KI Regulierung im Unternehmen praktisch umsetzen

Ein Fachbereich möchte einen KI-Assistenten für die Bearbeitung von Serviceanfragen einsetzen. Die IT sieht eine schnelle Anbindung an vorhandene Wissensdaten, der Einkauf bewertet den Anbieter, Compliance fragt nach Datenflüssen und Verantwortlichkeiten. Genau an dieser Schnittstelle wird KI Regulierung praktisch: Sie entscheidet nicht abstrakt über die Zulässigkeit einer Technologie, sondern darüber, ob ein konkreter Anwendungsfall kontrolliert, nachvollziehbar und stabil betrieben werden kann.

Für Unternehmen ist der EU AI Act dabei ein zentraler Rahmen, aber nicht der einzige. Datenschutzrecht, Informationssicherheit, vertragliche Pflichten, Branchenvorgaben und bestehende interne Kontrollsysteme wirken parallel. Wer KI-Governance auf eine einmalige rechtliche Prüfung reduziert, schafft häufig Papier - aber keinen belastbaren Betrieb.

Was KI Regulierung im Projektalltag bedeutet

Die Regulierung von KI folgt im EU AI Act einem risikobasierten Ansatz. Nicht jede Anwendung ist gleich zu behandeln. Bestimmte Praktiken sind verboten, für Hochrisiko-KI gelten weitreichende Anforderungen, während für andere Systeme vor allem Transparenzpflichten oder allgemeine Governance-Anforderungen relevant sind. Die meisten Regelungen des EU AI Act gelten seit dem 2. August 2026; für einzelne Hochrisiko-Systeme im Zusammenhang mit regulierten Produkten greifen spätere Fristen.

Für ein Unternehmen reicht es deshalb nicht, ein Modell als „KI“ zu kennzeichnen. Entscheidend sind Zweck, betroffene Personen, Entscheidungswirkung, eingesetzte Daten, technische Einbindung und die Rolle des Unternehmens in der Lieferkette. Nutzt ein Unternehmen ein Standardmodell lediglich intern, gelten andere operative Fragen als bei einer Lösung, die Entscheidungen über Beschäftigte, Kreditwürdigkeit, Zugang zu Leistungen oder kritische Betriebsprozesse beeinflusst.

Eine praxistaugliche KI-Regulierung beantwortet für jeden Use Case mindestens vier Fragen: Wofür wird das System eingesetzt? Welche Daten und Systeme sind angebunden? Wer trägt welche Verantwortung? Und durch welche Kontrollen wird der Einsatz im Betrieb überwacht? Erst aus diesen Antworten entsteht eine belastbare Grundlage für Risikobewertung, Freigabe und Reporting.

Der EU AI Act ist kein isoliertes Compliance-Thema

Der AI Act wird oft als neues Regelwerk behandelt, das neben den vorhandenen Prozessen abgearbeitet werden kann. In der operativen Realität entstehen die wesentlichen Risiken jedoch an Übergängen: zwischen Fachprozess und KI-Modell, zwischen Datenplattform und SAP-System, zwischen externem Anbieter und interner Betriebsverantwortung.

Ein generatives Modell kann beispielsweise Inhalte für Vertriebs-, Service- oder Einkaufsprozesse erstellen. Sobald es auf interne Dokumente, Kundeninformationen oder SAP-Stammdaten zugreift, stellen sich Fragen zur Datenminimierung, Berechtigung, Protokollierung und Qualität der Wissensbasis. Gibt das Modell eine fehlerhafte Antwort aus, genügt ein allgemeiner Hinweis auf mögliche KI-Fehler nicht. Es muss klar sein, wann eine fachliche Prüfung erforderlich ist, wer sie durchführt und wie kritische Ausgaben dokumentiert werden.

Datenschutz und Informationssicherheit bleiben dabei eigenständige Pflichtenfelder. Personenbezogene Daten erfordern eine geeignete Rechtsgrundlage, Zweckbindung und technisch-organisatorische Schutzmaßnahmen. Für geschäftskritische Anwendungen sind zudem Anforderungen aus Berechtigungsmanagement, Lieferantensteuerung, Notfallkonzepten und Change Management relevant. KI-Governance verbindet diese Anforderungen, ersetzt aber weder Datenschutzmanagement noch Informationssicherheitsprozesse.

KI Regulierung beginnt mit einem vollständigen Use-Case-Inventar

Viele Organisationen kennen ihre zentralen KI-Initiativen, aber nicht die gesamte Nutzung. Fachbereiche testen Funktionen in Standardsoftware, Teams verwenden externe Assistenten, oder Anbieter ergänzen bestehende Produkte um KI-Komponenten. Ohne Inventar bleibt unklar, welche Systeme produktiv laufen, welche Daten verarbeitet werden und wo Handlungsbedarf besteht.

Ein Use-Case-Inventar sollte nicht als umfangreiche Bestandsaufnahme ohne Entscheidungsperspektive angelegt sein. Es braucht wenige, aber aussagekräftige Merkmale: Geschäftsbereich und Prozess, Zweck des Einsatzes, eingesetzte Modelle oder Anbieter, Datenkategorien, Systemanbindungen, Nutzerkreis, Entscheidungswirkung und Betriebsstatus. Ergänzend sind die verantwortliche Fachseite, die technische Betriebsverantwortung und die Freigabeinstanz festzuhalten.

Diese Transparenz schafft zwei Effekte. Erstens lassen sich Anwendungsfälle priorisieren, bei denen sensible Daten, hohe Auswirkungen oder kritische Schnittstellen vorliegen. Zweitens werden Doppelentwicklungen sichtbar. Wenn mehrere Bereiche ähnliche Assistenten mit unterschiedlichen Wissensquellen betreiben, entsteht nicht nur zusätzlicher Aufwand, sondern auch ein uneinheitliches Kontrollniveau.

Risikoklassifizierung braucht fachlichen und technischen Kontext

Die Einordnung nach dem AI Act darf nicht allein anhand eines Produktnamens oder einer Anbieterbeschreibung erfolgen. Ein Sprachmodell ist nicht automatisch Hochrisiko-KI. Seine konkrete Verwendung kann aber rechtlich und operativ anspruchsvoll sein. Umgekehrt kann ein formal weniger regulierter Einsatz erhebliche Unternehmensrisiken verursachen, etwa wenn fehlerhafte KI-Ausgaben direkt Buchungen auslösen, Kundenkommunikation versenden oder Produktionsplanung beeinflussen.

Eine gute Bewertung trennt daher regulatorisches Risiko und Betriebsrisiko nicht künstlich. Sie betrachtet Auswirkungen auf Personen, Auswirkungen auf Geschäftsprozesse, Datenkritikalität, Automatisierungsgrad sowie Kontrollmöglichkeiten. Daraus ergeben sich angemessene Maßnahmen. Für einen internen Rechercheassistenten können klare Nutzungsregeln, Quellenbezug und Zugriffskontrollen ausreichen. Bei einer KI-gestützten Priorisierung von Bewerbungen oder Bonitätsentscheidungen wären deutlich strengere Prüfungen, Dokumentationen und menschliche Aufsicht erforderlich.

Verantwortlichkeiten müssen bis in den Betrieb reichen

Eine KI-Richtlinie ohne gelebtes Rollenmodell löst kein Steuerungsproblem. Häufig bleibt offen, ob der Fachbereich für Ergebnisqualität verantwortlich ist, ob die IT nur die Plattform betreibt oder auch die Modellkonfiguration freigibt und wer Änderungen an Datenquellen bewertet. Diese Unklarheit wird spätestens dann kritisch, wenn ein Modell falsche Informationen liefert oder ein Anbieter eine wesentliche Funktion ändert.

In der Praxis bewährt sich eine klare Aufteilung. Der Fachbereich verantwortet Zweck, fachliche Eignung und die Kontrolle der Ergebnisse im Prozess. IT und Plattformverantwortliche steuern Integration, Berechtigungen, Monitoring und technische Änderungen. Datenverantwortliche sichern Herkunft, Qualität und Zugriffsregeln der genutzten Daten. Compliance, Datenschutz und Informationssicherheit definieren Anforderungen und prüfen risikoorientiert. Die Geschäftsleitung oder eine benannte Entscheidungsinstanz trägt die Verantwortung für Freigaben bei wesentlichen Risiken.

Diese Rollen müssen nicht für jedes kleine Experiment ein neues Gremium erzeugen. Der Aufwand sollte mit Risiko und Betriebsrelevanz wachsen. Ein klar abgegrenzter Pilot benötigt dennoch einen Eigentümer, einen Datenrahmen und ein Exit-Szenario. Ein produktiver KI-Service mit SAP-Anbindung benötigt zusätzlich dokumentierte Tests, Freigabekriterien, Änderungsprozesse und ein revisionssicheres Reporting.

Kontrollen dort verankern, wo Fehler entstehen

Wirksame Governance entsteht nicht durch eine Richtlinie im Intranet, sondern durch Kontrollen in den tatsächlichen Arbeitsabläufen. Bei Retrieval-gestützten Assistenten betrifft das etwa die Freigabe der Wissensquellen, die regelmäßige Prüfung veralteter Inhalte und die Trennung von Berechtigungen. Bei automatisierten Prozessschritten sind Eingabevalidierung, definierte Schwellenwerte, menschliche Freigaben und nachvollziehbare Protokolle entscheidend.

Testmanagement erhält dabei eine neue Dimension. Neben funktionalen Tests müssen Teams prüfen, ob das System unter realistischen Bedingungen fachlich brauchbare und zulässige Ergebnisse liefert. Dazu gehören repräsentative Testfälle, Grenzfälle, fehlerhafte oder unvollständige Eingaben sowie Szenarien mit nicht verfügbaren Datenquellen. Die Akzeptanzkriterien sollten nicht nur eine technische Antwortzeit festlegen, sondern auch Qualitäts- und Eskalationsregeln.

Ein weiterer Schwerpunkt ist das Change Management. Neue Datenquellen, Modellversionen, angepasste Prompts oder geänderte Anbieterbedingungen können die Risikobewertung verändern. Deshalb braucht es nachvollziehbare Änderungsprotokolle und Kriterien dafür, wann eine erneute Prüfung oder Freigabe erforderlich ist. Gerade in laufenden S/4HANA-Transformationen verhindert diese Verbindung aus Projektsteuerung und Governance, dass KI-Komponenten am Cutover vorbei in einen unkontrollierten Betrieb gelangen.

Dokumentation als Steuerungsinstrument, nicht als Ablage

Dokumentation wird oft erst bei Audits relevant. Für KI-Systeme ist sie vor allem ein Betriebsinstrument. Sie ermöglicht es, Entscheidungen nachzuvollziehen, Fehlerquellen einzugrenzen und Verantwortlichkeiten bei Änderungen zu klären. Nützlich sind daher keine Textsammlungen ohne Bezug zur Anwendung, sondern aktuelle Artefakte: Use-Case-Beschreibung, Risikoentscheidung, Datenfluss, Rollenmodell, Testnachweise, Freigaben, Betriebsanweisung und Änderungsverlauf.

Der Detailgrad hängt vom Risiko ab. Ein überdokumentierter, niedrigkritischer Pilot kann Innovation unnötig verzögern. Eine knappe Dokumentation für einen KI-gestützten Kernprozess schafft dagegen keine regulatorische Sicherheit. Der richtige Maßstab lautet: Kann ein unabhängiges Team nachvollziehen, wie das System arbeitet, welche Grenzen gelten und was bei einer Abweichung zu tun ist?

KI-Governance strukturiert aufbauen

Quteco kann in einem Quick Check oder Workshop bestehende KI-Anwendungsfälle, Datenflüsse, Rollen und Kontrolllücken strukturiert erfassen. Für die operative Umsetzung lassen sich Governance-Anforderungen mit Testmanagement, SAP-Integration, Berechtigungskonzepten und produktionsnahen Betriebsprozessen verbinden. Soweit eine rechtliche Einordnung zum EU AI Act, Datenschutz, NIS2 oder IT-Recht erforderlich ist, erfolgt diese durch die rechtlich eigenständige Quteco Rechtsanwaltsgesellschaft mbH.

Der sinnvollste erste Schritt ist selten ein umfangreiches Regelwerk. Beginnen Sie mit den KI-Anwendungen, die bereits produktiv arbeiten oder in kritische Daten und Prozesse eingreifen. Dort zeigt sich am schnellsten, welche Verantwortlichkeiten, Nachweise und technischen Kontrollen für einen stabilen Betrieb tatsächlich fehlen.