AI Governance ist kein Compliance-Projekt: So wird sie zum Wettbewerbsvorteil
7 Fragen, die Unternehmen vor dem nächsten KI-Projekt beantworten sollten
KI ist in Unternehmen angekommen. Sie schreibt Texte, analysiert Dokumente, unterstützt den Kundenservice, priorisiert Fälle und wird zunehmend Teil von Entscheidungen.
Damit verändert sich auch die Aufgabe von Governance. Statt «Darf unser Unternehmen KI einsetzen?», sollte «Was müssen wir klären, bevor eine KI-Anwendung produktiv eingesetzt werden kann?» im Vordergrund stehen.
Genau hier setzt AI Governance an. Nicht als zusätzliche Kontrollinstanz am Ende eines Projekts, sondern als Rahmen für Daten, Risiken, Verantwortlichkeiten und den laufenden Betrieb. Gut aufgesetzt kann Governance dabei helfen, KI-Anwendungen schneller und verlässlicher einzuführen.
Von Kontrollinstanz zum Skalierungsmodell
In vielen Unternehmen kommt Governance zu spät. Ein Fachbereich testet ein neues Tool. IT prüft die Integration. Danach folgen Datenschutz, Informationssicherheit oder Legal. Erst dann wird sichtbar, dass Daten nicht wie geplant verarbeitet werden dürfen, Zugriffsrechte unklar sind oder niemand eindeutig für den Einsatz verantwortlich ist. Das kostet Zeit.
Ein belastbares Governance-Modell setzt deshalb früher an. Es schafft einen gemeinsamen Prozess für Fragen, die bei jeder KI-Anwendung gestellt werden müssen:
- Welchen Zweck verfolgt die Anwendung?
- Welche Daten werden verarbeitet?
- Welche Risiken entstehen?
- Welche Kontrollen sind erforderlich?
- Wer entscheidet über Einführung, Betrieb und Beendigung?
Damit muss nicht jedes KI-Projekt dieselben Fragen von Grund auf neu beantworten.
Governance wird zur Infrastruktur für KI.
Warum das Thema jetzt relevant ist
Für Unternehmen mit Aktivitäten im EU-Markt gewinnt das Thema zusätzlich an Bedeutung. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 des EU AI Act. Sie betreffen unter anderem bestimmte interaktive KI-Systeme und Anforderungen an die Kennzeichnung KI-generierter oder manipulierter Inhalte. Die Europäische Kommission hat dazu inzwischen konkrete Leitlinien veröffentlicht.
So müssen bestimmte KI-Systeme Nutzerinnen und Nutzer darüber informieren, dass sie mit KI interagieren. Für bestimmte KI-generierte oder manipulierte Inhalte sind maschinenlesbare Kennzeichnungen vorgesehen; für Deepfakes gelten zusätzliche Offenlegungspflichten. Die Anforderungen für Hochrisiko-KI sind davon zu unterscheiden und gelten nach dem aktuellen Zeitplan zu späteren Zeitpunkten. Für Hochrisiko-Systeme nach Anhang III ist die Anwendung grundsätzlich ab 2. Dezember 2027 vorgesehen.
Für Schweizer Unternehmen bedeutet das nicht automatisch, dass der gesamte EU AI Act gilt. Entscheidend sind, unter anderem, die Rolle des Unternehmens, das konkrete KI-System und dessen Einsatz beziehungsweise Angebot im EU-Kontext.
Die Konsequenz ist trotzdem klar: KI-Governance sollte nicht erst dann beginnen, wenn eine regulatorische Prüfung ansteht.
7 Fragen vor dem nächsten KI-Projekt
1. Welche Daten verarbeitet das System?
Nicht mit dem Modell beginnen. Mit den Daten beginnen.
Kläre:
- Werden personenbezogene Daten verarbeitet?
- Enthalten die Daten besonders schützenswerte Informationen?
- Werden vertrauliche Kunden- oder Unternehmensdaten verwendet?
- Werden Daten für Training, Feinabstimmung oder nur zur Laufzeit verarbeitet?
- Wie lange werden Eingaben, Ausgaben und Protokolle gespeichert?
- Werden Daten an externe Anbieter oder Subdienstleister übermittelt?
- Werden Daten in Länder ausserhalb der Schweiz oder des EWR übertragen?
Diese Fragen bestimmen wesentlich, welche Datenschutz-, Sicherheits- und Vertragsanforderungen gelten.
Praxisregel: Für jede KI-Anwendung sollte nachvollziehbar sein, welche Daten wohin fliessen und wer darauf zugreifen kann.
2. Wo werden Modelle und Daten verarbeitet?
«Die Daten liegen in der Cloud» ist keine ausreichende Antwort. Unternehmen sollten wissen:
- Wo werden Daten verarbeitet?
- Wo befinden sich Modelle, Backups und Logs?
- Welche Subdienstleister sind beteiligt?
- Wer kann auf die Daten zugreifen?
- Wie werden Daten während der Übertragung und Speicherung geschützt?
- Werden Kundendaten für das Training allgemeiner Modelle verwendet?
- Was passiert mit den Daten nach Vertragsende?
Die technische Architektur spielt dabei eine ebenso grosse Rolle wie der Vertrag mit dem Anbieter.
Hosting, Datenflüsse und Subdienstleister sollten vor der Freigabe dokumentiert und bei wesentlichen Änderungen geprüft werden.
3. Welche Entscheidungen darf die KI selbst treffen?
Nicht jede KI-Anwendung braucht dieselben Kontrollen. Entscheidend ist ihre Wirkung. Gibt die KI lediglich einen Vorschlag ab? Oder kann sie selbst eine Zahlung auslösen, einen Zugang verändern, eine Kundenkommunikation verschicken oder eine Entscheidung mit Auswirkungen auf eine Person beeinflussen?
Eine einfache Unterscheidung hilft:
Je höher die möglichen Auswirkungen, desto klarer müssen die Grenzen, Kontrollen und Eskalationswege definiert sein.
4. Wie werden Ergebnisse überprüft?
KI kann überzeugende, aber falsche oder unvollständige Antworten erzeugen. Das gilt auch dann, wenn ein System mit Unternehmensdaten arbeitet. Deshalb braucht jede Anwendung ein definiertes Prüfniveau. Zum Beispiel:
- Interner Entwurf: Plausibilitätsprüfung durch die nutzende Person
- Kundenkommunikation: Prüfung durch eine fachlich verantwortliche Person
- Rechtliche oder sicherheitsrelevante Aussagen: zusätzliche Freigabe durch die zuständige Stelle
- Entscheidungsrelevante Empfehlung: dokumentierte menschliche Entscheidung
Fehler lassen sich bei KI-Systemen nicht vollständig ausschliessen. Umso wichtiger ist zu klären, wie Fehler erkannt, bewertet und korrigiert werden, und wer dafür verantwortlich ist.
5. Wer trägt die Verantwortung?
Eine KI übernimmt keine organisatorische Verantwortung. Für jede Anwendung sollte deshalb klar sein:
- Wer ist fachlich verantwortlich?
- Wer genehmigt den Einsatz?
- Wer ist für Datenschutz und Informationssicherheit zuständig?
- Wer überwacht die Anwendung?
- Wer entscheidet über Änderungen am Modell oder an den Daten?
- Wer kann die Anwendung ausser Betrieb nehmen?
- Wer reagiert bei einem Vorfall?
Verantwortung darf nicht zwischen Fachbereich, IT, Einkauf und Anbieter verloren gehen. Eine einfache Rollenmatrix kann helfen. Entscheidend ist nicht die Form, sondern dass Verantwortlichkeiten tatsächlich zugewiesen sind.
6. Wie wird die Nutzung dokumentiert?
Ein KI-Register klingt zunächst nach zusätzlicher Administration. In der Praxis kann es genau das Gegenteil bewirken. Wenn Anwendungen, Modelle, Daten, Verantwortlichkeiten und Freigaben zentral dokumentiert sind, müssen diese Informationen nicht für jedes Projekt neu zusammengesucht werden.
Ein Register sollte beispielsweise festhalten:
- Zweck und Geschäftsprozess
- Verantwortliche Person
- Anbieter und Modell
- Verarbeitete Daten
- Hosting- und Verarbeitungsorte
- Risikoeinstufung
- Zugriffsrechte
- Menschliche Kontrollschritte
- Freigabestatus
- Wesentliche Änderungen
- Bekannte Einschränkungen
- Notfall- und Abschaltverhalten
Dabei sollte auch die nicht offiziell freigegebene Nutzung berücksichtigt werden.
Eine Richtlinie allein verhindert keine Schattennutzung. Mitarbeitende brauchen klare Regeln, zulässige Werkzeuge und einen einfachen Weg, neue Anwendungsfälle zu melden.
7. Was passiert bei Fehlern oder einem Vorfall?
Jede produktive KI-Anwendung braucht einen Plan für den Fall, dass etwas schiefgeht. Vor dem Go-Live sollte deshalb geklärt sein:
- Wie werden Fehler gemeldet?
- Wer bewertet den Vorfall?
- Wann wird die Anwendung pausiert oder abgeschaltet?
- Welche internen und externen Stellen müssen informiert werden?
- Wie werden Logs und Versionen gesichert?
- Wie wird die Ursache analysiert?
- Wann darf der Betrieb wieder aufgenommen werden?
Dabei geht es nicht nur um klassische IT-Sicherheitsvorfälle. Auch fehlerhafte Empfehlungen, unerwartete Modelländerungen, oder die Umgehung menschlicher Kontrollen gehören in den Incident-Prozess.
Die Governance-Checkliste
Vor der produktiven Freigabe sollte ein Unternehmen mindestens fünf Bereiche prüfen:
Wenn diese Punkte beantwortet sind, ist die Governance noch nicht «fertig». Aber das Unternehmen hat eine belastbare Grundlage für die nächste Entscheidung.
Governance wird dann zum Wettbewerbsvorteil
Der Wettbewerbsvorteil entsteht nicht dadurch, möglichst viele Governance-Regeln zu haben. Er entsteht durch wiederverwendbare Entscheidungen.
Wenn Rollen, Risikokriterien, Prüfungen und Freigaben einmal definiert sind, müssen neue KI-Anwendungen nicht jedes Mal bei null beginnen. Das hat drei konkrete Effekte:
Schnellere Entscheidungen
Teams wissen, welche Informationen für eine Freigabe benötigt werden, und wer entscheiden muss.
Weniger Überraschungen
Risiken bei Daten, Hosting, Berechtigungen oder Anbieterabhängigkeiten werden früher sichtbar.
Einfachere Skalierung
Ein standardisierter Prozess macht es leichter, neue Anwendungsfälle zu bewerten und kontrolliert in den Betrieb zu bringen.
Das Ziel ist dabei nicht, jedes Risiko auszuschliessen. Das ist weder realistisch noch notwendig. Das Ziel ist, Risiken sichtbar zu machen und bewusst zu entscheiden, welche KI-Anwendung ein Unternehmen unter welchen Bedingungen einsetzen will.
Fazit
AI Governance ist mehr als ein Compliance-Projekt. Sie verbindet Strategie, Datenschutz, Sicherheit, Recht und operative Verantwortung, und schafft einen gemeinsamen Rahmen für den Einsatz von KI.
Die sieben Fragen sind dafür ein guter Ausgangspunkt:
- Welche Daten verarbeitet das System?
- Wo werden Modelle und Daten verarbeitet?
- Welche Entscheidungen darf die KI selbst treffen?
- Wie werden Ergebnisse überprüft?
- Wer trägt die Verantwortung?
- Wie wird die Nutzung dokumentiert?
- Was passiert bei Fehlern oder einem Vorfall?
Wer diese Fragen vor dem nächsten KI-Projekt beantwortet, schafft bessere Voraussetzungen für Anwendungen, die nicht nur technisch funktionieren, sondern auch im Unternehmen betrieben werden können.
AI Governance soll KI nicht langsamer machen. Sie soll dafür sorgen, dass aus einzelnen Experimenten belastbare Anwendungen werden.
Wo steht dein Unternehmen bei AI Governance?
Ob erste KI-Anwendungen oder bereits mehrere produktive Systeme: Entscheidend ist, ob klare Regeln, Verantwortlichkeiten und Kontrollen mit dem Einsatz wachsen.
Dreamleap AG unterstützt dich dabei, AI Governance pragmatisch aufzubauen, von der ersten Standortbestimmung bis zur skalierbaren Governance-Struktur.
👉 Spreche kostenlos 15 Minuten mit unseren Experten über deine Herausforderungen. Wir sind gerne für dich da: https://www.dreamleap.com/de/book-a-demo
Souveräne KI-Systeme mit Dreamleap.
Kontaktiere unsere Experten und Expertinnen:
