Was ein KI Governance Workshop klären muss

Ein Fachbereich möchte einen KI-Assistenten produktiv einsetzen, die IT prüft Plattform und Schnittstellen, Datenschutz fordert eine Datenflussanalyse, Compliance fragt nach Freigaben. Häufig laufen diese Gespräche parallel und ohne gemeinsame Entscheidungsgrundlage. Ein KI Governance Workshop bringt die Beteiligten an einen Tisch, ordnet die offenen Punkte und übersetzt sie in umsetzbare Arbeitspakete. Das Ziel ist keine abstrakte KI-Strategie, sondern ein steuerbarer Weg vom konkreten Anwendungsfall zum stabilen Betrieb.

Gerade in mittelständischen und größeren Organisationen entscheidet sich die Qualität der KI-Einführung nicht allein am gewählten Modell. Entscheidend sind belastbare Daten, eindeutig zugeordnete Verantwortlichkeiten und Prozesse, die auch unter Zeitdruck nachvollziehbar bleiben. Das gilt besonders dort, wo KI mit SAP-Prozessen, Kunden- oder Lieferantendaten, technischen Dokumentationen oder regulierten Geschäftsabläufen verbunden wird.

Warum KI-Projekte ohne Governance ins Stocken geraten

Viele Vorhaben starten nachvollziehbar mit einem fachlichen Bedarf: Belege sollen schneller klassifiziert, Serviceanfragen besser priorisiert oder Wissen aus Dokumenten verfügbar gemacht werden. Die kritischen Fragen folgen oft erst kurz vor Pilotierung oder Go-Live. Welche Daten darf die Lösung verarbeiten? Wer trägt die Verantwortung für fachliche Ergebnisse? Wie werden Änderungen am Modell, an den Datenquellen oder an den Prompts dokumentiert? Und was geschieht, wenn ein Ergebnis fehlerhaft, unvollständig oder nicht plausibel ist?

Ohne geklärte Antworten entstehen Medienbrüche zwischen Fachbereich, IT, Informationssicherheit, Datenschutz und Einkauf. Ein Pilot bleibt im Testbetrieb, weil Freigaben fehlen. Oder eine Lösung wird technisch produktiv gesetzt, ohne dass ein tragfähiges Kontroll- und Eskalationsmodell besteht. Beides verursacht Verzögerungen und erhöht den Aufwand für nachträgliche Korrekturen.

Governance bedeutet dabei nicht, jedes KI-Vorhaben mit zusätzlichen Gremien zu belasten. Sie muss dem Risiko, dem Einsatzzweck und der Eingriffstiefe entsprechen. Ein internes Recherchewerkzeug mit freigegebenen Wissensbeständen benötigt andere Kontrollen als ein System, das Entscheidungen in Kredit-, Personal-, Qualitäts- oder Sicherheitsprozessen vorbereitet. Ein guter Workshop schafft genau diese Differenzierung, statt pauschale Vorgaben zu erzeugen.

Was ein KI Governance Workshop leisten soll

Ein wirksamer Workshop ist eine strukturierte Arbeitsphase mit klarer Vor- und Nachbereitung. Er verdichtet vorhandenes Wissen, macht Zielkonflikte sichtbar und führt zu dokumentierten Entscheidungen. Dafür müssen die relevanten Rollen beteiligt sein: mindestens Fachverantwortung, IT beziehungsweise Enterprise Architecture, Datenverantwortung, Informationssicherheit sowie Datenschutz und Compliance. Je nach Anwendungsfall kommen SAP-Verantwortliche, Betriebsrat, Einkauf, Qualitätsmanagement oder Risikomanagement hinzu.

Im Mittelpunkt steht zunächst der konkrete Use Case. Die Gruppe klärt, welchen Geschäftsprozess die KI unterstützt, welche Entscheidung sie beeinflusst und wo die menschliche Prüfung zwingend bleibt. Diese Abgrenzung ist operativ relevant: Sie bestimmt, welche Nachweise erforderlich sind, wie Testfälle aufgebaut werden und welche Kennzahlen den produktiven Nutzen sowie die Fehlerrisiken abbilden.

Danach wird die Datenbasis betrachtet. Nicht die Menge der verfügbaren Daten ist entscheidend, sondern Herkunft, Qualität, Zweckbindung, Zugriffsrechte und Aktualität. Bei einer Anbindung an SAP können etwa Stamm-, Bewegungs- und Berechtigungsdaten betroffen sein. Der Workshop sollte deshalb Datenflüsse vom Ursprung über Aufbereitung und Verarbeitung bis zur Ausgabe nachvollziehbar erfassen. Nur so lässt sich beurteilen, ob Datenminimierung, Maskierung, Trennung von Mandanten oder zusätzliche Freigaben erforderlich sind.

Ein dritter Kernpunkt ist das Betriebsmodell. Es beschreibt, wer die Lösung fachlich verantwortet, wer technisch betreibt, wer Änderungen freigibt und wer Auffälligkeiten bearbeitet. Diese Fragen werden häufig zu allgemein formuliert. Aussagen wie „Die IT ist zuständig“ reichen nicht aus, wenn ein Fachbereich Prompt-Vorlagen ändert, neue Wissensquellen einspielt oder ein externes Modell aktualisiert wird. Benötigt werden Rollen mit konkreten Entscheidungs- und Kontrollrechten.

Die richtigen Fragen entlang des Lebenszyklus

Ein KI Governance Workshop sollte nicht nur den aktuellen Prototyp bewerten. Er muss den vollständigen Lebenszyklus abdecken: Planung, Entwicklung oder Konfiguration, Test, Freigabe, Betrieb, Änderung und Außerbetriebnahme. Dadurch entstehen Anforderungen, die nicht beim Go-Live enden.

Den Anwendungsfall klar abgrenzen

Zu Beginn sind Nutzen, Zielgruppe und Prozessgrenze zu definieren. Unterstützt die KI Mitarbeitende bei der Recherche, erstellt sie Vorschläge oder löst sie Folgeaktionen aus? Je stärker das Ergebnis einen geschäftlichen Vorgang beeinflusst, desto wichtiger sind Freigabeschritte, Plausibilitätsprüfungen und dokumentierte menschliche Aufsicht.

Ebenso relevant sind Ausschlusskriterien. Welche Entscheidungen darf das System ausdrücklich nicht treffen? Welche Inhalte, Datenklassen oder Nutzergruppen bleiben ausgeschlossen? Solche Grenzen verhindern, dass ein begrenzter Pilot schrittweise zu einem Einsatz mit deutlich höherem Risiko wird, ohne dass die Governance mitwächst.

Daten, Modelle und Integrationen bewerten

Bei Datenfragen sollten Teams nicht bei einer allgemeinen Schutzbedarfsbewertung stehen bleiben. Sie müssen konkret festhalten, welche Quellen genutzt werden, wer sie pflegt und nach welchen Regeln Inhalte aktualisiert oder entfernt werden. Für Retrieval-gestützte Anwendungen ist beispielsweise entscheidend, wie Dokumente freigegeben, versioniert und gegen unberechtigte Zugriffe abgesichert werden.

Auch die technische Architektur gehört auf den Tisch. Werden Modelle extern bezogen oder innerhalb einer kontrollierten Unternehmensumgebung betrieben? Welche Schnittstellen bestehen zu SAP, Data Warehouse, Dokumentenmanagement oder Identitätsmanagement? Wie werden Protokollierung, Berechtigungen, Schlüsselverwaltung und Mandantentrennung umgesetzt? Die passende Antwort hängt von Schutzbedarf, Integrationsgrad und Betriebsmodell ab. Eine technisch leistungsfähige Lösung ist nicht automatisch für sensible Produktivdaten geeignet.

Kontrollen testbar gestalten

Governance wird erst belastbar, wenn Kontrollen im Projekt überprüfbar sind. Dazu gehören Testfälle für fachliche Qualität, Sicherheitsvorgaben und unerwünschte Ausgaben ebenso wie definierte Abnahmekriterien. Bei generativer KI reicht ein einmaliger Funktionstest nicht aus. Teams sollten festlegen, wie sie Halluzinationen, Prompt-Injection, unzulässige Datenoffenlegung oder schleichende Qualitätsverluste erkennen und behandeln.

Hilfreich sind messbare Schwellenwerte und Eskalationswege. Wird eine Fehlerquote überschritten, müssen Ursache, Verantwortlichkeit und nächste Maßnahme klar sein. Je nach Einsatz kann das eine Korrektur der Wissensbasis, eine Einschränkung von Funktionen, eine erneute fachliche Freigabe oder das kontrollierte Zurücksetzen auf einen sicheren Betriebszustand sein. Revisionssicheres Reporting entsteht nicht durch lange Dokumente, sondern durch nachvollziehbare Entscheidungen, Versionen und Nachweise.

Welche Ergebnisse am Ende vorliegen sollten

Ein Workshop ist dann erfolgreich, wenn er Entscheidungen beschleunigt und nicht lediglich offene Fragen sammelt. Das Ergebnis sollte mindestens eine priorisierte Übersicht der Use Cases, eine Risikoeinordnung, ein abgestimmtes Rollenmodell und einen Maßnahmenplan enthalten. Dazu kommen Anforderungen an Datenflüsse, Architektur, Tests, Freigaben und Betrieb.

Wichtig ist die Trennung zwischen sofort umsetzbaren Maßnahmen und Punkten, die eine vertiefte Prüfung benötigen. Eine fehlende Datenklassifizierung kann beispielsweise zunächst die Pilotdaten begrenzen. Eine kritische Schnittstelle zu produktiven SAP-Daten erfordert dagegen möglicherweise eine detaillierte Architektur- und Berechtigungsanalyse, bevor ein Test weitergeführt wird.

Soweit regulatorische Anforderungen wie EU AI Act, Datenschutz, NIS2 oder IT-rechtliche Vertragsfragen betroffen sind, müssen technische und organisatorische Maßnahmen sauber von der rechtlichen Bewertung getrennt werden. Die rechtliche Einordnung kann bei Bedarf durch die rechtlich eigenständige Quteco Rechtsanwaltsgesellschaft mbH erfolgen. Im Workshop selbst sollte klar dokumentiert werden, welche Entscheidung technisch, organisatorisch oder rechtlich weiterbearbeitet wird.

Typische Fehler bei der Workshop-Durchführung

Der häufigste Fehler ist ein zu breiter Zuschnitt. Wenn zehn hypothetische KI-Ideen gleichzeitig diskutiert werden, bleibt die Bewertung oberflächlich. Sinnvoller ist es, mit einem priorisierten Anwendungsfall zu starten und die erarbeitete Struktur anschließend auf weitere Fälle zu übertragen.

Problematisch ist auch eine reine Compliance-Perspektive. Sie kann Risiken sichtbar machen, ersetzt aber keine Architekturentscheidung, kein Rollenmodell und keine Betriebsprozesse. Umgekehrt genügt eine technische Machbarkeitsprüfung nicht, wenn Datenverantwortung, Freigaben und Nachweisführung ungeklärt bleiben. Governance funktioniert nur als Verbindung von Fachlichkeit, Technik, Betrieb und Kontrollanforderungen.

Schließlich sollte ein Workshop nicht ohne Eigentümer für die Folgeschritte enden. Jede Maßnahme benötigt eine verantwortliche Rolle, einen realistischen Termin und ein überprüfbares Ergebnis. Andernfalls werden Erkenntnisse aus dem Termin zu einer weiteren Präsentation, während das Projekt dieselben Fragen wenige Wochen später erneut aufwirft.

Governance als Teil der Produktivsetzung

KI-Governance ist kein einmaliges Freigabedokument. Modelle, Datenquellen, Schnittstellen und fachliche Anforderungen verändern sich. Deshalb braucht jede produktive Lösung einen angemessenen Änderungsprozess, regelmäßige Kontrollen und definierte Entscheidungen für Erweiterungen. Besonders bei parallelen S/4HANA-Transformationen sollte die KI-Einführung mit Testmanagement, Cutover-Planung und Berechtigungsmodellen abgestimmt werden. Andernfalls treffen zwei Veränderungen in derselben Prozesslandschaft unkoordiniert aufeinander.

KI-Governance strukturiert vorbereiten

Quteco unterstützt Unternehmen mit einem fokussierten Workshop oder Quick Check dabei, konkrete KI-Anwendungsfälle, Datenflüsse, Rollen und Betriebsanforderungen belastbar zu ordnen. Daraus kann ein priorisierter Maßnahmenplan für Architektur, Test, Freigabe und produktionsnahe Einführung entstehen. Der hilfreiche nächste Schritt ist nicht die größtmögliche Richtlinie, sondern eine nachvollziehbare Entscheidung, die im Projektbetrieb tatsächlich umgesetzt und überprüft werden kann.