KI-Governance: Klarheit darüber, wie Ihr Unternehmen KI nutzt.

KI-Governance ist das Zusammenspiel aus Regeln, Rollen und Kontrollen, mit dem ein Unternehmen festlegt, wie KI eingesetzt wird, wer verantwortlich ist und wie Risiken beherrscht werden. Konkret: eine KI-Richtlinie, ein Verzeichnis der KI-Anwendungen, eine verantwortliche Person je Anwendung, KI-Kompetenz der Mitarbeitenden und eine regelmäßige Überprüfung. Im Mittelstand passt das auf wenige Seiten und einen festen Termin.

KI-Compliance bedeutet, dass Ihr Einsatz von KI die geltenden Regeln einhält: die KI-Verordnung (EU AI Act), die DSGVO, Verträge mit Kunden und Lieferanten und Ihre eigenen Richtlinien. KI-Governance ist das System, mit dem Sie das dauerhaft sicherstellen: Sie wissen, welche KI läuft, wer verantwortlich ist und welche Pflichten je Anwendung gelten.

Eine KI-Richtlinie ist die Arbeitsanweisung für Mitarbeitende: welche Tools erlaubt sind, welche Daten nie hineingehören und wo ein Mensch prüft. KI-Governance ist das System darum herum: wer die Richtlinie pflegt, wie Sie neue Anwendungen bewerten, wie Sie KI-Kompetenz aufbauen und wie Sie nachsteuern. Die KI-Richtlinie ist also ein Teil der KI-Governance.

Eine KI-Richtlinie für ein mittelständisches Unternehmen beantwortet sieben Fragen: wofür Sie KI einsetzen und für wen die Richtlinie gilt (auch für Freelancer und Praktikanten), welche Tools erlaubt sind, welche Daten nie hineindürfen, welche Ergebnisse ein Mensch prüft, wann Sie Kunden sagen, dass sie es mit KI zu tun haben, welche Einweisung oder Schulung jede Rolle erhält und wer das Verzeichnis pflegt und wie oft Sie die Richtlinie überprüfen. Das passt auf zwei Seiten.

Ja. Art. 4 der KI-Verordnung gilt seit dem 2. Februar 2025 für alle, die KI einsetzen. Seit dem 27. Juli 2026 gilt durch den Digital Omnibus zur KI (Verordnung (EU) 2026/1744) eine abgeschwächte Fassung: Sie ergreifen Maßnahmen, um die KI-Kompetenz Ihrer Mitarbeitenden zu fördern, müssen aber kein bestimmtes Niveau garantieren. Gar nichts zu tun, reicht nicht. Ein Zertifikat ist nicht nötig; eine interne Übersicht über Schulungen und Einweisungen genügt.

Beginnen Sie beim Verzeichnis: Wer nutzt welche KI-Tools, wofür? Legen Sie je Rolle fest, was jemand wissen muss: was ein Tool kann und was nicht, wann Ergebnisse geprüft werden müssen, welche Daten nicht in öffentliche Tools gehören, was eine Halluzination ist und wer verantwortlich ist, wenn KI einen Fehler macht. Bieten Sie eine Schulung an, die zur Rolle passt, dokumentieren Sie, wer welche Einweisung erhalten hat, und wiederholen Sie das, wenn sich Tools oder Aufgaben ändern. Für die niederländische Gemeinde Twenterand haben wir eine solche Schulung für Referenten, Kommunikationsfachleute und Verwaltungskräfte durchgeführt, mit dem Schwerpunkt auf dem sicheren Einsatz von KI im Arbeitsalltag.

Die KI-Verordnung selbst nennt für Art. 4 kein eigenes Bußgeld. Durchgesetzt wird die Pflicht von nationalen Marktüberwachungsbehörden, die jeder Mitgliedstaat benennt. Nach Angaben der EU-Kommission beaufsichtigen sie die Regeln seit dem 2. August 2026 und können bei Verstößen Sanktionen verhängen. Welche Behörde zuständig ist und welche Maßnahmen möglich sind, regelt das nationale Recht. Die Pflicht selbst gilt bereits, weil die Verordnung unmittelbar anwendbar ist.

Für die meisten mittelständischen Unternehmen ist die KI-Verordnung beherrschbar. Sie sind meist Betreiber, nicht Anbieter, und die meisten Anwendungen haben ein minimales oder begrenztes Risiko. Was gilt: KI-Kompetenz fördern, kenntlich machen, wenn Kunden mit Ihrer KI sprechen oder realistische KI-generierte Bilder sehen, und die verbotenen Praktiken meiden. Die strengen Anforderungen an Hochrisiko-KI, etwa KI im Recruiting oder bei der Kreditwürdigkeitsprüfung, gelten ab dem 2. Dezember 2027, für KI in Produkten ab dem 2. August 2028.

Ein KI-Governance-Framework ist die feste Struktur, in der Sie KI-Governance festhalten: Prinzipien, Rollen, ein Verzeichnis, Risikobewertung, Kontrollen und Überprüfung. Bekannte Rahmenwerke sind ISO/IEC 42001, die internationale Norm für ein KI-Managementsystem, und das freiwillige AI Risk Management Framework des US-amerikanischen NIST. Für ein mittelständisches Unternehmen ist eine Zertifizierung selten das Ziel; ein solcher Rahmen dient vor allem als Checkliste. Die sechs Schritte auf dieser Seite sind ein praxistauglicher Anfang.

Die Geschäftsführung trägt die Gesamtverantwortung, nicht die IT allein. Je Anwendung benennen Sie eine verantwortliche Person aus dem Fachbereich, die festlegt, was die KI tut, und prüft, ob sie funktioniert. Größere Unternehmen ernennen manchmal einen Chief AI Officer; im Mittelstand ist eine Vollzeitrolle oft zu groß, und ein externer Partner kann sie teilweise übernehmen.

Gesetzlich nicht. Der KI-Beauftragte ist eine Rolle, keine Pflicht: Laut EU-Kommission schreibt Art. 4 der KI-Verordnung keine bestimmte Governance-Struktur vor, also weder einen KI-Beauftragten noch ein KI-Gremium. Sinnvoll sein kann die Rolle trotzdem, als Ansprechperson, die das Verzeichnis pflegt, die KI-Richtlinie aktuell hält und Schulungen koordiniert. Im Mittelstand ist das meist eine Teilaufgabe einer bestehenden Funktion, keine eigene Stelle.

Nicht mit einem Verbot: Dann hören Mitarbeitende nicht auf, sie verbergen die Nutzung, und Sie verlieren den Überblick. Was funktioniert: erfassen, welche Tools laufen, ohne jemanden für die Antwort zu bestrafen, eine kurze Regel dazu, welche Daten in KI-Tools dürfen und welche nicht, und ein offizieller Weg mit Business-Tools, der schneller ist als der inoffizielle.

Nein. Innoworks ist ein KI-Implementierungspartner, keine Anwaltskanzlei. Wir erfassen, welche KI läuft, richten Richtlinie, Schulung und Prozesse ein und bauen die Anwendungen. Für eine rechtliche Prüfung, etwa einer Hochrisiko-Anwendung oder eines Vertrags, arbeiten Sie mit einer Rechtsberatung zusammen; wir sorgen dafür, dass die Praxis zu deren Empfehlung passt.

Das hängt von der Größe Ihres Unternehmens ab und davon, was bereits geregelt ist. Wir arbeiten in Schritten mit festem Umfang und Preis je Schritt, meist beginnend mit einem KI-Audit. In einem unverbindlichen Erstgespräch erhalten Sie eine Einschätzung für Ihr Unternehmen.