Fallstudie KI-Freigabeprozess im Unternehmen

Ein Fachbereich wollte ein KI-gestütztes Assistenzsystem produktiv einsetzen. Die technische Erprobung lieferte überzeugende Ergebnisse: Dokumente konnten klassifiziert, Anfragen vorsortiert und Mitarbeitende bei der Recherche unterstützt werden. Kurz vor dem Go-Live blieb jedoch eine entscheidende Frage offen: Wer darf unter welchen Bedingungen die Freigabe erteilen - und wie lässt sich diese Entscheidung später belastbar nachweisen?

Diese Fallstudie KI Freigabeprozess zeigt, wie ein Unternehmen aus einem uneinheitlichen Abstimmungsprozess einen steuerbaren Freigabepfad entwickelt hat. Im Mittelpunkt standen nicht allein Modellqualität und Datenschutzprüfung, sondern die Verbindung von fachlicher Verantwortung, IT-Betrieb, Informationssicherheit, Datenmanagement und Compliance.

Ausgangslage: Gute Ergebnisse, kein belastbarer Freigabepfad

Das betrachtete Unternehmen arbeitet in einem regulierten, datenintensiven Umfeld. Im Pilotbetrieb nutzte ein begrenzter Anwenderkreis eine Enterprise-KI, um interne Wissensbestände auszuwerten. Die Anwendung war an vorhandene Identitäts- und Berechtigungssysteme angebunden. Personenbezogene Daten sollten nicht verarbeitet werden, sensible Dokumente waren über Zugriffsrechte eingeschränkt.

Trotzdem war der Übergang in den Produktivbetrieb nicht klar geregelt. Fachbereich, IT und Informationssicherheit hatten jeweils Teilprüfungen durchgeführt. Die Ergebnisse lagen in unterschiedlichen Ablagen, Freigaben wurden teilweise in E-Mails dokumentiert. Für Änderungen am Datenbestand, am Prompting oder am Berechtigungsmodell gab es keinen einheitlichen Weg zurück in eine erneute Prüfung.

Das Risiko lag damit weniger in einem einzelnen technischen Fehler. Problematisch war die fehlende Nachvollziehbarkeit: Welche Version der Anwendung war geprüft worden? Welche Datenquellen waren zulässig? Wer trug die Verantwortung für die fachliche Ausgabe? Und wann löst eine Änderung eine erneute Freigabe aus?

Zielbild für den KI-Freigabeprozess

Das Projektteam definierte zunächst einen pragmatischen Anspruch. Der Freigabeprozess sollte den Betrieb nicht unnötig verzögern, aber für jede produktive KI-Anwendung vier Fragen eindeutig beantworten: Welcher Zweck ist freigegeben, welche Daten dürfen verarbeitet werden, wer entscheidet über die Einsatzgrenzen und welche Nachweise müssen vorliegen?

Dabei wurde bewusst kein universeller Prozess für jede denkbare KI-Anwendung konstruiert. Ein internes Such- und Assistenzsystem hat andere Risiken als eine Anwendung, die Entscheidungen priorisiert oder automatisiert. Der Aufwand sollte deshalb mit Schutzbedarf, Datenart, Wirkungsbereich und Automatisierungsgrad wachsen.

Für die erste Anwendung entstand ein Freigabepfad mit klaren Übergabepunkten. Der Fachbereich verantwortete Zweck, Akzeptanzkriterien und die fachliche Kontrolle der Ergebnisse. IT und Architektur bewerteten Integration, Identitäten, Schnittstellen sowie Betriebsfähigkeit. Informationssicherheit prüfte Schutzmaßnahmen und Protokollierung. Datenverantwortliche bestätigten Herkunft, Qualität und zulässige Nutzung der Quellen. Die übergreifende Freigabe wurde in einem festen Entscheidungskreis gebündelt.

So wurde der Freigabeprozess aufgebaut

Die Arbeit begann nicht mit einem umfangreichen Richtliniendokument, sondern mit einer Aufnahme des tatsächlichen Datenflusses. Das Team erfasste, welche Inhalte aus Quellsystemen abgerufen werden, wo sie verarbeitet werden, welche Rollen Zugriff erhalten und welche Protokolle entstehen. Gerade bei Retrieval-gestützten Anwendungen reicht die Betrachtung des Modells nicht aus. Entscheidend ist, welche Dokumente die Antworten beeinflussen und wie Berechtigungen entlang der gesamten Kette durchgesetzt werden.

1. Den Anwendungsfall fachlich abgrenzen

Der Fachbereich beschrieb den erlaubten Einsatz präzise: Unterstützung bei Recherche und Zusammenfassung interner Inhalte, keine automatisierte Entscheidung, keine Verwendung der Ausgabe als alleinige Grundlage für kunden- oder mitarbeiterbezogene Maßnahmen. Diese Abgrenzung wurde als verbindlicher Bestandteil der Freigabe aufgenommen.

Das klingt formal, verhinderte aber eine häufige Verschiebung im Projektverlauf. Sobald ein System gute Ergebnisse liefert, entstehen zusätzliche Nutzungsideen. Ohne dokumentierte Zweckgrenze wird aus einer Assistenzlösung schrittweise ein Werkzeug mit deutlich größerem Wirkungskreis, ohne dass Risikoanalyse und Kontrollen angepasst werden.

2. Datenflüsse und Rollen nachweisbar machen

Im nächsten Schritt wurden die Datenquellen klassifiziert. Das Team unterschied freigegebene Wissensbestände, eingeschränkt nutzbare Inhalte und Daten, die für den Use Case ausgeschlossen blieben. Für jede Quelle wurde ein fachlich verantwortlicher Owner benannt. Zugriffsrechte aus den führenden Systemen mussten auch in der KI-Anwendung wirksam bleiben.

Parallel entstand ein Rollenmodell für Betrieb und Nutzung. Es regelte, wer Datenquellen einbinden darf, wer Konfigurationen ändert, wer Protokolle einsehen kann und wer bei Auffälligkeiten eingreift. Wichtig war die Trennung zwischen administrativen Tätigkeiten und fachlicher Freigabe. Eine Person mit technischem Zugriff sollte nicht allein entscheiden, ob ein neuer Datenbestand fachlich zulässig ist.

3. Prüfkriterien in eine entscheidungsfähige Form bringen

Die beteiligten Funktionen hatten zuvor mit unterschiedlichen Checklisten gearbeitet. Daraus wurde ein gemeinsamer Freigabenachweis mit wenigen, aber verbindlichen Kriterien. Er enthielt die fachliche Zweckbeschreibung, Datenfluss und Datenklassifizierung, Architektur- und Berechtigungskonzept, Testnachweise, Betriebs- und Supportmodell, Logging-Konzept sowie dokumentierte Restrisiken.

Besondere Aufmerksamkeit galt der Qualität der KI-Ausgaben. Eine hohe Trefferquote allein genügte nicht. Das Team definierte typische Fehlerszenarien: unvollständige Quellen, widersprüchliche Dokumente, nicht beantwortbare Fragen und Antworten außerhalb des vorgesehenen Wissensraums. Für diese Fälle wurden Hinweise für Anwender, Eskalationswege und fachliche Kontrollschritte festgelegt.

Bei KI-Systemen mit erhöhtem regulatorischem Prüfbedarf können zusätzliche Anforderungen entstehen. Die rechtliche Einordnung etwa zu EU AI Act, Datenschutz oder vertraglichen Rollen muss von den zuständigen Stellen erfolgen. Bei Bedarf kann hierfür die rechtlich eigenständige Quteco Rechtsanwaltsgesellschaft mbH eingebunden werden. Technische und organisatorische Nachweise bleiben davon unberührt: Sie müssen im Projekt konkret erarbeitet und im Betrieb fortgeführt werden.

4. Änderungen als Teil der Freigabe behandeln

Der produktive Start war nicht der Abschluss des Prozesses. Deshalb definierte das Unternehmen Schwellenwerte für eine erneute Prüfung. Eine wesentliche Änderung lag etwa vor, wenn neue Datenquellen angebunden, Berechtigungen erweitert, ein anderes Modell eingesetzt oder der fachliche Verwendungszweck verändert wurde.

Nicht jede Anpassung erforderte den vollständigen Freigabezyklus. Kleinere Konfigurationsänderungen konnten über ein vereinfachtes Verfahren mit dokumentiertem Test erfolgen. Bei Eingriffen in Datenfluss, Berechtigungen oder Entscheidungskontext war dagegen eine erneute Bewertung durch die zuständigen Verantwortlichen nötig. Diese Differenzierung hielt den Prozess handhabbar und verhinderte zugleich, dass risikorelevante Änderungen im laufenden Betrieb unsichtbar bleiben.

Ergebnis: Steuerbarer Go-Live statt Freigabe per E-Mail

Nach der Einführung lag ein einheitlicher Freigabenachweis vor, der die produktive Version der Anwendung eindeutig beschrieb. Verantwortlichkeiten waren im Rollenmodell festgehalten, Testfälle und Ergebnisse zentral dokumentiert. Der Entscheidungskreis konnte offene Punkte priorisieren, Restrisiken explizit akzeptieren oder den Go-Live an konkrete Nachbesserungen knüpfen.

Messbar war vor allem die verbesserte Steuerbarkeit. Rückfragen zwischen Fachbereich, IT und Governance konnten auf eine gemeinsame Dokumentationsbasis zurückgeführt werden. Bei einer später geplanten Erweiterung um eine zusätzliche Wissensquelle war sofort erkennbar, welche Prüfungen erneut erforderlich waren. Das reduzierte Abstimmungsaufwand, ohne die Kontrolle zu lockern.

Der Fall zeigt auch eine Grenze: Ein sauberer Freigabeprozess garantiert keine fehlerfreien KI-Ergebnisse. Er stellt jedoch sicher, dass bekannte Risiken bewertet, Verantwortlichkeiten zugeordnet und Kontrollen in den Betrieb überführt werden. Für Unternehmen mit SAP-nahen Datenlandschaften kommt hinzu, dass Datenherkunft, Berechtigungen und Schnittstellen häufig über mehrere Systeme hinweg nachvollziehbar sein müssen.

Was Projektverantwortliche daraus ableiten können

Ein KI-Freigabeprozess funktioniert dann, wenn er an reale Projektentscheidungen anschließt. Abstrakte Governance-Vorgaben helfen wenig, wenn vor dem Go-Live nicht klar ist, wer Testabweichungen bewertet, welche Datenquellen zulässig sind und wie eine Änderung in die erneute Prüfung gelangt.

Der sinnvollste Einstieg ist meist kein vollständiges Governance-Handbuch. Ein strukturierter Quick Check kann den konkreten Anwendungsfall, die vorhandenen Nachweise, Rollenlücken und kritischen Datenflüsse sichtbar machen. Darauf lässt sich ein Freigabepfad aufbauen, der zur Größe des Vorhabens und zum tatsächlichen Risiko passt.

Freigabepfade für produktive KI-Vorhaben prüfen

Quteco unterstützt Unternehmen dabei, KI-Anwendungsfälle für den Produktivbetrieb fachlich, technisch und organisatorisch zu strukturieren. In Quick Checks und Workshops lassen sich Datenflüsse, Rollenmodelle, Testnachweise und Änderungsprozesse so konkretisieren, dass belastbare Entscheidungen vor dem Go-Live möglich werden.

Ein tragfähiger Freigabeprozess schafft nicht mehr Bürokratie um der Dokumentation willen. Er gibt Projektteams einen gemeinsamen Rahmen, damit produktive KI auch nach dem ersten erfolgreichen Pilotbetrieb steuerbar bleibt.