KI Richtlinien im Unternehmen wirksam umsetzen

Ein Fachbereich möchte einen KI-Assistenten für die Bearbeitung von Serviceanfragen einsetzen. Die Lösung verarbeitet jedoch Kundendaten, greift auf Wissensbestände zu und erzeugt Antworten, die in operative Entscheidungen einfließen können. Ohne klare KI Richtlinien bleiben zentrale Fragen offen: Wer gibt den Einsatz frei? Welche Daten sind zulässig? Wie werden Ergebnisse geprüft? Und wer handelt, wenn das Modell fehlerhafte oder nicht nachvollziehbare Ausgaben liefert?

KI-Richtlinien sind deshalb kein Dokument für die Ablage. Sie schaffen einen verbindlichen Handlungsrahmen für Auswahl, Einführung und Betrieb von KI-Systemen. Ihr Nutzen zeigt sich besonders dort, wo KI mit SAP-Prozessen, sensiblen Daten, regulierten Fachbereichen oder geschäftskritischen Entscheidungen verbunden wird.

Was KI Richtlinien im Unternehmen leisten müssen

Eine wirksame Richtlinie übersetzt Governance in konkrete Vorgaben für Projektteams und Fachbereiche. Sie beschreibt nicht nur, dass KI verantwortungsvoll einzusetzen ist. Sie legt fest, welche Einsatzklassen erlaubt sind, welche Prüfungen vor einem Produktivstart notwendig werden und welche Nachweise im Betrieb vorliegen müssen.

Dabei muss die Regelung zum tatsächlichen Risikoprofil passen. Ein internes System zur Zusammenfassung nicht vertraulicher Protokolle braucht andere Kontrollen als eine KI, die Kreditentscheidungen vorbereitet, Produktionsparameter bewertet oder Beschaffungsprozesse priorisiert. Ein zu allgemeines Regelwerk erzeugt Interpretationsspielräume. Ein überreguliertes Regelwerk führt dagegen dazu, dass Fachbereiche auf nicht freigegebene Werkzeuge ausweichen.

Für mittelständische und größere Organisationen ist daher ein gestuftes Modell zweckmäßig. Niedrigrisikofälle können über definierte Standards und beschleunigte Freigaben laufen. Bei Anwendungen mit personenbezogenen Daten, kritischen Geschäftsprozessen, externen Modellen oder weitreichenden Auswirkungen braucht es eine vertiefte fachliche, technische und gegebenenfalls rechtliche Bewertung.

Der Geltungsbereich beginnt vor dem Modell

Viele Richtlinien konzentrieren sich auf generative KI. Das greift zu kurz. Erfasst werden sollten auch klassische Prognosemodelle, regelbasierte Automatisierungen mit KI-Komponenten, externe KI-Services, eingebettete Funktionen in Standardsoftware und eigenständig entwickelte oder konfigurierte Lösungen. Entscheidend ist nicht die Produktbezeichnung, sondern ob ein System Daten auswertet und daraus Inhalte, Empfehlungen, Vorhersagen oder Entscheidungen ableitet.

Der Geltungsbereich muss zudem entlang des Datenflusses gedacht werden. Wird ein Sprachmodell nur mit freigegebenen Dokumenten versorgt? Werden Inhalte aus SAP, Data Warehouse oder CRM übernommen? Verlassen Daten die eigene Betriebsumgebung? Werden Ergebnisse zurück in führende Systeme geschrieben? Diese Fragen verbinden KI-Governance mit Datenarchitektur, Berechtigungskonzepten und Integrationsdesign.

Eine Richtlinie sollte daher mindestens festhalten, welche Datenkategorien ausgeschlossen sind, unter welchen Bedingungen personenbezogene oder vertrauliche Daten verarbeitet werden dürfen und welche Anforderungen für externe Anbieter gelten. Pauschale Verbote sind selten belastbar. Erforderlich sind nachvollziehbare Kriterien, die sich im Projekt prüfen und im Betrieb kontrollieren lassen.

Verantwortlichkeiten müssen in den Betrieb passen

KI-Governance scheitert häufig nicht an fehlenden Grundsätzen, sondern an unklaren Zuständigkeiten. Der Fachbereich kennt den Prozess und verantwortet den Nutzen. Die IT verantwortet Architektur, Integration, Betrieb und Sicherheitsvorgaben. Datenverantwortliche beurteilen Herkunft, Qualität und zulässige Nutzung der Daten. Informationssicherheit, Datenschutz, Compliance und bei Bedarf Einkauf bringen weitere Prüfanforderungen ein.

Diese Rollen dürfen nicht nur als Gremium auf einem Organigramm erscheinen. Für jedes KI-Vorhaben sollte eindeutig sein, wer den Anwendungsfall anmeldet, wer die Risikoeinstufung bestätigt, wer die Datenfreigabe erteilt, wer die fachliche Qualität abnimmt und wer den laufenden Betrieb überwacht. Besonders kritisch ist die Produktivfreigabe: Sie braucht definierte Mindestnachweise statt einer informellen Zustimmung im Projektmeeting.

Bei Modellen mit Einfluss auf operative Entscheidungen ist zusätzlich eine fachliche Verantwortlichkeit für die Ergebnisprüfung erforderlich. Menschliche Aufsicht bedeutet nicht, dass ein Mitarbeitender Ergebnisse theoretisch ansehen könnte. Sie muss durch Arbeitsabläufe, Qualifikation, Eskalationswege und ausreichende Entscheidungsbefugnisse tatsächlich wirksam sein.

Vom Use Case zur kontrollierten Produktivsetzung

Eine praxistaugliche Richtlinie sollte den Lebenszyklus eines KI-Systems abbilden. Am Anfang steht eine kurze, strukturierte Beschreibung des Anwendungsfalls: Geschäftsprozess, erwarteter Nutzen, betroffene Nutzergruppen, Datenquellen, Systemgrenzen und mögliche Fehlfolgen. Diese Grundlage verhindert, dass technische Lösungen implementiert werden, bevor der fachliche Zweck und die Risiken geklärt sind.

Es folgt die Risikobewertung. Dabei sind nicht nur Datenschutz oder regulatorische Vorgaben relevant. Zu prüfen sind auch Datenqualität, Verzerrungen, fachliche Fehlerbilder, Abhängigkeiten von Anbietern, Manipulationsmöglichkeiten, Berechtigungskonzepte und Auswirkungen auf Verfügbarkeit sowie Wiederanlauf. Bei einer KI-gestützten Belegklassifikation kann ein falsch zugeordnetes Dokument zu Buchungsfehlern führen. Bei einer Anwendung im Kundenservice können unzutreffende Aussagen Vertrags- oder Reputationsrisiken auslösen.

Vor der Produktivsetzung braucht es belastbare Testkriterien. Dazu gehören fachliche Testfälle, Grenzfälle, negative Tests, Prüfungen der Zugriffskontrolle und dokumentierte Abnahmekriterien. Bei integrierten Systemen sind Schnittstellen, Fehlerbehandlung und Rückfallverfahren ebenso relevant wie die Modellqualität. Ein guter Trefferwert allein reicht nicht aus, wenn bei Ausfällen unklar bleibt, wie der Prozess weiterläuft.

Nach dem Go-Live endet die Governance nicht. Änderungen an Datenquellen, Prompts, Modellen, Berechtigungen oder Schnittstellen können das Verhalten eines Systems deutlich verändern. KI-Richtlinien sollten deshalb regeln, welche Änderungen eine erneute Prüfung auslösen, welche Kennzahlen überwacht werden und wann ein Einsatz auszusetzen ist. Revisionssicheres Reporting entsteht nicht durch nachträgliche Dokumentation, sondern durch festgelegte Nachweise im Prozess.

Datenqualität und Architektur sind Governance-Themen

Ein Modell kann technisch leistungsfähig sein und dennoch unzuverlässige Ergebnisse liefern, wenn Stammdaten uneinheitlich, Dokumente veraltet oder Datenflüsse nicht nachvollziehbar sind. KI-Richtlinien müssen daher Anforderungen an Datenherkunft, Aktualität, Verantwortlichkeit und Versionierung aufnehmen. Das gilt besonders für Retrieval-Anwendungen, bei denen ein Sprachmodell Antworten aus internen Wissensbeständen erzeugt.

In SAP-nahen Szenarien ist die Trennung von Lese-, Analyse- und Schreibzugriffen wesentlich. Nicht jedes System, das Daten auswerten darf, sollte Buchungen oder Stammdatenänderungen anstoßen können. Technische Rollenmodelle, Protokollierung und Freigabeschritte begrenzen Risiken und erleichtern die Ursachenanalyse bei Fehlern.

Auch die Nachvollziehbarkeit von Entscheidungen braucht eine realistische Ausgestaltung. Bei komplexen Modellen ist eine vollständige Erklärung einzelner Ergebnisse nicht immer möglich. Unternehmen können aber dokumentieren, welche Daten verwendet wurden, welche Modellversion aktiv war, nach welchen Regeln Ergebnisse verarbeitet wurden und wer die fachliche Freigabe erteilt hat.

Rechtliche Anforderungen gezielt einordnen

Der EU AI Act, Datenschutzrecht, Informationssicherheit und vertragliche Vorgaben können unterschiedliche Anforderungen an denselben Anwendungsfall stellen. Eine KI-Richtlinie ersetzt keine Einzelfallprüfung. Sie schafft jedoch die organisatorische Grundlage, damit relevante Prüfungen rechtzeitig angestoßen, Entscheidungen dokumentiert und Auflagen in technische sowie betriebliche Kontrollen überführt werden.

Das betrifft etwa Transparenzpflichten, den Umgang mit personenbezogenen Daten, Anforderungen an Risikomanagement oder die Nachweisführung gegenüber internen und externen Prüfern. Welche Anforderungen im konkreten Fall gelten, hängt vom Zweck des Systems, den betroffenen Personen, der Datenverarbeitung und der Rolle des Unternehmens ab. Rechtliche Bewertungen zu EU AI Act, Datenschutz, NIS2 und IT-Recht erfolgen bei Bedarf durch die rechtlich eigenständige Quteco Rechtsanwaltsgesellschaft mbH.

KI-Richtlinien schrittweise etablieren

Der sinnvollste Einstieg ist selten die sofortige Erstellung eines hundertseitigen Regelwerks. Zuerst sollte das Unternehmen seine vorhandenen und geplanten KI-Anwendungen erfassen. Daraus lassen sich wiederkehrende Datenflüsse, kritische Prozesse, typische Freigabeentscheidungen und bestehende Lücken in Rollenmodellen oder Dokumentation ableiten.

Auf dieser Basis kann eine Kernrichtlinie entstehen, ergänzt durch anwendungsnahe Vorlagen für Use-Case-Erfassung, Risikoeinstufung, Testprotokoll, Freigabe und Betriebsüberwachung. Entscheidend ist die Verankerung in bestehenden Projektmethoden. Wenn KI-Prüfungen außerhalb von Architekturreview, Testmanagement, Change-Prozess und Cutover-Planung laufen, werden sie unter Zeitdruck übergangen.

Ein regelmäßiger Review sorgt dafür, dass die Richtlinie mit dem Technologieeinsatz mitwächst. Neue Modellanbieter, veränderte Schnittstellen oder zusätzliche Einsatzbereiche erfordern nicht stets ein neues Governance-Modell, aber häufig präzisere Kontrollen. Das Ziel ist ein steuerbarer Betrieb, der Innovation nicht von Verantwortung trennt.

Passende Grundlage für den operativen Einsatz

Quteco unterstützt Unternehmen mit Quick Checks und Workshops dabei, KI-Anwendungsfälle, Datenflüsse, Rollen und Kontrolllücken strukturiert zu bewerten. Daraus können umsetzbare Governance-Vorgaben, belastbare Test- und Freigabeprozesse sowie eine Einbindung in SAP-, Daten- und Transformationsprojekte entstehen.

Eine gute KI-Richtlinie zeigt ihre Qualität nicht in abstrakten Leitsätzen, sondern in der nächsten Freigabeentscheidung: Sie macht klar, was geprüft werden muss, wer entscheidet und wie ein sicherer Betrieb nachweisbar bleibt.