Ein KI-Governance-Rahmenwerk aufbauen: von Einzelregeln zur Kontrolle

Kurze Antwort: KI-Governance ist keine Einzelmaßnahme, sondern ein zusammenhängendes System: zu wissen, welche KI man einsetzt, wer verantwortlich ist, welche Regeln gelten, wie man Risiken prüft und wie man nachsteuert. Die KI-Verordnung schreibt die einzelnen Pflichten vor; Normen wie ISO/IEC 42001 und das NIST AI RMF geben die Struktur, um sie beherrschbar zu machen. Sie müssen nicht groß anfangen — aber zusammenhängend.

Warum ein Rahmenwerk und keine Einzelaktionen

Die Pflichten stammen aus mehreren Richtungen zugleich: KI-Kompetenz (Art. 4), Risikomanagement (Art. 9), Pflichten des Betreibers (Art. 26), die Grundrechte-Folgenabschätzung (Art. 27), Monitoring und Vorfallmeldung (Art. 72-73) sowie die DSGVO. Wer diese als einzelne Projekte angeht, erhält Überschneidungen, Lücken und keinen Überblick. Ein Rahmenwerk macht die Pflichten auf eine Reihe von Prozessen und eine Verantwortungslinie zurückführbar.

Die Bausteine

1. Inventarisierung. Erfassen Sie jedes KI-System — auch eingekaufte Tools und generative Assistenten. Siehe KI-Systeminventar.
2. Klassifizierung. Bestimmen Sie je System das Regime: verboten, Hochrisiko, transparenzpflichtig oder minimal. Der Selbstscan tut dies mit Verweis auf die Quelle.
3. Rollen und Eigentümerschaft. Benennen Sie eine verantwortliche Stelle (Leitung, einen KI-Beauftragten oder ein KI-Gremium) und legen Sie je System einen Eigentümer fest. Ohne Eigentümer verwässert jede Maßnahme.
4. Richtlinien. Stellen Sie klare Regeln auf: akzeptable Nutzung, Beschaffung, menschliche Aufsicht, Umgang mit Daten und mit generativer KI.
5. Kompetenz. Sorgen Sie dafür, dass jeder, der mit KI arbeitet, das System versteht — eine geltende Pflicht und die Grundlage wirksamer Aufsicht.
6. Risiko- und Grundrechteprüfung. Kombinieren Sie die FRIA (wo verpflichtend) mit einer DSFA für personenbezogene Daten.
7. Monitoring und Vorfälle. Richten Sie Protokollierung, regelmäßige Evaluierung und einen Meldeweg für schwerwiegende Vorfälle ein.
8. Lebenszyklus und Anbieter. Stellen Sie sicher, dass Updates, Nachtraining und vertragliche Vereinbarungen das System weiter begleiten — siehe KI in Verträgen.

Stützen Sie sich auf eine bestehende Norm

Sie müssen das Rad nicht neu erfinden. ISO/IEC 42001 liefert ein zertifizierbares Managementsystem (AIMS) mit genau diesem Zyklus; das NIST AI RMF ordnet das Risikomanagement in Govern, Map, Measure und Manage. Wer bereits ISO 27001 für die Informationssicherheit betreibt, erkennt die Struktur wieder und kann KI-Governance daran anbinden, statt sie daneben aufzubauen.

Verhältnismäßig beginnen

Stimmen Sie den Aufwand auf Ihr Risiko ab. Eine KMU mit einigen generativen Assistenten kommt mit einem Register, einer Nutzungsrichtlinie und Kompetenz aus. Eine Organisation, die Hochrisiko-Systeme baut oder einsetzt, braucht das volle Paket. Die Reihenfolge ist stets dieselbe: erst sehen, was man hat, dann klassifizieren, dann zuweisen und absichern.

Governance ist kein Dokument, sondern ein Rhythmus: inventarisieren, prüfen, nachsteuern, wiederholen. Die Organisation, die diesen Rhythmus jetzt einrichtet, steht bei jeder neuen Regel — und bei jeder Aufsichtsfrage — nicht vor Überraschungen.