KI-Governance-Framework: Aufbau im Unternehmen

Bausteine eines KI-Governance-Frameworks

Ein tragfähiges Framework muss nicht bürokratisch sein, braucht aber eine klare Struktur. Bewährt haben sich folgende Elemente:

• KI-Richtlinie (AI Policy): ein kurzes, von der Geschäftsleitung verabschiedetes Dokument mit Zielen, Grundsätzen und verbotenen Einsatzzwecken, z. B. keine Eingabe vertraulicher Kundendaten in nicht freigegebene Dienste.
• KI-Inventar: ein Verzeichnis aller eingesetzten KI-Systeme einschließlich eingebetteter KI-Funktionen in Standardsoftware, mit Zweck, Datenarten, Anbieter, fachlich verantwortlicher Person und Risikoklasse.
• Rollen und Gremien: etwa ein KI-Verantwortlicher oder AI Officer, fachliche Systemverantwortliche sowie ein kleines Freigabegremium aus IT-Sicherheit, Datenschutz, Recht und Fachbereich.
• Freigabeprozess: ein definierter Weg vom Antrag über die Risikobewertung bis zur dokumentierten Freigabe, abgestuft nach Risiko.
• Risikomanagement: Methode zur Bewertung KI-spezifischer Risiken wie fehlerhafte Ausgaben, Verzerrungen (Bias), Datenabfluss, Prompt Injection oder Abhängigkeit von einem Anbieter.
• Betrieb und Überwachung: Protokollierung, Leistungskontrolle, Umgang mit Modell-Updates des Anbieters und ein Meldeweg für Auffälligkeiten.
• Kompetenz und Schulung: zielgruppengerechte Schulungen, abgeleitet aus der Pflicht nach Art. 4 EU AI Act, die Entwicklung der KI-Kompetenz des Personals zu fördern.

Referenzrahmen: ISO/IEC 42001 und NIST AI RMF

Unternehmen müssen das Rad nicht neu erfinden. Zwei Rahmenwerke liefern die Struktur:

ISO/IEC 42001:2023 beschreibt ein KI-Managementsystem (AIMS) und ist zertifizierbar. Sie folgt derselben Grundstruktur wie ISO/IEC 27001 – Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung – und enthält in Anhang A Maßnahmen, etwa zur Folgenabschätzung von KI-Systemen, zum Datenmanagement und zum Lebenszyklus. Wer bereits ein ISMS nach ISO/IEC 27001:2022 betreibt, kann Dokumentenlenkung, interne Audits und Managementbewertung weitgehend mitnutzen. Für die Risikomethodik ergänzt ISO/IEC 23894:2023 Leitlinien zum KI-Risikomanagement.

Das NIST AI Risk Management Framework (AI RMF 1.0) aus dem Januar 2023 ist freiwillig und nicht zertifizierbar, aber als Denkmodell sehr hilfreich. Es gliedert sich in vier Funktionen:

In der Praxis bietet sich an, ISO/IEC 42001 als formales Gerüst zu nutzen und das NIST AI RMF als Checkliste für die inhaltliche Risikoarbeit.

Warum ein Framework für den Mittelstand sinnvoll ist

In vielen Unternehmen entsteht KI-Nutzung dezentral: Der Vertrieb testet einen Textgenerator, die Buchhaltung eine Belegerkennung, die Entwicklung einen Code-Assistenten. Ohne Framework fehlt der Überblick, welche Daten wohin fließen und welche Pflichten aus dem EU AI Act gelten. Das Framework schafft diesen Überblick und sorgt dafür, dass gleichartige Fälle gleich entschieden werden. Es erleichtert zudem Kundenanfragen und Lieferantenaudits, in denen zunehmend nach dem Umgang mit KI gefragt wird.

Aufbau in sechs Schritten

1. Bestandsaufnahme: KI-Inventar erstellen, auch für Schatten-KI, die ohne Freigabe genutzt wird.
2. Einordnung: Jedes System der Rolle (Anbieter oder Betreiber) und der Risikoklasse nach EU AI Act zuordnen: verboten, hoch, begrenzt (Transparenz) oder minimal.
3. Rollen festlegen: Verantwortliche benennen und Entscheidungsbefugnisse dokumentieren, z. B. in einer RACI-Matrix.
4. Richtlinie und Freigabeprozess einführen: mit schlanker Variante für risikoarme Werkzeuge und vertiefter Prüfung inklusive Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, wo erforderlich.
5. Kontrollen verankern: technische Vorgaben (Zugriffsrechte, Protokollierung, Datenklassifizierung) und vertragliche Anforderungen an KI-Anbieter.
6. Überprüfen und verbessern: jährliche Bewertung des Frameworks, interne Audits und Anpassung an Änderungen der Rechtslage.

Beachten Sie bei Hochrisiko-Systemen die durch den Digital Omnibus (in Kraft seit 27. Juli 2026) geänderten Fristen: Hochrisiko-KI nach Anhang III gilt ab 2. Dezember 2027, Hochrisiko-KI in regulierten Produkten nach Anhang I ab 2. August 2028. Die Transparenzpflichten nach Art. 50 gelten bereits seit 2. August 2026.

Fazit

Ein KI-Governance-Framework macht den KI-Einsatz steuerbar: klare Rollen, ein aktuelles Inventar und ein risikobasierter Freigabeprozess sind der Kern. SecTepe unterstützt beim Aufbau, insbesondere bei der Integration in ein bestehendes ISMS nach ISO/IEC 27001.

Häufige Fragen

Brauchen wir eine Zertifizierung nach ISO/IEC 42001?

Gesetzlich ist sie nicht vorgeschrieben. Sie kann aber sinnvoll sein, wenn Kunden einen Nachweis verlangen oder Sie selbst KI-Produkte anbieten. Viele Unternehmen orientieren sich zunächst an der Norm, ohne sich zertifizieren zu lassen.

Wie unterscheidet sich das Framework von der Rolle der Geschäftsführung?

Das Framework beschreibt Struktur, Prozesse und Rollen. Die Geschäftsleitung verabschiedet es, stellt Ressourcen bereit und trägt die Gesamtverantwortung – die operative Umsetzung liegt bei den benannten Rollen.