KI-Richtlinie oder Governance Framework: Was trägt?

Die Frage „KI-Richtlinie oder Governance Framework“ stellt sich meist nicht in einem Grundsatzworkshop, sondern mitten im Projekt: Ein Fachbereich möchte einen KI-gestützten Service produktiv nutzen, Datenquellen sind noch nicht eindeutig freigegeben, und die IT soll Betrieb, Sicherheit und Nachvollziehbarkeit absichern. Eine kurze Richtlinie ist dann schnell formuliert. Sie reicht jedoch selten aus, um KI im Unternehmensbetrieb steuerbar zu machen.

Für viele Unternehmen ist deshalb nicht die Entscheidung zwischen zwei Alternativen entscheidend, sondern die richtige Reihenfolge. Eine KI-Richtlinie setzt Leitplanken. Ein Governance Framework macht diese Leitplanken in Prozessen, Rollen, Kontrollen und Nachweisen wirksam. Wer beides voneinander trennt, vermeidet zwei typische Fehler: zu allgemeine Vorgaben ohne Wirkung im Projektalltag und überdimensionierte Governance-Strukturen, die einfache Anwendungsfälle ausbremsen.

Was eine KI-Richtlinie leisten muss

Eine KI-Richtlinie beschreibt, unter welchen Bedingungen Mitarbeitende und Projektteams KI-Systeme einsetzen dürfen. Sie schafft einen gemeinsamen Orientierungsrahmen für Fachbereiche, IT, Informationssicherheit, Datenschutz, Compliance und Einkauf. Ihr Wert liegt in klaren, verständlichen Regeln - nicht in einer möglichst großen Zahl von Paragraphen.

Typische Inhalte sind der zulässige Einsatzbereich, der Umgang mit Unternehmens- und Personendaten, Anforderungen an menschliche Prüfung, Regeln für externe KI-Dienste sowie Vorgaben zur Dokumentation. Auch die Abgrenzung von Experimenten, Pilotierungen und produktivem Einsatz gehört hinein. Ein Prototyp mit synthetischen Daten stellt andere Anforderungen als ein System, das Entscheidungen in Kunden-, Qualitäts- oder Lieferprozessen vorbereitet.

Die Richtlinie beantwortet damit vor allem die Frage: Was ist erlaubt, was ist untersagt, und wann braucht ein Vorhaben eine zusätzliche Prüfung? Sie ersetzt aber keine Betriebsprozesse. Wenn ein Team beispielsweise ein Sprachmodell zur Auswertung von Servicevorgängen einsetzen will, benötigt es mehr als die Vorgabe, sensible Daten zu schützen. Es muss feststehen, welche Datenflüsse zulässig sind, wer die fachliche Qualität bewertet, wie Änderungen am Modell behandelt werden und welche Nachweise für Audits verfügbar sein müssen.

Wann ein Governance Framework erforderlich ist

Ein KI-Governance-Framework übersetzt Anforderungen in einen belastbaren Steuerungsmechanismus. Es verbindet technische Architektur, Organisationsmodell und Kontrolllogik entlang des gesamten Lebenszyklus eines KI-Systems. Das gilt besonders, sobald KI in Kernprozesse, SAP-nahe Datenlandschaften, Entscheidungsunterstützung oder regulierte Geschäftsbereiche eingebunden wird.

Dabei geht es nicht darum, für jede Anwendung ein separates Gremium aufzubauen. Entscheidend ist eine risikoorientierte Differenzierung. Ein interner Assistent für nicht vertrauliche Wissensdokumente kann mit einem schlanken Freigabeweg betrieben werden. Eine KI-Anwendung, die Stammdaten klassifiziert, Produktionsabweichungen bewertet oder Handlungsempfehlungen für Einkauf und Vertrieb liefert, benötigt dagegen definierte Tests, fachliche Abnahme und ein nachvollziehbares Monitoring.

Ein praxistaugliches Framework regelt mindestens fünf Ebenen:

• Verantwortung: Business Owner, Data Owner, technische Betriebsverantwortung und Kontrollfunktionen haben klar abgegrenzte Aufgaben.

• Anwendungsinventar: KI-Anwendungen werden mit Zweck, Datenbezug, Risikoeinstufung, Lieferantenanteilen und Betriebsstatus erfasst.

• Freigaben und Nachweise: Vor der Produktivsetzung sind Anforderungen, Tests, Datenherkunft und Abnahmen dokumentiert.

• Betrieb und Überwachung: Qualität, Fehlerraten, Änderungen, Zugriffe und sicherheitsrelevante Ereignisse werden nach einem festen Verfahren überwacht.

• Ausnahme- und Eskalationswege: Für neue Datenquellen, kritische Abweichungen oder nicht geplante Nutzung gibt es definierte Entscheidungen statt informeller Abstimmungen.

Die konkrete Ausgestaltung hängt von Branche, Datenarten, vorhandenen Kontrollsystemen und der Kritikalität des Einsatzes ab. Unternehmen mit etabliertem ISMS, Datenkatalog oder Change-Management sollten diese Strukturen nutzen, statt eine parallele KI-Organisation zu schaffen. Governance wird wirksam, wenn sie an bestehende Projekt- und Betriebsabläufe anschließt.

KI-Richtlinie oder Governance Framework: Die sinnvolle Reihenfolge

Für Organisationen, die gerade erste produktive KI-Anwendungen vorbereiten, ist ein gestuftes Vorgehen meist sinnvoller als ein umfassendes Zielbild auf Papier. Zunächst sollte Transparenz darüber entstehen, welche Anwendungsfälle bereits existieren, welche Daten verarbeitet werden und wo Entscheidungen durch KI vorbereitet oder beeinflusst werden. Ohne dieses Inventar bleibt jede Richtlinie abstrakt.

Darauf folgt eine kompakte Richtlinie mit klaren Mindestanforderungen. Sie sollte für Projektteams unmittelbar anwendbar sein und nicht erst nach juristischer Auslegung verständlich werden. Parallel werden die Prozesse für die Anwendungsfälle aufgebaut, die aufgrund ihres Risikos oder ihrer Integrationstiefe mehr Steuerung benötigen. So wächst das Governance Framework dort, wo es operativ gebraucht wird.

Diese Reihenfolge hat einen weiteren Vorteil: Sie zeigt früh, welche Rollen und Artefakte tatsächlich fehlen. Häufig bestehen bereits Teile der nötigen Struktur - etwa ein Architekturboard, ein Datenschutzprozess, ein Lieferantenmanagement oder Testverfahren für S/4HANA-Änderungen. Die Lücke liegt dann weniger in fehlenden Vorgaben als in der Verbindung dieser Elemente für KI. Ein Governance Framework muss diese Schnittstellen explizit machen.

Von der Richtlinie in den Projektbetrieb

Die Belastungsprobe findet nicht bei der Veröffentlichung der Richtlinie statt, sondern beim ersten produktionsnahen Vorhaben. Nehmen wir eine KI-gestützte Analyse von Belegen oder Serviceanfragen. Das Projektteam muss nachvollziehen können, aus welchen Quellsystemen Daten stammen, welche Felder an ein Modell übergeben werden und ob die Ergebnisse zurück in führende Systeme geschrieben werden. Bei SAP-Integrationen sind Berechtigungen, Datenminimierung, Schnittstellenprotokolle und fachliche Freigaben besonders eng miteinander verzahnt.

Ein guter Governance-Prozess beginnt daher bereits in der Anforderungsphase. Der fachliche Nutzen und die zulässige Entscheidungstiefe müssen beschrieben werden: Darf die KI nur Vorschläge liefern, oder löst sie Folgeprozesse aus? Danach werden Datenbasis, Architektur, Modell- oder Anbieterwahl und Risiken bewertet. Vor dem Go-Live gehören Testfälle für fachliche Qualität, Grenzfälle, Zugriffsrechte und Fehlerbehandlung dazu. Die Ergebnisse sollten so dokumentiert sein, dass sie auch Monate später bei Änderungen oder Prüfungen verständlich bleiben.

Nach der Einführung endet Governance nicht. Modelle, Prompts, Datenbestände und Schnittstellen ändern sich. Deshalb braucht der Betrieb festgelegte Trigger: etwa eine deutliche Verschlechterung der Ergebnisqualität, neue Datenkategorien, ein Wechsel des Modellanbieters oder eine Erweiterung des Nutzerkreises. Solche Änderungen dürfen nicht wie gewöhnliche Konfigurationsanpassungen behandelt werden, wenn sie Zweck, Risiko oder Kontrollniveau einer Anwendung verändern.

Rechtliche Anforderungen richtig einordnen

Der EU AI Act, Datenschutzanforderungen, Informationssicherheit und branchenspezifische Vorgaben wirken nicht isoliert. Für Unternehmen ist entscheidend, sie in technische und organisatorische Abläufe zu übersetzen. Eine Risikobewertung hilft nur dann, wenn daraus überprüfbare Maßnahmen entstehen: klare Datenflüsse, dokumentierte menschliche Aufsicht, Testnachweise, Berechtigungskonzepte und definierte Verantwortliche.

Die rechtliche Bewertung konkreter Pflichten, Vertragskonstellationen oder Einzelfälle sollte dabei von der rechtlich eigenständigen Quteco Rechtsanwaltsgesellschaft mbH erfolgen. Die technische und organisatorische Umsetzung benötigt zugleich ein Team, das Architektur, Datenmanagement, Projektsteuerung und Betrieb zusammen betrachtet. Diese Trennung der Verantwortungsbereiche schafft Klarheit - gerade bei Vorhaben mit externen KI-Anbietern und komplexen Unternehmensdaten.

Woran sich ein tragfähiges Framework messen lässt

Ein Governance Framework ist nicht daran zu erkennen, wie umfangreich seine Dokumentation ist. Es muss Entscheidungen beschleunigen, weil Zuständigkeiten und Mindestnachweise vorab geklärt sind. Projektteams sollten früh erkennen können, welcher Freigabepfad gilt, welche Tests erforderlich sind und wer Risiken akzeptieren darf.

Messbar wird das unter anderem durch eine vollständige Übersicht produktiver KI-Anwendungen, nachvollziehbare Freigaben vor dem Go-Live, dokumentierte Änderungen und eine geringere Zahl ungeklärter Daten- oder Verantwortungsfragen in Projekten. Ebenso wichtig ist die Betriebsfähigkeit: Werden Qualitätsabweichungen erkannt, lassen sich Ergebnisse reproduzieren, und können kritische Funktionen bei Bedarf kontrolliert eingeschränkt werden?

Governance strukturiert in den Betrieb überführen

Quteco unterstützt Unternehmen mit Quick Checks und Workshops dabei, vorhandene KI-Anwendungen, Datenflüsse und Verantwortlichkeiten zu erfassen und daraus ein angemessenes Governance-Vorgehen abzuleiten. In laufenden SAP-, Daten- und KI-Projekten können die erforderlichen Rollen, Nachweise, Test- und Freigabeschritte direkt in die Projektsteuerung integriert werden. So entsteht keine zusätzliche Papierschicht, sondern eine Struktur, die den stabilen Betrieb konkreter Anwendungen unterstützt.

Der nächste sinnvolle Schritt ist selten ein hundertseitiges Regelwerk. Er besteht darin, den kritischsten Anwendungsfall sauber zu steuern und die dabei gewonnenen Strukturen gezielt auf weitere KI-Vorhaben zu übertragen.