KI-Governance: Zuständigkeiten und Kontrolle im Alltag

Was KI-Governance im Arbeitsalltag regelt

Eine Organisation muss nicht nur fragen, ob ein KI-Werkzeug verfügbar ist. Sie muss auch wissen, wofür es eingesetzt werden darf, wer Änderungen freigibt und was bei einem Fehler passiert. Diese Entscheidungen verbinden fachliche Ziele, technische Möglichkeiten und die Anforderungen des konkreten Betriebs.

Als Orientierung beschreibt das NIST AI Risk Management Framework 1.0 die Funktionen govern, map, measure und manage. Governance wirkt dabei übergreifend. Die Funktionen sind ausdrücklich keine starre Schrittfolge und keine allgemeine Compliance-Checkliste. Die gelesene Seite weist darauf hin, dass Version 1.0 überarbeitet wird.

Die folgenden Vorlagen sind eigene praktische Arbeitshilfen. Sie sind weder ein Gesetzestext noch ein Zertifikat und belegen nicht automatisch die Freigabe eines konkreten Systems. Für den Anfang genügt ein klar begrenzter Anwendungsfall, an dem sich Zuständigkeit und Kontrolle tatsächlich überprüfen lassen.

Mit einem kleinen KI-Inventar beginnen

Anwendung und verwendetes Konto:
Aufgabe und vorgesehene Nutzer:
Modell, Werkzeuge und externe Dienste:
Erlaubte Eingaben und ausgeschlossene Daten:
Ausgaben und mögliche Aktionen:
Verantwortliche Stelle und Vertretung:
Fachliche Prüfung und technischer Betrieb:
Aktueller Status: Idee / Test / begrenzt freigegeben / gestoppt
Datum, Bedingungen und nächste Überprüfung:

Notiere mehr als den Markennamen. Dieselbe Anwendung kann je nach Konto, Verbindung oder freigeschaltetem Agenten einen anderen Datenweg und andere Handlungsmöglichkeiten haben. Nicht abgestimmte Nutzung wird im Beitrag zu Shadow AI eingeordnet.

Eigener fiktiver Fall: Team Nord möchte Entwürfe für interne Supportantworten erstellen. Der erste Versuch verwendet nur selbst geschriebene Beispieltexte. Der Ablauf sendet keine Antworten automatisch. Werkzeug und Betriebsfreigabe sind noch offen. Dieses Inventar beschreibt einen Plan, keine bereits genehmigte Anwendung.

Wer entscheidet, prüft und stoppt?

Eine Person kann je nach Betrieb mehrere Aufgaben übernehmen. Die Befugnisse müssen trotzdem eindeutig sein. Ein Gremium ohne Entscheidungsrecht hilft wenig, wenn bei einem Fehler niemand handeln kann. Ein KI-Komitee kann bei mehreren Bereichen sinnvoll sein; es ist nicht automatisch die passende Form für jeden kleinen Einsatz.

Die Kommissions-FAQ zu KI-Kompetenz leitet für Artikel 4 weder ein besonderes Zertifikat noch eine bestimmte Governance-Struktur ab. Daraus folgt keine pauschale Aussage über sämtliche Pflichten eines Unternehmens. Prüfe Rolle, Anwendung und geltenden Rechtsstand für den tatsächlichen Fall.

Regeln in überprüfbare Grenzen übersetzen

„Verantwortungsvoll arbeiten“ ist als Alltagshilfe zu unbestimmt. Eine brauchbare Regel nennt die Situation und den nächsten Schritt. Zum Beispiel: Für diesen Pilot werden ausschließlich die freigegebenen Beispieltexte verwendet. Die Anwendung erhält keinen Zugang zum Kundensystem. Vor einer realen Verwendung wird jeder Entwurf fachlich geprüft.

Verbinde solche Regeln mit der Technik. Wenn ein Ablauf keine Nachrichten versenden soll, braucht er für den Versuch keine Versandberechtigung. Wenn nur ein Übungsordner gebraucht wird, ist eine Freigabe des ganzen Laufwerks unnötig. Die KI-Richtlinie fürs Unternehmen fasst verständliche Regeln und Meldewege zusammen.

Berücksichtige auch Änderungen: Ein neuer Konnektor, ein anderes Modell oder zusätzliche Daten können die bisherige Freigabe verändern. Halte fest, welche Änderung eine neue Prüfung auslöst. Ein einmal ausgefülltes Blatt ersetzt diese laufende Verantwortung nicht.

Einen Pilot nachvollziehbar freigeben

Anwendungsfall und Version:
Geprüfte Eingaben und erwartete Ergebnisse:
Beobachtete Fehler und verbleibende Grenzen:
Erlaubter Umfang und ausdrücklich ausgeschlossene Aktionen:
Bedingungen vor realer Nutzung:
Verantwortliche Entscheidung und fachliche Prüfung:
Stoppsignal und erreichbare Ansprechperson:
Ersatzablauf bei Ausfall oder Stopp:
Voraussetzungen einer Wiederaufnahme:
Datum und nächste Überprüfung:

Im fiktiven Beispiel könnte das Prüfkriterium lauten: Der Entwurf erhält alle vorgegebenen Fakten und ergänzt keine Zusagen. Ein erfundener bestätigter Termin wäre ein Anlass, den Versuch anzuhalten und die Ursache zu untersuchen. Das ist eine selbst gewählte Regel für diesen Übungsfall, keine universelle statistische Freigabeschwelle.

Wenn du ein KI-Pilotprojekt planen möchtest, lege Fälle und erwartete Antworten vor dem Versuch fest. Dokumentiere anschließend echte Beobachtungen. Eine schöne Demo darf die Kriterien nicht nachträglich so verändern, dass sie automatisch besteht.

Schulung und Überprüfung passend zur Aufgabe

Qualifizierung wird konkret, wenn eine Person den benötigten Arbeitsschritt sicher beurteilen kann. Für einen Textentwurf heißt das etwa: Fakten von Änderungen unterscheiden, Quellen öffnen und eine unbelegte Ergänzung erkennen. Für einen Workflow kommen Datenfelder, Rechte, Fehler und Freigaben hinzu.

Wähle Lernziele nach Aufgabe und Vorwissen. Die Kommissions-FAQ empfiehlt kontextbezogene Maßnahmen und nennt interne Aufzeichnungen zu Schulungen oder anderen Anleitungen als möglichen Nachweisweg. Sie stellt keine allgemeine Regel auf, dass ein bestimmter Kurs oder ein einzelnes Zertifikat jeden Einsatz rechtssicher mache.

Prüfe nach einer Änderung nicht nur die Technik, sondern auch die Anleitung: Wissen die Beteiligten noch, welche Daten erlaubt sind und wen sie bei einem Problem erreichen? Halte offene Fragen fest und plane eine erneute Überprüfung. Ein funktionierender Prozess zeigt sich daran, dass diese Entscheidungen im Alltag ausführbar bleiben.