KI-Governance: Wie man ein Governance-Rahmenwerk in weniger als vier Stunden einführt

Nur 28 Prozent der S&P-100-Unternehmen verfügen gleichzeitig über einen AI-Governance-Rahmen auf Vorstandsebene sowie über eine formelle AI-Aufsicht und eine formelle AI-Richtlinie. Die restlichen 72 Prozent – und fast alle europäischen KMU – fliegen blind. Ab August 2026 wird der EU-KI-Gesetzentwurf diesen Luxus beenden. Es ist an der Zeit, KI-Governance einzuführen – aber nicht so, wie es die Big-4-Berater sagen.

Warum sollte man sich gerade jetzt mit einem Rahmenwerk für KI-Governance befassen?

Laut einer Studie von Glass Lewis aus dem Jahr 2025 kommunizieren nur 55 Prozent der S&P-100-Unternehmen die KI-Aufsicht auf Vorstandsebene, und lediglich 45 Prozent verfügen über eine dokumentierte KI-Richtlinie. Dieser Anteil ist bei den Fortune-500-Unternehmen noch schlechter, bei mittelständischen Unternehmen katastrophal und bei KMU praktisch gleich null.

Unterdessen stellt das im Januar 2026 von WilmerHale veröffentlichte „AI Governance Playbook“ unmissverständlich fest: KI-Governance ist keine Option, sondern eine rechtliche und strategische Notwendigkeit. Laut dem Risikoindex des Diligent Institute und von Corporate Board Member für das vierte Quartal ist Technologie für 60 Prozent der Führungskräfte das größte Risiko – weit vor wirtschaftlichen (33 Prozent) und zollrechtlichen (23 Prozent) Risiken.

Das EU-KI-Gesetz gilt ab dem 2. August 2026 uneingeschränkt für Systeme mit hohem Risiko. Wenn Ihr Unternehmen KI bei der Personalbeschaffung, der Kreditprüfung, der Leistungsbewertung oder der Automatisierung des Kundenservices einsetzt – dann betrifft dies auch Sie.

Die 4 Schritte, die wirklich notwendig sind – nach Deloitte und WilmerHale

Zwei wegweisende Veröffentlichungen des Harvard Law School Forum on Corporate Governance – die „Deloitte AI Governance Roadmap“ und das „WilmerHale Playbook“ – nennen vier Schritte. Ich übersetze diese in eine für KMU verständliche Sprache:

1. KI-Bestandsaufnahme: Finden Sie heraus, was Sie nutzen. Erstellen Sie eine Liste aller KI-Tools, die Ihr Unternehmen einsetzt – ChatGPT, Copilot, KI-basierte CRM-Funktionen, automatisierte E-Mail-Antworten, KI-gestützte Bildgenerierung. Die meisten Unternehmen sind überrascht: Sie nutzen 3- bis 5-mal so viele KI-Tools, wie der Geschäftsleitung bekannt ist. Dies ist das Problem der „Schatten-KI“, und Deloitte betrachtet dies als das größte akute Risiko.

2. Risikoeinstufung. Der EU-KI-Gesetzentwurf definiert vier Risikostufen: verboten, hoch, eingeschränkt, minimal. Die meisten KI-Anwendungen in KMU (Chatbots, Generierung von Inhalten, Datenanalyse) weisen ein minimales Risiko auf – wenn Sie KI jedoch im Personalwesen oder zur Kundenbewertung einsetzen, fällt dies unter die Kategorie „hohes Risiko“ und erfordert eine Konformitätsbewertung.

3. Benennung eines Verantwortlichen. Es braucht kein „AI-Gremium“ – es braucht eine Person, deren Aufgabenbereich die Überwachung der KI umfasst. Laut der „Annual Corporate Directors Survey 2025“ von PwC erreichten Unternehmen, die ausdrücklich einen Verantwortlichen benannt hatten, eine KI-Einführungsrate von 73 Prozent, gegenüber 31 Prozent bei denjenigen, bei denen dies nicht eindeutig geregelt war.

4. Audit-Trail. Jedes KI-System mit hohem Risiko muss ein automatisches, unveränderliches Protokoll über die Entscheidungslogik führen. Dies ist ab August 2026 gesetzlich vorgeschrieben. Die gute Nachricht: Die meisten modernen KI-Plattformen (Claude, GPT, Copilot) protokollieren standardmäßig – die Daten müssen lediglich archiviert werden.

Was die meisten Berater verschweigen: Governance ≠ Bürokratie

Die Deloitte-Roadmap und das PwC-Framework richten sich an Unternehmen auf Enterprise-Ebene. Ein Unternehmen mit 50 bis 500 Mitarbeitern benötigt weder einen AI Ethics Board noch einen Chief AI Officer und auch keine ISO 42001-Zertifizierung vom ersten Tag an.

Was Sie benötigen:

Ein Dokument im A4-Format, das Folgendes enthält: welche KI-Tools wir verwenden, wer dafür verantwortlich ist, welche Daten wir eingeben und was nicht erlaubt ist. Das ist die KI-Richtlinie. Vierteljährliche 30-minütige Überprüfung: neue Tools, neue Risiken, neue Regeln. Jährliche Schulung: 60 Minuten für das gesamte Unternehmen – nicht über KI-Technologie, sondern über die Regeln für den Einsatz von KI.

Das sind insgesamt 4 Stunden Führungszeit pro Jahr. Die Höchststrafe nach dem EU-KI-Gesetz beträgt 35 Millionen Euro. Das Verhältnis spricht für sich.

Das Gloster-Erlebnis

Bei Glostor habe ich 2024 den AI-Governance-Prozess ins Leben gerufen – lange vor Inkrafttreten des EU-KI-Gesetzes. Im täglichen Betrieb arbeiten wir mit 23 individuellen KI-Funktionen und 7 MCP-Konnektoren. Unser Bestand umfasst heute mehr als 40 KI-Tools: Claude, Copilot, Kie.ai, SerpApi sowie selbst entwickelte Automatisierungen.

Die Erkenntnis: Governance bremst die Innovation nicht. Sie beschleunigt sie – denn jeder weiß, worum es geht, und man muss nicht bei jeder Entscheidung die Grundlagen neu verhandeln.

To-do-Liste zur KI-Governance – morgen früh

Eröffne ein leeres Dokument. Trage darin die Namen aller KI-Tools ein, die dein Unternehmen nutzt – frag dazu die IT-Abteilung, das Marketing, den Vertrieb und die Personalabteilung. Bestimme eine Person, die die Liste vierteljährlich überprüft. Formuliere die drei wichtigsten Regeln (z. B. „Kundendaten werden nicht in ChatGPT kopiert“). Fertig. Das ist das Minimum Viable Product der KI-Governance – und mehr, als die meisten europäischen KMU heute tun.

Häufig gestellte Fragen (FAQ)

Was ist KI-Governance und warum ist sie für KMU wichtig?

AI-Governance ist der Regulierungsrahmen für den Einsatz künstlicher Intelligenz in Unternehmen: Wer darf was nutzen, mit welcher Genehmigung und mit welchen Daten? Aufgrund des EU-KI-Gesetzes ist dies ab 2026 nicht mehr optional, sondern verpflichtend.

Wie führe ich in einem kleinen Unternehmen ein Rahmenwerk für KI-Governance ein?

Es ist keine Rechtsabteilung erforderlich – ein KI-Richtliniendokument, eine verantwortliche Person und eine vierteljährliche Überprüfung von einer Stunde reichen aus. Bei Gloster funktioniert das mit vier Stunden Vorstandszeit pro Jahr.

Was ist ein KI-Prüfpfad und warum ist er verpflichtend?

Der KI-Prüfpfad protokolliert, welche Vorgänge das KI-System mit welchen Daten und mit welchem Ergebnis durchgeführt hat. Der EU-KI-Gesetz schreibt dies für Systeme mit hohem Risiko ab August 2026 vor.

Brauchen ungarische Unternehmen eine Vorlage für eine KI-Richtlinie?

Ja – eine einfache Richtlinie für den Einsatz von KI, die die zulässigen Tools, die Datenschutzbeschränkungen und den Genehmigungsprozess festlegt. Dies bildet die Grundlage für Compliance und interne Sicherheit.

Verwandte Artikel

• EU-KI-Gesetz: Was ungarische Unternehmensleiter im Jahr 2026 wissen müssen – Konkrete Vorschriften, Fristen und Bußgelder
• Wir entwickeln keine Chatbots mehr – sondern digitale Arbeitskräfte – Wie lässt sich KI-Governance skalieren, wenn es nicht nur einen, sondern 23 KI-Experten gibt?
• 7 maßgeschneiderte KI-Konnektoren, die wöchentlich 15 bis 20 Stunden Arbeit einsparen — Die technische Architektur, die einer Governance bedarf