Wie baut man eine KI-Governance-Struktur im Unternehmen auf?

Eine KI-Governance-Struktur in deinem Unternehmen aufzubauen bedeutet, klare Verantwortlichkeiten, Richtlinien, Kontrollmechanismen und Prozesse für den gesamten Lebenszyklus von KI-Systemen zu definieren. Das gilt sowohl auf technischer als auch auf organisatorischer Ebene. Die folgenden Fragen klären die wichtigsten Bausteine, Verantwortlichkeiten und Umsetzungsschritte im Detail.

Aus welchen Komponenten besteht eine KI-Governance-Struktur?

Eine KI-Governance-Struktur besteht aus vier Kernbereichen: einer dokumentierten KI-Richtlinie, klar zugewiesenen Rollen und Verantwortlichkeiten, einem Risikomanagementprozess sowie Mechanismen zur Überwachung und kontinuierlichen Verbesserung. Gemeinsam bilden diese Elemente den Rahmen, innerhalb dessen Unternehmen KI-Systeme verantwortungsvoll einsetzen können.

Im Detail umfasst eine vollständige KI-Governance-Struktur folgende Komponenten:

KI-Richtlinie: Ein schriftliches Regelwerk, das beschreibt, wie im Unternehmen mit KI umgegangen wird, und das regelmäßig auf Eignung und Aktualität überprüft wird
Rollen und Verantwortlichkeiten: Festlegung, wer im Unternehmen welche Entscheidungen über KI-Systeme trifft und wer für deren Betrieb verantwortlich ist
Risikobewertung: Systematische Analyse potenzieller Risiken, die KI-Systeme für Betroffene, die Organisation und die Gesellschaft mit sich bringen
Meldeverfahren: Ein strukturierter Prozess, über den Mitarbeitende Bedenken zu KI-Systemen über deren gesamten Lebenszyklus hinweg melden können
Ressourcenplanung: Sicherstellung, dass ausreichend personelle, technische und finanzielle Ressourcen für einen sicheren KI-Betrieb zur Verfügung stehen
Leistungsbewertung und Verbesserung: Regelmäßige Überprüfung, ob KI-Systeme ihre definierten Ziele erfüllen und ob Anpassungen erforderlich sind

Dieser Rahmen orientiert sich an der internationalen Norm ISO 42001, die Mindestanforderungen an ein KI-Managementsystem definiert. Die Norm gliedert diese Anforderungen in Kapitel wie organisatorischer Kontext, Führung, Planung, Betrieb und Verbesserung.

Warum brauchen Unternehmen eine KI-Governance-Struktur?

Unternehmen benötigen eine KI-Governance-Struktur, weil der unkontrollierte Einsatz von KI-Systemen rechtliche, ethische und wirtschaftliche Risiken erzeugt, die ohne geregelte Prozesse und Verantwortlichkeiten nicht beherrschbar sind. Mit dem EU AI Act gelten ab 2026 verbindliche Anforderungen, die ohne eine funktionierende Governance-Struktur nicht erfüllt werden können.

Über die regulatorische Compliance hinaus gibt es weitere Gründe für eine strukturierte KI-Governance:

Vertrauen aufbauen: Kunden, Partner und Behörden erwarten einen nachweislich verantwortungsvollen Umgang mit KI. Dokumentierte Governance schafft Transparenz.
Risiken begrenzen: Fehlerhafte oder diskriminierende KI-Entscheidungen können zu Reputationsschäden, Haftungsansprüchen und behördlichen Sanktionen führen.
Effizienz steigern: Klare Prozesse und Verantwortlichkeiten reduzieren Reibungsverluste bei der Einführung und dem Betrieb von KI-Systemen.
Wettbewerbsvorteil sichern: Eine AIMS-Zertifizierung nach ISO 42001 kann gegenüber Kunden und Partnern als Alleinstellungsmerkmal genutzt werden.

Kurz gesagt: KI-Governance ist kein bürokratischer Overhead, sondern eine strategische Voraussetzung für den nachhaltigen und sicheren Einsatz von KI im Unternehmen.

Wie unterscheidet sich KI-Governance von IT-Governance?

KI-Governance unterscheidet sich von IT-Governance vor allem dadurch, dass sie spezifische Risiken adressiert, die aus dem autonomen, lernenden und schwer vorhersehbaren Verhalten von KI-Systemen entstehen. IT-Governance regelt den sicheren und effizienten Einsatz von Informationstechnologie im Allgemeinen, während KI-Governance zusätzlich ethische, gesellschaftliche und regulatorische Dimensionen abdeckt.

Im Einzelnen ergeben sich folgende Unterschiede:

Gegenstand: IT-Governance befasst sich mit Systemen, Infrastruktur und Prozessen. KI-Governance fokussiert auf Systeme, die eigenständig Entscheidungen treffen oder Prognosen erstellen.
Risikoprofil: KI-spezifische Risiken wie algorithmische Verzerrung, Intransparenz und unbeabsichtigte Diskriminierung existieren in der klassischen IT-Governance nicht.
Regulatorischer Rahmen: KI-Systeme unterliegen eigenen gesetzlichen Anforderungen, insbesondere durch den EU AI Act und die DSGVO, wenn personenbezogene Daten verarbeitet werden.
Lebenszyklusbetrachtung: KI-Governance berücksichtigt explizit den gesamten Lebenszyklus eines KI-Systems, von der Entwicklung über den Betrieb bis zur Außerbetriebnahme.

In der Praxis ergänzt KI-Governance die bestehende IT-Governance, ohne sie zu ersetzen. Beide Strukturen sollten aufeinander abgestimmt werden, um Doppelarbeit zu vermeiden und Lücken zu schließen.

Wer ist im Unternehmen für KI-Governance verantwortlich?

Die Verantwortung für KI-Governance liegt auf mehreren Ebenen: Das Top-Management trägt die Gesamtverantwortung und muss Führung und Engagement für das KI-Managementsystem demonstrieren. Operativ wird die Verantwortung durch definierte KI-Rollen auf Fach- und Projektebene wahrgenommen, häufig gebündelt in einer Funktion wie dem AI Officer.

Typische Rollen innerhalb einer KI-Governance-Struktur sind:

Top-Management: Verabschiedet die KI-Richtlinie, stellt Ressourcen bereit und trägt die strategische Verantwortung
AI Officer: Koordiniert die operative Umsetzung der KI-Governance, überwacht die Einhaltung der KI-Richtlinie und ist Ansprechperson für interne und externe Stakeholder
KI-Entwickler und Systembetreiber: Tragen Verantwortung für die technische Sicherheit und den regelkonformen Einsatz von KI-Systemen
Datenschutzbeauftragter: Bewertet KI-Systeme aus datenschutzrechtlicher Perspektive, insbesondere wenn personenbezogene Daten verarbeitet werden
Mitarbeitende: Sind angehalten, Bedenken über ein definiertes Meldeverfahren zu kommunizieren und KI-Tools nur für freigegebene Anwendungsfälle zu nutzen

Wichtig ist, dass diese Rollen und Verantwortlichkeiten schriftlich dokumentiert und den jeweiligen Personen offiziell zugewiesen werden. Ohne dokumentierte Verantwortlichkeiten bleibt KI-Governance wirkungslos.

Wie führst du KI-Governance Schritt für Schritt ein?

KI-Governance wird schrittweise eingeführt: beginnend mit einer Bestandsaufnahme des aktuellen KI-Einsatzes, gefolgt von der Entwicklung einer KI-Richtlinie, der Zuweisung von Rollen, dem Aufbau eines Risikomanagementsystems sowie der Einrichtung von Überwachungs- und Verbesserungsprozessen. Die Struktur orientiert sich am Rahmenwerk der ISO 42001.

Schritt 1: Kontext und Bestandsaufnahme

Zunächst analysiert das Unternehmen, welche KI-Systeme bereits im Einsatz sind, welche geplant sind und welche internen sowie externen Anforderungen gelten. Dazu gehören die Identifikation relevanter Stakeholder und die Definition des Geltungsbereichs des KI-Managementsystems.

Schritt 2: KI-Richtlinie und Ziele definieren

Auf Basis der Bestandsaufnahme entwickelt das Top-Management eine KI-Richtlinie, die Grundsätze für den verantwortungsvollen Umgang mit KI formuliert. Zusätzlich werden messbare KI-Ziele definiert, die mit der Richtlinie übereinstimmen, kommuniziert und regelmäßig überprüft werden.

Schritt 3: Rollen zuweisen und Ressourcen bereitstellen

Klare Verantwortlichkeiten werden schriftlich dokumentiert. Gleichzeitig plant das Unternehmen, welche personellen, technischen und finanziellen Ressourcen für einen sicheren KI-Betrieb benötigt werden, und stellt diese bereit.

Schritt 4: Risikomanagement und Kontrollen etablieren

Für alle relevanten KI-Systeme wird eine systematische Risikobewertung durchgeführt. Darauf aufbauend werden Maßnahmen zur Risikobehandlung definiert. Für KI-Systeme mit hohem Risiko im Sinne des EU AI Act müssen zusätzlich Mechanismen zur menschlichen Aufsicht und Protokollierungspflichten implementiert werden.

Schritt 5: Überwachung, Meldeverfahren und Verbesserung

Abschließend etabliert das Unternehmen Prozesse zur Leistungsbewertung, darunter interne Audits und regelmäßige Überprüfungen der KI-Richtlinie. Ein dokumentiertes Meldeverfahren ermöglicht es Mitarbeitenden, Bedenken zu KI-Systemen zu äußern. Identifizierte Schwachstellen fließen in einen kontinuierlichen Verbesserungsprozess ein.

Welche Rolle spielt der EU AI Act für die KI-Governance im Unternehmen?

Der EU AI Act legt verbindliche Anforderungen fest, die unmittelbar bestimmen, wie Unternehmen ihre KI-Governance gestalten müssen. Insbesondere Betreiber von KI-Systemen mit hohem Risiko stehen vor konkreten Pflichten, die ohne eine funktionierende Governance-Struktur nicht erfüllbar sind.

Die wesentlichen Pflichten für Betreiber von KI-Systemen mit hohem Risiko umfassen:

Sicherstellung des Betriebs gemäß den Gebrauchsanweisungen des Anbieters
Implementierung von Mechanismen zur menschlichen Aufsicht
Kontinuierliche Überwachung und Berichterstattung an Anbieter
Pflicht zur Meldung schwerwiegender Vorfälle
Sechsmonatige Aufbewahrung automatisierter Protokolle (Log-Dateien)
Durchführung einer Datenschutz-Folgenabschätzung gemäß DSGVO
Informationspflicht gegenüber Personen, die von automatisierten Entscheidungen betroffen sind

Die AIMS-Zertifizierung nach ISO 42001 bietet Unternehmen einen anerkannten Rahmen, um diese gesetzlichen Anforderungen systematisch zu erfüllen. Unternehmen, die ein KI-Managementsystem gemäß ISO 42001 aufgebaut haben, sind gut aufgestellt, um die Einhaltung der Anforderungen des EU AI Act nachzuweisen. Beide Rahmenwerke ergänzen sich: Der EU AI Act definiert das gesetzliche Minimum, während ISO 42001 die strukturelle Methodik zur Umsetzung liefert.

Für Unternehmen, die noch am Anfang stehen, empfiehlt sich als erster Schritt eine Gap-Analyse: Welche Anforderungen des EU AI Act gelten für die eigenen KI-Systeme? Welche davon sind bereits durch bestehende Prozesse abgedeckt? Diese Analyse bildet die Grundlage für einen realistischen Umsetzungsplan.

Wie mITSM dich beim Aufbau deiner KI-Governance unterstützt

Wir bei mITSM unterstützen Fachkräfte, Führungskräfte und Unternehmen dabei, das Wissen aufzubauen, das für eine wirksame KI-Governance erforderlich ist. Als spezialisierter Trainingsanbieter mit mehr als 20 Jahren Erfahrung im IT-Management bieten wir praxisnahe Schulungen, die direkt auf die Anforderungen des EU AI Act und der ISO 42001 eingehen.

Unser Angebot im Bereich KI-Governance und KI-Compliance umfasst:

AI Officer nach ISO 42001: Schulung zur Einführung und zum Betrieb eines KI-Managementsystems, einschließlich Rollen, Risikomanagement und Compliance-Anforderungen
AI Manager: Umfassende Schulung zu KI-Strategie, KI-Governance, Change Management und KI-Compliance einschließlich EU AI Act und DSGVO
AIMS Auditor: Schulung zur Durchführung interner und externer Audits von KI-Managementsystemen
Persönliche Zertifizierungen über ICO-Cert: Anerkannte Personenzertifizierungen, die deinen Marktwert auf dem Arbeitsmarkt spürbar steigern
Flexible Formate: Präsenztraining, Online-Live-Training oder Inhouse-Training an deinem Standort an 11 Standorten in Deutschland

Erfahre mehr über unser Schulungsangebot im Bereich KI auf unserer Website. Wenn du gezielt prüfen möchtest, ob dein Unternehmen die Anforderungen der ISO 42001 bereits erfüllt, informiere dich über unser ISO 42001 Audit-Angebot. Nimm Kontakt mit uns auf und starte deinen Weg zu einer nachweislich verantwortungsvollen KI-Governance.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.