Schulung ist ein direkter Beitrag zur Erfüllung dieser Pflicht.

Menschliche Aufsicht (Human Oversight): Deployer müssen sicherstellen, dass eine menschliche Aufsicht über KI-Systeme mit höherem Risiko gewährleistet ist.

Meldepflichten bei Vorfällen: Schwerwiegende Vorfälle mit KI-Systemen hoher Risikostufe sind der zuständigen Aufsichtsbehörde zu melden.

Das Governance-Modell ist die organisatorische Umsetzung dieser gesetzlichen Anforderungen. Das Freigabe-Register operationalisiert die menschliche Aufsicht (Gelb/Rot-Klassen).

Das Drei-Stufen-Freigabemodell

Das Drei-Stufen-Freigabemodell klassifiziert jede KI-Anwendung nach ihrem Autonomiegrad und den Freigabeanforderungen:

Grün — Vollständig automatisierbar: Kein externer Output, kein rechtliches oder reputatives Konsequenzrisiko bei Fehlern. Beispiele: Interne Meeting-Transkription, interne Wissensdatenbank (nur lesend). Keine menschliche Prüfung vor Output-Nutzung erforderlich.

Gelb — Mensch reviewt vor externem Output: Der KI-Output hat externe Auswirkungen (wird an Kunden, Behörden oder Partner weitergegeben). Fehler haben geschäftliche Konsequenzen. Beispiele: KI-generiertes Angebot (reviewed vor Versand), KI-erstellter Projektbericht (reviewed vor Kunden-Übergabe). Menschlicher Review-Touchpoint ist Pflicht.

Rot — Jeder Output erfordert Freigabe: Hohe Risikostufe: rechtliche, finanzielle oder sicherheitsrelevante Konsequenzen. Beispiele: KI-System, das Vertragsklauseln generiert; KI-System, das Personalentscheidungen vorbereitet. Benannter Reviewer mit expliziter Freigabe-Dokumentation.

Merksatz

Das Drei-Stufen-Freigabemodell (Grün / Gelb / Rot) ist kein bürokratisches Kontrollwerkzeug — es ist der Mechanismus, der ermöglicht, dass Grün-Klasse-Anwendungen ohne jede Hürde genutzt werden dürfen. Ohne klare Klassifikation gilt implizit: alles braucht Genehmigung. Das lähmt die KI-Adoption.

Vertiefung — EU AI Act: Was bedeutet das für Ihr Unternehmen konkret?

Vertiefung — EU AI Act konkret: Was Deployer-Unternehmen in den naechsten Jahren erwarten

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft. Die wichtigsten Umsetzungsfristen:

Ab 2. Februar 2025: Verbotene KI-Praktiken (Art. 5) treten in Kraft — z. B. Sozial-Scoring durch Behörden, bestimmte biometrische Überwachungssysteme.

Ab 2. August 2025: Governance-Anforderungen für Allzweck-KI-Modelle (GPAI, z. B. GPT-4 und vergleichbare Systeme) treten in Kraft.

Ab 2. August 2026: Hochrisiko-KI-Systeme (Anhang III, u. a. KI in Bildung, Beschäftigung, wesentlichen Dienstleistungen) müssen die vollen Anforderungen des AI Act erfüllen.

Was bedeutet das für Deployer (= Organisationen, die KI einsetzen, aber nicht entwickeln)?

Art. 26 AI Act listet die Hauptpflichten: 1. Nutzungskonformität: KI nur für die vom Anbieter vorgesehenen Zwecke einsetzen. 2. Menschliche Aufsicht: Bei Hochrisiko-KI müssen organisatorische und technische Maßnahmen sicherstellen, dass eine menschliche Person die KI-Ausgaben überprüfen, interpretieren und ggf. übersteuern kann. 3. Datenschutz: Einhaltung aller datenschutzrechtlichen Anforderungen bei der Verarbeitung personenbezogener Daten. 4. Schulung: Art. 4 verpflichtet Deployer, sicherzustellen, dass Mitarbeitende, die KI-Systeme nutzen, über ausreichende KI-Kompetenz verfügen — diese Schulung hier dient diesem Zweck. 5. Vorfallmeldung: Schwerwiegende Vorfälle oder Fehlfunktionen von Hochrisiko-KI-Systemen sind an die nationale Marktaufsicht zu melden.

Praktische Konsequenz für das Governance-Modell:

Das Governance-Handbuch ist nicht nur interne Best Practice — es ist die Dokumentation der AI-Act-Compliance. Bei einer Aufsichtsprüfung muss das Unternehmen nachweisen können: (1) Welche KI-Systeme im Einsatz sind, (2) wie sie klassifiziert sind (Hochrisiko oder nicht), (3) welche Maßnahmen zur menschlichen Aufsicht implementiert wurden, (4) wie die KI-Kompetenz der Mitarbeitenden sichergestellt wird.

Ein gut gepflegtes Governance-Handbuch ist die effizienteste Art, diese Dokumentationspflicht zu erfüllen. Der Aufwand für das Handbuch ist gleichzeitig der Aufwand für die AI-Act-Compliance.

Der EU AI Act unterscheidet KI-Systeme nach Risikostufen. Die meisten KI-Werkzeuge, die in typischen Unternehmen eingesetzt werden (Custom GPTs, Copilot Studio, n8n-Workflows für administrative Prozesse), fallen unter „begrenztes Risiko” oder sind von den schärfsten Anforderungen ausgenommen. Ausnahme: KI-Systeme für biometrische Erkennung, kritische Infrastrukturen, Bildung, Strafverfolgung und Beschäftigung fallen unter höhere Anforderungen — letzteres ist besonders relevant für Recruiting-Screener-Anwendungen.

Art. 4 — KI-Kompetenz (AI Literacy): Deployer müssen sicherstellen, dass Mitarbeitende, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Die Teilnahme an dieser Schulung sollte dokumentiert werden — für die eigene Compliance-Dokumentation.

Art. 26 Abs. 2 — Nutzungskonformität: Das KI-System muss gemäß den Anweisungen des Anbieters (Provider) eingesetzt werden. Die Nutzungsbedingungen des Anbieters müssen bekannt sein, und Einsatzbereiche, die vom Anbieter ausdrücklich ausgeschlossen sind, dürfen nicht genutzt werden.

Art. 26 Abs. 6 — Datenschutz-Folgenabschätzung: Deployer müssen eine DSFA durchführen, wenn das KI-System personenbezogene Daten in einer Weise verarbeitet, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Bei Recruiting-Screenern und Systemen mit Bewerberdaten ist eine DSFA obligatorisch.

Governance als lebendes Dokument: Drei Mechanismen sichern die Lebendigkeit des Handbuchs: (1) Trigger-basierte Updates bei jeder neuen KI-Anwendung oder wesentlichen Änderung. (2) Quartalsweiser Review-Zyklus (30 Min.): Haben sich Datenschutz-Anforderungen geändert? Gibt es neue KI-Anwendungen, die noch nicht eingetragen sind? (3) Versionierung mit Änderungshistorie — wer hat wann was geändert.

Governance-Fehler, die teuer werden: - Fehler 1 — Governance als nachträgliche Maßnahme: KI-Tools laufen produktiv, Governance wird erst nach einem Datenschutzhinweis aufgebaut. Das ist deutlich aufwändiger als präventive Governance. - Fehler 2 — Governance nur auf dem Papier: Das Handbuch existiert, aber niemand hält sich daran. Lösung: Governance-Aktivitäten in bestehende Kalender-Rhythmen einbauen. - Fehler 3 — Zu enge Governance erstickt Innovation: Wenn jede KI-Nutzung eine mehrstufige Genehmigung erfordert, nutzen Mitarbeitende KI-Tools privat ohne die Unternehmensinfrastruktur — und umgehen damit jede Governance. Grün-Klasse-Aktivitäten explizit erlauben und ermutigen.

Vertiefung — RACI-Matrix für KI-Governance: Wer entscheidet was?

Ein haefiger Fehler in KI-Governance-Modellen: Die Rollen sind benannt, aber die Entscheidungsverantwortung ist unklar. Wer darf ein neues KI-Tool freigeben? Wer muss konsultiert werden? Wer wird informiert? Das RACI-Modell (Responsible, Accountable, Consulted, Informed) loest dieses Problem.

Typische RACI-Matrix für eine KI-Tool-Freigabe (Mittelstand):

Legende: R = Responsible (fuehrt durch), A = Accountable (traegt Verantwortung), C = Consulted (wird befragt), I = Informed (wird informiert).

Diese Matrix sollte im Governance-Handbuch enthalten sein und bei jeder neuen KI-Initiative als Checkliste verwendet werden. Sie stellt sicher, dass weder die Datenschutzpruefung noch die Betriebsratsbeteiligung vergessen wird.

Schlankheitsprinzip: In kleinen Organisationen (unter 50 Mitarbeitende) ohne Betriebsrat kann die Matrix auf vier Spalten reduziert werden. Die Kernfrage bleibt dieselbe: Wer ist für jede Entscheidung verantwortlich — und wer muss zumindest informiert werden? ### Branchen-Anwendungen

IT-Dienstleistung & Beratung

Ein IT-Beratungsunternehmen (ca. 90 MA) etabliert sein erstes KI-Governance-Modell. Der KI-Beauftragte ist der Head of Delivery (bestehende Rolle, 15 % Zeitbudget für Governance in Phase 1). Das Freigabe-Register startet mit drei Einträgen: Meeting-Protokollierung (Grün), Wissens-RAG (Grün), Angebots-KI-Assistent (Gelb). Das Governance-Handbuch ist eine Notion-Seite — zwei Stunden Erstellungsaufwand für die Grundstruktur. Monatliche Governance-Runde: 30 Minuten, dienstags nach dem Management-Meeting. EU-AI-Act-Compliance-Checkliste wird für jeden der drei Use Cases in der ersten Governance-Runde durchgeführt. Hauptergebnis: Der Angebots-KI-Assistent erhält eine formelle Gelb-Klassifikation mit definiertem Review-Touchpoint (Berater reviewt vor jedem Angebotsversand). Das gibt dem Team Sicherheit — und erfüllt die menschliche Aufsichtspflicht nach Art. 26.

Industrie & Fertigung

Ein Maschinenbauunternehmen (ca. 1.200 MA, drei Werke) muss sein KI-Governance-Modell auf eine komplexere Organisationsstruktur anpassen. Der KI-Beauftragte sitzt in der Unternehmenszentrale. Zusätzlich gibt es je einen Skill-Owner pro Werk. Das Freigabe-Register enthält 12 Einträge nach dem ersten Jahr — davon zwei Rot-Klassifikationen (KI-gestützte Qualitätskontroll-Entscheidungen an der Produktionslinie). Für die Rot-Klasse-Systeme gilt: Jeder Alarm-Output wird von einem Senior-Qualitätsingenieur vor der Weiterverarbeitung freigegeben und dokumentiert. DSFA wurde für das Produktionslinien-KI-System durchgeführt (personenbezogene Schichtdaten). Besonderheit: Im Fertigungskontext ist die Kill-Switch-Prozedur besonders kritisch — ein KI-Systemfehler, der unbemerkt bleibt, kann Produktionsausfälle verursachen.

Finanzdienstleistung & Versicherung

Ein regionaler Versicherungsdienstleister (ca. 350 MA) betreibt sein Governance-Modell mit besonderem Augenmerk auf DSGVO und Versicherungsaufsichtsrecht (BaFin). Das Freigabe-Register enthält eine zusätzliche Spalte: „BaFin-Relevanz” (ja/nein). Alle KI-Systeme, die Schadensregulierungs-Empfehlungen generieren, sind Rot-klassifiziert und benötigen explizite Sachbearbeiter-Freigabe mit Dokumentation im Schadensfall. Der Datenschutzbeauftragte ist als vierte Rolle in das Governance-Modell integriert — neben KI-Beauftragter, Skill-Owner und IT. Quartalsweise Compliance-Prüfung: Wurden alle DSFA-Anforderungen für neue Systeme erfüllt? Hat sich die Regulierungslage geändert? Die monatliche Governance-Runde dauert hier 60 Minuten statt 30 — aufgrund der regulatorischen Komplexität.

Öffentliche Verwaltung

Eine Kommunalverwaltung (ca. 800 MA) muss ihr KI-Governance-Modell an öffentlich-rechtliche Anforderungen anpassen. Besonderheiten: Beschlüsse über KI-Einführung müssen durch den Stadtrat verabschiedet werden (bei systemrelevanten Anwendungen). Der Personalrat hat formelle Mitbestimmungsrechte (bayerisches Personalvertretungsgesetz). Die IT-Abteilung ist gleichzeitig Datenschutzbeauftragter und Compliance-Instanz. Governance-Struktur: Das Governance-Handbuch ist ein offizielles Verwaltungsdokument — keine Notion-Seite, sondern ein DMS-Dokument mit Versionierung nach Aktenordnung. Das Drei-Stufen-Freigabemodell wird als Verwaltungsvorschrift formuliert und vom Stadtrat beschlossen. Hauptlernpunkt: In der öffentlichen Verwaltung dauert die Governance-Einrichtung länger — dafür ist sie robuster verankert.

Vertiefung — KI-Governance in kleinen Organisationen: Das Minimum Viable Governance-Modell

Für Organisationen mit weniger als 50 Mitarbeitenden oder ohne eigene IT-Abteilung klingt ein vollständiges Governance-Modell nach unverhältnismäßigem Aufwand. Das Minimum Viable Governance (MVG) zeigt, was wirklich das absolute Minimum ist:

MVG-Element 1 — Eine Seite Richtlinie: Ein einziges A4-Dokument mit fünf Punkten: (1) Welche KI-Tools sind freigegeben (Whitelist), (2) Welche sind verboten (Blacklist, z. B. ChatGPT Free für kundenbezogene Daten), (3) Was darf nicht eingegeben werden (personenbezogene Daten, Vertragsdetails, interne Finanzdaten), (4) Wer ist Ansprechpartner bei Fragen, (5) Wie wird ein neues Tool beantragt. Aufwand: 2–3 Stunden. Wirkung: Sofortige Reduktion des DSGVO-Risikos durch nicht autorisierte Tool-Nutzung.

MVG-Element 2 — Eine Kontaktperson: Nicht zwingend ein Vollzeit-KI-Beauftragter. Jemand in der Organisation, der für KI-Fragen ansprechbar ist — häufig die IT-Leitung, ein Digital-affiner Geschäftsführer oder die Datenschutzbeauftragte. Diese Person erhält eine kurze Einführung in den EU AI Act (Art. 4, Art. 26) und in DSGVO-Grundlagen für KI.

MVG-Element 3 — Ein jährlicher Review: Einmal pro Jahr, 60 Minuten: Welche KI-Tools wurden im vergangenen Jahr genutzt? Welche Richtlinien-Anpassungen sind nötig? Gibt es neue regulatorische Anforderungen (EU AI Act Fristen)? Wurden Datenschutzbedenken gemeldet?

MVG-Element 4 — Automatischer Onboarding-Check: Jede neue Mitarbeitende erhält beim Einstieg die Richtlinie und bestätigt schriftlich, sie gelesen zu haben. Das dauert fünf Minuten und schafft eine dokumentierte Grundlage für den Compliance-Nachweis.

Dieser MVG-Ansatz ist kein Ersatz für ein vollständiges Governance-Modell in grösseren Organisationen. Aber er ist infinitiv besser als gar keine Governance — und er kann innerhalb einer Woche umgesetzt werden.

Übung 1 — Governance-Struktur entwerfen

Übung 1 — Governance-Struktur für Ihre Organisation

Aufgabe: Skizzieren Sie in einer Kleingruppe (3–4 Personen) den Entwurf einer KI-Governance-Struktur für eine Organisation Ihrer Wahl (eigene Organisation oder eine der Branchen-Vignetten). Beantworten Sie drei Leitfragen: Wer übernimmt welche Rolle? Welche drei Anwendungen kommen als erste ins Freigabe-Register? Welche Eskalationswege gelten?

Schritt-für-Schritt: 1. Diskutieren Sie die drei Rollen: Wer könnte welche Rolle übernehmen? 2. Füllen Sie das Freigabe-Register für drei KI-Anwendungen aus Ihrer Branche aus. 3. Klassifizieren Sie jede Anwendung nach dem Drei-Stufen-Modell und begründen Sie die Wahl. 4. Definieren Sie den Eskalationsweg: Wer aktiviert den Kill-Switch bei einem kritischen Vorfall? 5. Präsentieren Sie Ihren Entwurf in 2 Minuten (in Gruppen-Settings vor der Gruppe; im Selbststudium: verschriftlichen Sie Ihre Kernargumentation in 3–5 Sätzen).

Bearbeitungszeit: 15 Minuten.

Musterlösung:

Eskalationsweg: Vorfall → Skill-Owner → KI-Beauftragter → Geschäftsführung / DSGVO-Beauftragter. Kill-Switch: IT-Leitung kann jede Anwendung sofort deaktivieren.

Übung 2 — EU-AI-Act-Deployer-Check

Übung 2 — EU-AI-Act-Deployer-Compliance-Check

Aufgabe: Führen Sie für eine KI-Anwendung Ihrer Wahl einen vereinfachten EU-AI-Act-Deployer-Compliance-Check durch (Art. 26-Pflichten).

Schritt-für-Schritt: 1. Wählen Sie eine KI-Anwendung aus Ihrer Organisation oder aus den Branchen-Vignetten. 2. Prüfen Sie Pflicht 1: Wird das System nur für den vorgesehenen Zweck eingesetzt? 3. Prüfen Sie Pflicht 2 (Art. 4): Haben die nutzenden Mitarbeitenden ausreichende KI-Kompetenz? 4. Prüfen Sie Pflicht 3: Ist menschliche Aufsicht gewährleistet? (Verweis auf Freigabeklasse) 5. Prüfen Sie Pflicht 4: Ist ein Meldeprozess für Vorfälle definiert? 6. Geben Sie eine Compliance-Gesamtklasse (Grün/Gelb/Rot) und benennen Sie offene Punkte.

Bearbeitungszeit: 12 Minuten.

Musterlösung — Angebots-KI-Assistent (Gelb-Klasse): Pflicht 1: Erfüllt (Tool nur für Angebotsvorbereitung konfiguriert, kein anderer Zweck). Pflicht 2: Teilweise erfüllt (nutzende Mitarbeitende absolvieren diese Schulung; neue MA müssen Onboarding erhalten). Pflicht 3: Erfüllt (Gelb-Klassifikation, menschlicher Review vor Versand). Pflicht 4: Offen (Meldeprozess für KI-Vorfälle noch nicht im Governance-Handbuch dokumentiert). Gesamtstatus: Gelb. Offener Punkt: Meldeprozess im Governance-Handbuch ergänzen — Aufwand ca. 1 Stunde.

Cheatsheet — KI-Governance: Die wichtigsten Punkte

Drei Governance-Rollen: - KI-Beauftragter: Handbuch, Konsistenz, EU-Act-Compliance - Skill-Owner (Fachbereich): fachliche Reviews, Eskalation, Inhaltspflege - Compliance/IT: Vendor-Assessment, DSFA, Sicherheit

Governance-Handbuch — fünf Abschnitte: 1. Grundprinzipien | 2. Freigabe-Register | 3. Doku-Regeln | 4. Zugriffsrechte | 5. Notfall/Eskalation

Drei-Stufen-Freigabemodell: - Grün: intern, kein externer Impact → keine Prüfung vor Nutzung - Gelb: externer Output → Mensch reviewt vor Versand - Rot: hohe Konsequenzen → explizite Freigabe + Dokumentation

EU AI Act Art. 26 — vier Deployer-Pflichten: 1. Zwecknutzung | 2. KI-Kompetenz | 3. Menschliche Aufsicht | 4. Meldepflicht

Für mittelständische Organisationen genügt in Phase 1: - Eine Person (15–20 % Zeitbudget) als KI-Beauftragter - Ein fünfseitiges Handbuch in Notion/SharePoint - Monatliche 30-Minuten-Governance-Runde - Klare Eskalationskette (Skill-Owner → KI-Beauftragter → Geschäftsführung)

Reflexionsfragen

Wer in Ihrer Organisation wäre die beste Person für die Rolle der KI-Beauftragten — und welche Widerstände könnten bei dieser Besetzung entstehen?

Wie stellen Sie sicher, dass das Governance-Handbuch ein lebendiges Dokument bleibt und nicht nach drei Monaten veraltet?

Welche Konsequenz hätte es für Ihre Organisation, wenn ein KI-System eingesetzt wird, für das kein AVV (Auftragsverarbeitungsvertrag) mit dem Anbieter vorliegt — und eine Behördenprüfung stattfindet?

Warum ist zu enge Governance gefährlich — nicht nur zu lockere?

Prompt-Vorlage — KI-Governance-Richtlinie für ein mittelständisches Unternehmen entwerfen

Prompt für einen KI-Assistenten:

Ich möchte eine schlanke KI-Governance-Richtlinie für unser Unternehmen erstellen. Unternehmensgröße: [Mitarbeitende]. Branche: [Branche]. Bisher eingesetzte oder geplante KI-Tools: [Tools auflisten]. Erstelle einen Richtlinien-Entwurf mit fünf Pflichtabschnitten: (1) Geltungsbereich und Zweck, (2) Rollen und Verantwortlichkeiten (KI-Beauftragter, Fachbereich, IT / Datenschutz) mit einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), (3) Freigabeprozess für neue KI-Tools (Ampelmodell Grün / Gelb / Rot), (4) Datenschutz-Mindeststandards (AVV-Pflicht, Serverstandort, Training-Opt-out), (5) Governance-Review-Zyklus (Frequenz, Verantwortliche, Dokumentationsformat). Maximaler Umfang: zwei DIN-A4-Seiten.”

Erwartetes Ergebnis: Ein vollständiger Richtlinien-Entwurf in fünf Abschnitten mit RACI-Matrix — als Startpunkt für das unternehmenseigene Governance-Handbuch anpassbar. Hinweis: Die Richtlinie sollte innerhalb der ersten drei Monate nach KI-Start verabschiedet sein. Ein zu langer Entwurfs-Prozess ist ein häufiger Governance-Fehler — eine imperfekte lebende Richtlinie ist besser als eine perfekte, die nie fertig wird.

Quellen & Weiterlesen

Trainer-Hinweise

Übung 3 — Governance-Retrospektive: Bestehende KI-Tools auf den Prüfstand stellen

Übung 3 — Governance-Retrospektive für bestehende KI-Tools

Aufgabe: Wenden Sie das Drei-Stufen-Freigabemodell (Grün / Gelb / Rot) auf KI-Tools an, die in Ihrer Organisation bereits im Einsatz sind — und identifizieren Sie eventuelle Governance-Lücken.

Schritt-für-Schritt: 1. Erstellen Sie eine Liste aller KI-Tools, die in Ihrer Organisation oder Abteilung bereits genutzt werden (auch inoffiziell — z. B. ChatGPT für E-Mail-Entwürfe). 2. Klassifizieren Sie jedes Tool nach dem Drei-Stufen-Modell: Grün (kein personenbezogener externer Output, niedrigstes Risiko) / Gelb (externer Output mit Review, mittleres Risiko) / Rot (direkte Entscheidungsunterstützung mit hohem Konsequenzpotenzial). 3. Prüfen Sie für jedes Gelb- und Rot-Tool: Existiert ein AVV mit dem Anbieter? Wurden Mitarbeitende geschult? Ist das Tool in einer Richtlinie dokumentiert? 4. Identifizieren Sie die kritischste Governance-Lücke und formulieren Sie einen konkreten Schließungsplan.

Erwartetes Ergebnis: Eine vollständige Liste der genutzten KI-Tools mit Klassifikation, Governance-Status und einem Maßnahmenplan für die kritischste Lücke.

Hinweise für AI Champions — So vermitteln Sie das Thema — UE 93

Timing (45 Min): 10 Min Einstieg + Drei-Rollen-Modell, 8 Min Governance-Handbuch (fünf Abschnitte), 7 Min Drei-Stufen-Freigabemodell + EU AI Act, 15 Min Übung 1 (Governance-Entwurf), 5 Min Übung 2 (Compliance-Check, vereinfacht).

Methodische Empfehlung: Starten Sie mit dem Einstiegsszenario aus dem Lerntext (fünf Teams, fünf Tools, niemand ist zuständig). Fragen Sie die Gruppe: „Wer kennt das?” — Erfahrungsgemäß nicken in fast jeder Gruppe mehrere Teilnehmende. Erst dann: „Was hätte eine einfache Governance-Struktur verhindert?” Die Gruppe erarbeitet selbst das Argument für Governance.

Häufige Stolpersteine: Das Drei-Stufen-Freigabemodell wird als Bürokratiehürde wahrgenommen. Deutlich machen: Das Modell legitimiert Grün-Klasse-Nutzung ohne jede Prüfung — es ist ein Enabler, nicht ein Blocker. EU AI Act-Diskussionen können ausufern: Klarer Fokus auf die vier Art.-26-Pflichten halten, keine Detaildiskussionen über Risikokategorien.

Diskussionsfragen für Plenum: „Was passiert, wenn ein Mitarbeitender ein privates ChatGPT-Konto für Kundendaten nutzt — und das in einem Unternehmen ohne Governance-Rahmen?” — Die Antwort führt direkt zum Wert des Governance-Handbuchs. „Wann wäre ein Kill-Switch in Ihrer Organisation notwendig?” — Konkretisiert das Notfall-Prozess-Konzept.

Tafelbild-Vorschlag: Drei Kreise (KI-Beauftragter / Skill-Owner / Compliance-IT) mit Verbindungslinien und Aufgaben an den Verbindungslinien. Darunter: Drei-Farben-Ampel mit je einem Satz-Beschreibung pro Klasse. Dieses Tafelbild bleibt einfach und merkenswert.

Differenzierung Power-User ↔ Einsteiger: Einsteiger: Fokus auf Freigabe-Register und Drei-Stufen-Modell. Power-User: EU AI Act Hochrisiko-Kategorien und DSFA-Anforderungen, Frage der KI-Lieferketten-Transparenz (Vendor-Assessment).

Materialliste: Freigabe-Register-Vorlage (Tabelle mit 8 Spalten), Rollenbeschreibungskarten, EU-AI-Act-Deployer-Checkliste (4 Pflichten, je 3 Prüffragen).

Übergang zur nächsten UE: „Die Governance-Struktur steht — jetzt müssen die Use Cases und die Governance-Meilensteine zeitlich koordiniert werden. Welcher Use Case startet wann? Welche Governance-Voraussetzungen müssen zuerst erfüllt sein? Das ist die Roadmap-Frage — und darum geht es in UE 94.”

Tipp zur Branchenauswahl: In der Finanzdienstleistung ist die BaFin-Dimension relevant — KI-gestützte Empfehlungen an Kunden können regulatorisch als Anlageberatung qualifiziert werden. In der öffentlichen Verwaltung ist die Einbindung des Personalrats/Stadtrats ein Pflichtthema. Für IT-Dienstleister ist das Vendor-Assessment besonders wichtig, da sie selbst als Technologiedienstleister agieren und Kundendaten verarbeiten.

Quelle: KI-Wissensbasis von MindsMachines, Edition Juni 2026. Vollständige Fassung mit Anhängen und Musterlösungen: als PDF anfordern.