Regulierung erklären viele. Wir implementieren sie.

KI Governance ist der organisatorische und technische Rahmen, der regelt, wie Ihr Unternehmen KI-Systeme entwickelt, betreibt und kontrolliert. Dazu gehören Verantwortlichkeiten, Zugriffskontrollen, Dokumentation, Monitoring und Auditierbarkeit.

Ohne Governance fehlt die Grundlage, um KI über Pilotprojekte hinaus zu skalieren. Seit dem AI Act sind viele dieser Maßnahmen gesetzlich vorgeschrieben. Gleichzeitig fordern DSGVO und NIS2 eigene Anforderungen an KI-Systeme. Governance bringt alle drei Regulierungen in einen umsetzbaren Rahmen.

KI Strategie definiert, wo und warum Ihr Unternehmen KI einsetzen will: Ziele, Use Cases, Priorisierung, Roadmap. KI Governance regelt, wie dieser Einsatz kontrolliert und compliant umgesetzt wird: Rollen, Richtlinien, Dokumentation, Monitoring, Auditierung.

Strategie beantwortet die Frage "Was machen wir mit KI?" Governance beantwortet "Wie stellen wir sicher, dass wir es richtig machen?" Beides hängt zusammen, aber Governance wird oft erst relevant, wenn KI in Produktion geht oder regulatorische Anforderungen greifen.

Personenbezogene Daten in Trainingsdaten erfordern eine Rechtsgrundlage nach Art. 6 DSGVO, typischerweise berechtigtes Interesse oder Einwilligung. Zusätzlich gelten die Grundsätze der Datenminimierung und Zweckbindung.

In der Praxis setzen wir auf Anonymisierung und Pseudonymisierung, bevor Daten ins Training fließen. Dabei ist entscheidend, dass die Datenqualität erhalten bleibt. Synthetische Daten können eine Alternative sein, wenn Originaldaten nicht verwendet werden dürfen. Welche Methode passt, hängt vom Anwendungsfall und der Datenlage ab.

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist Pflicht, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Bei KI-Systemen ist das häufig der Fall: automatisierte Entscheidungsfindung, Profiling, Verarbeitung sensibler Daten oder große Datenmengen sind typische Auslöser.

In der Praxis brauchen die meisten produktiven KI-Systeme eine DSFA. Wir empfehlen, sie frühzeitig durchzuführen, nicht erst kurz vor dem Go-live. Die DSFA dokumentiert Risiken und Gegenmaßnahmen und ist bei einer Prüfung durch Aufsichtsbehörden eines der ersten Dokumente, das angefragt wird.

NIS2 verpflichtet Unternehmen in kritischen und wichtigen Sektoren zu umfassenden Cybersicherheitsmaßnahmen. Für KI-Systeme bedeutet das: Risikomanagement, Vorfallmeldung, Zugriffskontrollen, Verschlüsselung und Lieferkettensicherheit müssen auch für KI-Komponenten umgesetzt sein.

KI-Systeme sind besonders betroffen, weil sie oft auf externe APIs, Cloud-Infrastruktur und Drittanbieter-Modelle zugreifen. Jeder dieser Punkte ist eine potenzielle Angriffsfläche, die NIS2 adressiert. Wenn Ihr Unternehmen unter NIS2 fällt und KI einsetzt, müssen beide Anforderungen zusammengedacht werden.

Unternehmen in KRITIS-Sektoren (Energie, Gesundheit, Finanz, Transport, Wasser) unterliegen einer Dreifach-Regulierung: AI Act, DSGVO und NIS2 greifen gleichzeitig. Das bedeutet höhere Dokumentationspflichten, strengere Anforderungen an Verfügbarkeit und Integrität sowie kürzere Meldefristen bei Sicherheitsvorfällen.

Für KI-Systeme in KRITIS-Umgebungen gelten zusätzliche Anforderungen an Ausfallsicherheit und Nachvollziehbarkeit. Modelle, die in kritischen Prozessen eingesetzt werden, brauchen redundante Monitoring-Systeme und dokumentierte Fallback-Mechanismen. Governance muss hier alle drei Regulierungsrahmen in einer integrierten Struktur abbilden.

Ein KI-Register erfasst alle KI-Systeme, die in Ihrem Unternehmen im Einsatz oder in Planung sind. Pro System dokumentieren Sie: Zweck, Risikoklasse, verantwortliche Person, eingesetzte Daten, Anbieter, Schnittstellen und den aktuellen Compliance-Status.

Wir starten mit einer Bestandsaufnahme: Welche KI-Tools werden bereits genutzt, auch informell? Häufig sind mehr Systeme im Einsatz als der IT bekannt ist. Das Register wird zum zentralen Steuerungsinstrument für Governance, weil es auf einen Blick zeigt, wo Handlungsbedarf besteht. Für Hochrisiko-KI-Systeme nach AI Act ist ein solches Register faktisch Pflicht.

Der AI Act tritt stufenweise in Kraft. Seit Februar 2025 gilt die Schulungspflicht nach Art. 4: Alle Mitarbeitenden, die KI-Systeme betreiben oder beaufsichtigen, müssen über ausreichende KI-Kompetenz verfügen. Ab August 2025 gelten die Verbote für inakzeptable KI-Praktiken. Ab August 2026 greifen die vollständigen Anforderungen für Hochrisiko-KI-Systeme: Dokumentation, Risikomanagement, Monitoring, Auditierbarkeit.

Die DSGVO gilt bereits seit 2018 für alle KI-Systeme, die personenbezogene Daten verarbeiten. NIS2 ist seit Oktober 2024 als EU-Richtlinie in Kraft und wird in nationales Recht umgesetzt. Wer KI produktiv einsetzt, sollte Governance jetzt aufbauen, nicht erst wenn die letzte Frist greift.

Ja, in den meisten Fällen. Sobald ein externer KI-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO Pflicht. Das betrifft Cloud-basierte KI-Tools, API-Dienste und SaaS-Plattformen, die mit Ihren Daten arbeiten.

Prüfen Sie bei jedem KI-Tool: Werden personenbezogene Daten übermittelt? Werden Eingaben gespeichert oder für Training verwendet? Wo werden die Daten verarbeitet? Bei vielen gängigen KI-Tools ist die DSGVO-Konformität nicht ohne Weiteres gegeben. Ein AVV allein reicht nicht, er muss durch technische Maßnahmen wie Anonymisierung und Zugriffskontrollen ergänzt werden.