Leitfaden für Enterprise AI Governance im Betrieb

Eine KI-Anwendung wird nicht dadurch produktionsreif, dass ein Fachbereich einen überzeugenden Prototypen präsentiert. Spätestens wenn sie auf Kunden-, Lieferanten-, Personal- oder SAP-Daten zugreift, Entscheidungen vorbereitet oder Prozesse beeinflusst, entstehen konkrete Steuerungsfragen. Dieser Leitfaden für Enterprise AI Governance zeigt, wie Unternehmen diese Fragen in eine belastbare Betriebsstruktur überführen - ohne die Einführung durch unnötige Bürokratie zu blockieren.

Enterprise AI Governance ist keine isolierte Compliance-Disziplin. Sie verbindet Geschäftsverantwortung, Datenqualität, Informationssicherheit, Architektur, Betrieb und Nachweisführung. Ihr Wert zeigt sich dann, wenn ein Modell angepasst werden muss, eine Datenquelle ausfällt, ein Fachbereich die Ergebnisse anzweifelt oder eine Prüfung nachvollziehbare Unterlagen verlangt.

Warum Enterprise AI Governance im Betrieb beginnt

Viele Governance-Konzepte setzen zu spät an. Sie beschreiben Leitlinien, Freigabegremien und abstrakte Risikoklassen, lassen aber offen, wer im laufenden Betrieb eine fehlerhafte Antwort untersucht, einen Prompt ändert oder eine Schnittstelle zu SAP sperrt. Genau dort entstehen jedoch die Risiken für Verfügbarkeit, Integrität und Nachvollziehbarkeit.

Eine wirksame Governance betrachtet daher den vollständigen Lebenszyklus: von der fachlichen Idee über Datenbeschaffung, Entwicklung und Test bis zu Go-Live, Monitoring, Änderungssteuerung und Außerbetriebnahme. Der Umfang muss zum Einsatz passen. Ein interner Assistent für unkritische Wissenssuche benötigt andere Kontrollen als ein KI-gestützter Prozess, der Bestellvorschläge priorisiert, Qualitätsabweichungen bewertet oder Dokumente in einem regulierten Umfeld klassifiziert.

Entscheidend ist nicht die Zahl der Dokumente. Entscheidend ist, ob Verantwortliche im Ereignisfall handlungsfähig sind und ob Entscheidungen, Datenflüsse sowie Änderungen revisionssicher rekonstruiert werden können.

Die sechs Bausteine eines belastbaren Governance-Modells

1. Einsatzfall und Entscheidungskontext klar abgrenzen

Am Anfang steht keine Technologieentscheidung, sondern eine präzise Beschreibung des Einsatzfalls. Welches fachliche Problem wird gelöst? Welche Nutzergruppe verwendet das Ergebnis? Welche Systeme liefern Daten, und welche Folgeprozesse werden beeinflusst? Ebenso wichtig ist die Grenze des Systems: Was darf die KI unterstützen, was darf sie nicht entscheiden, und wann ist eine menschliche Prüfung zwingend?

Diese Abgrenzung verhindert einen häufigen Fehler: Ein zunächst unterstützender Use Case wächst schrittweise in einen entscheidungsrelevanten Prozess hinein, ohne dass Risikobewertung und Kontrollen angepasst werden. Für jeden Einsatzfall sollte deshalb eine fachliche Eigentümerschaft benannt sein. Der Fachbereich trägt die Verantwortung für Zweck, Akzeptanzkriterien und angemessene Nutzung - nicht allein das IT-Team.

2. Rollen entlang des Lebenszyklus verbindlich festlegen

Enterprise AI Governance scheitert selten an fehlenden Rollenbezeichnungen. Sie scheitert daran, dass Zuständigkeiten zwischen Fachbereich, Data Team, IT-Betrieb, Informationssicherheit, Datenschutz, Compliance und Einkauf ungeklärt bleiben. Ein Rollenmodell muss deshalb konkrete Entscheidungen zuordnen.

Wer genehmigt die Nutzung einer neuen Datenquelle? Wer bewertet Auswirkungen einer Modell- oder Prompt-Änderung? Wer entscheidet bei auffälligen Ergebnissen über Abschaltung, Rückfallprozess oder Kommunikation an betroffene Fachbereiche? Wer bestätigt vor dem Go-Live, dass Tests, Betriebsdokumentation und Berechtigungen vollständig sind?

Eine RACI-Matrix kann hilfreich sein, ersetzt aber keine operativen Übergaben. In laufenden Transformationsprojekten bewährt sich eine klare Verknüpfung mit vorhandenen Change-, Incident- und Release-Prozessen. So wird KI nicht als Sonderweg geführt, sondern in den etablierten Betrieb integriert.

3. Datenflüsse und Datenqualität beherrschbar machen

Die Qualität eines KI-Ergebnisses hängt nicht nur vom Modell ab. Unvollständige Stammdaten, inkonsistente Materialnummern, nicht dokumentierte Transformationen oder veraltete Wissensquellen erzeugen Fehler, die oft erst im Fachprozess sichtbar werden. Gerade bei SAP-nahen Szenarien müssen Datenflüsse daher vom Ursprung bis zur Ausgabe nachvollziehbar sein.

Dazu gehören Datenklassifizierung, Zweckbindung, Zugriffsrechte, Aufbewahrungsregeln und Qualitätskriterien. Unternehmen sollten festlegen, welche Datenquellen freigegeben sind, wie Aktualität geprüft wird und wie sich Inhalte aus nicht vertrauenswürdigen Quellen abgrenzen lassen. Bei Retrieval-gestützten Anwendungen ist zusätzlich zu dokumentieren, nach welchen Kriterien Dokumente aufgenommen, indiziert, aktualisiert und entfernt werden.

Belastbare Daten bedeuten nicht fehlerfreie Daten. Sie bedeuten, dass bekannte Qualitätsgrenzen transparent sind, Prüfungen definiert wurden und Nutzer die Aussagekraft eines Ergebnisses realistisch einordnen können.

4. Risiken konkret bewerten statt pauschal klassifizieren

Eine Risikoanalyse muss den tatsächlichen Nutzungskontext erfassen. Relevante Fragen betreffen unter anderem mögliche Fehlentscheidungen, Datenabfluss, unzulässige Berechtigungen, Halluzinationen, verzerrte Ergebnisse, Angriffe über Eingaben sowie Abhängigkeiten von externen Modellen oder Plattformen. Bei KI, die Prozesse mit hohen wirtschaftlichen oder regulatorischen Auswirkungen unterstützt, steigen die Anforderungen an Tests, Freigaben und menschliche Kontrolle.

Der EU AI Act kann dabei rechtliche Anforderungen auslösen, deren konkrete Einordnung vom Einsatzfall, der Rolle des Unternehmens und der Systemkonstellation abhängt. Datenschutz, Informationssicherheit und gegebenenfalls NIS2-Anforderungen sind ebenfalls nicht nachträglich anzufügen, sondern in die Risikoanalyse einzubeziehen. Die rechtliche Bewertung sollte klar von technischen und organisatorischen Umsetzungsaufgaben getrennt bleiben. Bei Bedarf kann die rechtlich eigenständige Quteco Rechtsanwaltsgesellschaft mbH die rechtliche Einordnung technologiebezogener Fragestellungen übernehmen.

5. Kontrollen in Architektur und Prozess verankern

Kontrollen wirken am besten, wenn sie nicht nur in einer Richtlinie stehen. Berechtigungskonzepte, Protokollierung, Freigaben für Datenquellen, Umgebungsabgrenzungen und Schnittstellenkontrollen gehören in die technische Umsetzung. Gleiches gilt für Vorgaben zur Verschlüsselung, zum Umgang mit Zugangsdaten sowie zur Trennung von Entwicklungs-, Test- und Produktivumgebung.

Für generative KI sind zusätzlich Eingabe- und Ausgabekontrollen relevant. Sensible Inhalte dürfen nicht unkontrolliert in externe Dienste gelangen. Antworten, die Folgeaktionen auslösen, benötigen definierte Prüfpfade. Wo Ergebnisse in SAP-Prozesse zurückgeschrieben werden, sollte ein fachlich verantworteter Rückfallprozess vorhanden sein. Ein stabiler Betrieb setzt voraus, dass die Organisation auch ohne KI weiterarbeiten kann, wenn ein Dienst nicht verfügbar ist oder ein Ergebnis als unzuverlässig bewertet wird.

6. Monitoring, Änderungen und Nachweise planen

Mit dem Go-Live beginnt die anspruchsvollste Phase. Modelle, Datenquellen, Prompts, Berechtigungen und Schnittstellen verändern sich. Jede relevante Änderung kann Qualität, Risiko und regulatorische Einordnung beeinflussen. Deshalb braucht Enterprise AI Governance nachvollziehbare Change-Kriterien: Welche Anpassungen sind Standardänderungen, welche erfordern erneute Tests, und wann ist eine formale Freigabe notwendig?

Das Monitoring sollte technische und fachliche Signale verbinden. Technische Kennzahlen können Fehlerraten, Antwortzeiten, Zugriffsmuster oder Ausfälle abbilden. Fachliche Kennzahlen erfassen etwa Korrekturquoten, Abbruchraten, falsche Zuordnungen oder die Nutzung nicht freigegebener Ergebnisse. Die Auswahl hängt vom Use Case ab. Ein Kundenservice-Assistent benötigt andere Indikatoren als eine KI zur Analyse von Lieferketten- oder Qualitätsdaten.

Revisionssicheres Reporting entsteht nicht durch umfangreiche Protokolle allein. Benötigt werden strukturierte Nachweise zu Zweck, Freigaben, Datenquellen, Tests, Änderungen, Verantwortlichkeiten und Vorfällen. Diese Unterlagen müssen für Projektleitung, interne Kontrollfunktionen und gegebenenfalls Prüfer verständlich sein.

Ein pragmatischer Start für laufende Projekte

Unternehmen müssen nicht zuerst ein unternehmensweites Regelwerk mit allen denkbaren Sonderfällen erstellen. Sinnvoller ist ein priorisierter Start mit den produktionsnahen oder bereits geplanten Einsatzfällen. Ein Quick Check kann Transparenz schaffen: Welche Anwendungen existieren bereits? Welche Daten und Systeme sind betroffen? Wo fehlen Verantwortlichkeiten, Dokumentation oder Kontrollen? Daraus lässt sich ein umsetzbarer Maßnahmenplan mit klaren Abhängigkeiten ableiten.

In komplexen S/4HANA-Transformationen sollte die KI-Governance an bestehende Projektsteuerung anschließen. Testmanagement, Cutover-Planung, Rollenmodelle und Datenflussanalyse sind keine getrennten Arbeitspakete, wenn KI auf operative Daten und Kernprozesse zugreift. Werden diese Themen gemeinsam geplant, lassen sich späte Freigabeprobleme vor dem Go-Live deutlich reduzieren.

Governance als Voraussetzung für nutzbare KI

Der Maßstab für Enterprise AI Governance ist nicht maximale Kontrolle, sondern verlässliche Entscheidungsfähigkeit. Fachbereiche müssen wissen, wann sie KI-Ergebnisse verwenden können. IT und Security benötigen transparente Datenflüsse und Betriebsgrenzen. Projektleitungen brauchen prüfbare Freigabekriterien, bevor ein Einsatzfall in kritische Prozesse übergeht.

Governance-Strukturen praxisnah prüfen

Quteco unterstützt Unternehmen mit Quick Checks, Workshops und operativer Projektbegleitung bei der Einordnung von KI-Einsatzfällen, Datenflüssen, Rollenmodellen und Betriebsanforderungen. Im Fokus stehen umsetzbare Governance-Strukturen, die sich in SAP- und IT-Projekte, Testprozesse sowie produktionsnahe Einführungen integrieren lassen.

Eine tragfähige Governance schafft nicht weniger Handlungsspielraum. Sie schafft die Grundlage, KI-Einsatzfälle kontrolliert weiterzuentwickeln, ohne Stabilität, regulatorische Sicherheit und fachliche Verantwortung aus dem Blick zu verlieren.