Governance beginnt nicht mit einem dicken Handbuch

In vielen Unternehmen wird generative KI verwendet, bevor ein offizielles Projekt startet. Mitarbeiter testen öffentliche Werkzeuge, bearbeiten Texte oder fassen Dokumente zusammen. Ein vollständiges Verbot schafft selten dauerhaft Kontrolle. Hilfreicher sind verständliche Regeln und freigegebene Alternativen.

Governance bedeutet: Das Unternehmen weiß, welche Systeme wofür eingesetzt werden, wer verantwortlich ist, welche Daten zulässig sind und wann ein Mensch entscheiden muss.

Die minimale Governance-Basis

Ein KMU sollte mindestens festlegen:

  • verantwortliche Person für KI-Themen,
  • Liste freigegebener Werkzeuge und Kontotypen,
  • Regeln für öffentliche, interne, vertrauliche und personenbezogene Daten,
  • Aufgaben, die nicht an KI delegiert werden dürfen,
  • notwendige menschliche Freigaben,
  • Anlaufstelle für Fehler und Unsicherheit,
  • Schulung der betroffenen Mitarbeiter.

Diese Basis kann auf wenigen verständlichen Seiten dokumentiert sein.

Ein einfaches KI-Systeminventar

Jeder produktive Einsatz erhält einen Eintrag:

  • Name des Systems,
  • Anbieter,
  • Zweck,
  • Nutzergruppe,
  • verarbeitete Daten,
  • verbundene Systeme,
  • mögliche Auswirkungen,
  • verantwortliche Person,
  • Freigaberegel,
  • Datum der letzten Prüfung.

Das Inventar verhindert Schattenlösungen und ist Ausgangspunkt für Datenschutz, AI Act, Sicherheit und Wartung.

AI Literacy praktisch umsetzen

Die EU-Kommission erklärt, dass die Verpflichtung zu Maßnahmen für KI-Kompetenz seit 2. Februar 2025 gilt. Sie betrifft Anbieter und Betreiber von KI-Systemen und soll technische Kenntnisse, Erfahrung, Ausbildung und Einsatzkontext berücksichtigen. 1

Eine reine Prompt-Schulung reicht nicht. Mitarbeiter müssen:

  • typische Fehler und erfundene Aussagen erkennen,
  • Quellen prüfen,
  • sensible Daten schützen,
  • erlaubte Werkzeuge kennen,
  • wissen, wann sie nicht automatisieren dürfen,
  • Unsicherheit dokumentieren und eskalieren.

Schulung sollte rollenspezifisch sein. Eine Marketingmitarbeiterin braucht andere Beispiele als Buchhaltung oder IT.

Datenregeln, die im Alltag funktionieren

Eine praktikable Klassifizierung kann vier Stufen haben:

Öffentlich

Bereits veröffentlichte Websiteinhalte oder Broschüren. Nutzung in freigegebenen Tools ist meist unkritischer.

Intern

Normale Betriebsinformationen ohne besondere Vertraulichkeit. Nur in vertraglich geprüften Unternehmenskonten.

Vertraulich

Angebote, Kalkulationen, Geschäftsgeheimnisse oder nicht veröffentlichte Kundendaten. Verarbeitung nur in ausdrücklich freigegebenen Systemen und Prozessen.

Besonders schutzwürdig

Sensible personenbezogene Daten, Passwörter, Zugangsschlüssel oder hochkritische Informationen. Grundsätzlich nicht in allgemeine KI-Tools; eigene Prüfung und Schutzmaßnahmen erforderlich.

Die österreichische Datenschutzbehörde weist darauf hin, dass die Übermittlung an Anbieter oder Dritte zu unrechtmäßiger Offenlegung und Preisgabe von Geschäftsgeheimnissen führen kann. 3

Risikobasierte Freigaben

Nicht jeder Einsatz braucht dasselbe Verfahren.

Niedriges Risiko:

  • Brainstorming mit öffentlichen Informationen,
  • sprachliche Überarbeitung unkritischer Texte,
  • interne Entwürfe ohne personenbezogene Daten.

Mittleres Risiko:

  • Zusammenfassung interner Dokumente,
  • Klassifikation von Kundenanfragen,
  • Wissensassistent mit geschützten Quellen.

Hohes Risiko:

  • Personalentscheidungen,
  • Bonitäts- oder Vertragsentscheidungen,
  • autonome Zahlungen oder Bestellungen,
  • Verarbeitung sensibler Daten,
  • Systeme mit rechtlich erheblicher Wirkung.

Je höher das Risiko, desto stärker sind fachliche, rechtliche und technische Prüfung.

Produktive Automatisierung braucht mehr

Für KI-Assistenten und Agents kommen hinzu:

  • klarer Systemzweck,
  • minimale Berechtigungen,
  • versionierte Prompts und Modelle,
  • repräsentative Testfälle,
  • Qualitätskennzahlen,
  • Protokollierung,
  • Rückfallweg,
  • Vorfallsprozess.

NIST strukturiert freiwilliges KI-Risikomanagement in Governance, Kontextanalyse, Messung und Management. 2 Für KMU ist das kein Zwang zu US-Formalismen, aber ein nützlicher Denkrahmen.

Wer entscheidet was?

Eine einfache Rollenverteilung:

Geschäftsverantwortlicher

Definiert Zweck, Nutzen und akzeptables Risiko.

Fachverantwortlicher

Legt erwartete Ergebnisse fest und prüft Qualität.

Technischer Betreiber

Verantwortet Integration, Rechte, Tests, Monitoring und Updates.

Datenschutz beziehungsweise Rechtsberatung

Prüft relevante rechtliche Fragen.

Nutzer

Verwenden das System im freigegebenen Rahmen und melden Fehler.

In einem kleinen Unternehmen können mehrere Rollen bei einer Person liegen. Sie sollten trotzdem ausdrücklich benannt werden.

Governance soll Veränderung ermöglichen

Ein guter Prozess unterscheidet:

  • kleine Text- oder Darstellungsänderung,
  • neuer Dokumenttyp,
  • neue Datenquelle,
  • neues Modell,
  • zusätzliche Schreibberechtigung,
  • neuer geschäftskritischer Anwendungsfall.

Nicht jede Änderung braucht ein Projektgremium. Aber jede relevante Erweiterung muss erkennen lassen, wer sie geprüft und freigegeben hat.

Die EU-Kommission pflegt einen aktualisierten Überblick zum AI Act und dessen stufenweisem Zeitplan. 4 Governance sollte deshalb regelmäßig überprüft werden, statt einmalig erstellt zu bleiben.

Ein 30-Tage-Startplan

Woche 1

Verwendete Werkzeuge und aktuelle Schattennutzung erfassen.

Woche 2

Datenklassen, erlaubte Werkzeuge und verbotene Aufgaben definieren.

Woche 3

Mitarbeiter anhand realer Fälle schulen und Ansprechpartner benennen.

Woche 4

Ersten produktiven Anwendungsfall inventarisieren, testen und mit Freigaberegel versehen.

Gute Governance schafft einen sicheren Handlungsspielraum. Sie soll verantwortungsvolle Nutzung ermöglichen, nicht Experimente verhindern.

Fazit

Pragmatische KI-Governance für KMU besteht nicht aus maximaler Bürokratie. Sie besteht aus Transparenz, klaren Datenregeln, verantwortlichen Rollen, passender Schulung und stärkeren Kontrollen für produktive Systeme.

Damit kann ein Unternehmen KI aktiv nutzen, ohne Verantwortung an ein Tool oder einen Anbieter abzugeben.

Nachvollziehbar belegt

Quellen und weiterführende Dokumente

Geprüft am 28. Juli 2026
  1. 1
    Europäische KommissionAI talent, skills and literacyVeröffentlicht/aktualisiert: 2026
  2. 2
  3. 3
    Österreichische DatenschutzbehördeKünstliche Intelligenz & DatenschutzVeröffentlicht/aktualisiert: 2026
  4. 4
    Europäische KommissionNavigating the AI ActVeröffentlicht/aktualisiert: 2026

Bei Rechts- und Datenschutzthemen dient der Artikel der Orientierung und ersetzt keine individuelle rechtliche Beratung.