KI braucht Führung, nicht nur Werkzeuge

Projekte mit Künstlicher Intelligenz scheitern selten an der Technik. Sie scheitern daran, dass niemand klar festlegt, wer entscheidet, wer haftet und wer eingreift, wenn etwas schiefläuft.

Lange galt Künstliche Intelligenz (KI) als Thema für Entwicklungsteams und Innovation Labs. Abteilungen experimentierten mit Chatbots, automatisierten Prozesse im Kleinen, testeten Sprachmodelle auf Skalierbarkeit. Die Frage nach Zuständigkeit blieb dabei nicht selten offen – nach dem Motto: Erst schauen, ob es funktioniert, dann regeln.

Dieses Vorgehen funktioniert nicht mehr. KI-Systeme sind in vielen Unternehmen heute produktiv im Einsatz. Sie unterstützen Recruiting-Entscheidungen, analysieren Kundenverhalten, generieren Vertragsvorlagen, steuern Qualitätssicherungsprozesse. Damit verschiebt sich die Frage grundlegend. Es geht nicht mehr darum, ob KI eingesetzt werden soll – sondern wer dafür geradestehen muss.

Der EU AI Act ist seit Sommer 2024 in Kraft, die Pflichten greifen gestaffelt. Für Unternehmen, die KI-Systeme einsetzen oder entwickeln, bedeutet das: Anwendungen müssen klassifiziert, dokumentiert und überwacht werden. Manche Anwendungen sind Stand heute schon verboten. Hochrisikosysteme – etwa im Bereich "Human Resources (HR)" oder in der Kreditvergabe – unterliegen ab Sommer 2026 strengen Anforderungen an Transparenz, menschliche Aufsicht und technische Robustheit.

Was in der Praxis fehlt, ist oft nicht das Bewusstsein, dass es Anforderungen gibt, sondern die Übersetzung in konkrete Zuständigkeiten. Wer prüft, ob ein eingesetztes KI-Modell in den Hochrisikobereich fällt? Wer dokumentiert die Trainingsdaten? Wer entscheidet, ob ein System abgeschaltet wird, wenn es fehlerhafte Outputs produziert? Diese Fragen landen häufig gleichzeitig auf den Tischen von IT, Legal und Compliance – ohne dass klar ist, wer das letzte Wort hat.

Governance beginnt mit einer Bestandsaufnahme

Ein sinnvoller erster Schritt ist die Inventarisierung. Viele Unternehmen wissen nicht genau, welche KI-Systeme tatsächlich im Einsatz sind – inklusive eingekaufter Software-as-a-Service-Lösungen (SaaS), die KI-Funktionen im Hintergrund nutzen. Eine vollständige Liste dieser Systeme, ihrer Zwecke und der verarbeiteten Datenkategorien ist die Grundlage jeder belastbaren Governance-Struktur. Parallel dazu braucht es eine Risikoklassifizierung. Nicht jeder Algorithmus ist gleich kritisch. Ein System, das Texte zusammenfasst, ist anders zu behandeln als eines, das Kreditwürdigkeit bewertet. Die Klassifizierung bestimmt, welche Maßnahmen – Dokumentation, Audits, menschliche Kontrollinstanzen – notwendig sind.

Governance-Dokumente ohne Verantwortliche sind wertlos. Bewährt hat sich die Einrichtung einer klaren Rolle – ob intern als AI Governance Officer, als Erweiterung bestehender Compliance-Funktionen oder als interdisziplinäres Gremium. Entscheidend ist, dass diese Stelle nicht nur berät, sondern tatsächlich Entscheidungsbefugnis hat: über den Einsatz neuer Systeme, über Risikobewertungen, über das Einleiten von Maßnahmen bei Problemen.

Erfahrungen aus der Beratungspraxis zeigen, dass viele Organisationen bereits funktionierende Datenschutzstrukturen haben, die sich als Ausgangspunkt eignen. Datenschutzbeauftragte kennen Prozesse zur Risikofolgenabschätzung, zur Dokumentation und zur internen Kommunikation. Diese Strukturen lassen sich oft auf KI-Governance ausweiten, ohne von Null anzufangen.

Der Mensch darf nicht ausgeklammert werden

Technische und rechtliche Rahmenbedingungen allein reichen nicht. KI-Systeme werden von Menschen genutzt, und deren Verhalten beeinflusst maßgeblich, ob Governance-Anforderungen in der Praxis greifen. Das bedeutet: Mitarbeiter müssen verstehen, welche Systeme sie nutzen, welche Entscheidungen das System trifft und wann eine menschliche Überprüfung notwendig ist.

Das ist einerseits eine Frage von Schulungen – Stichwort: "Pflichtschulung für KI-Kompetenz". Andererseits geht es darum, Nutzungsregeln konkret und verständlich zu formulieren – am besten kontextbezogen, also dort, wo das System eingesetzt wird. Eine allgemeine KI-Policy im Intranet ist ein Anfang, reicht aber noch nicht aus. Wirksamer sind klare Handlungsanweisungen direkt im jeweiligen Prozess: Was darf das System entscheiden? Wann muss eine Führungskraft zustimmen? Was ist zu tun, wenn ein Output fragwürdig erscheint?

Struktur steht vor Tempo

Der Druck, Künstliche Intelligenz schnell und breit einzusetzen, ist real. Gleichzeitig steigen regulatorische Anforderungen und die Komplexität der Systeme. Unternehmen, die beides unter einen Hut bringen wollen, kommen nicht umhin, Governance-Strukturen aufzubauen, bevor weitere Systeme ausgerollt werden.

Das muss kein bürokratischer Kraftakt sein. Bestandsaufnahme, Klassifizierung, klare Zuständigkeiten und verständliche Nutzungsregeln – das sind handhabbare Schritte, die sich auch in bestehende Compliance-Prozesse integrieren lassen. Wer diese Hausaufgaben macht, ist nicht nur regulatorisch besser aufgestellt, sondern gewinnt intern auch Vertrauen: bei Mitarbeitern, bei der Kundschaft, bei den Aufsichtsbehörden.