Wer entscheidet über KI? Drei Betriebsmodelle für KI-Governance

Governance ist eine Organisationsfrage, keine Dokumentenfrage

In vielen Unternehmen entsteht KI-Governance als Nebenprodukt einer Compliance-Anforderung. Jemand fordert eine Richtlinie, jemand schreibt sie, und das Dokument wandert ins Intranet. Sechs Monate später starten trotzdem Vorhaben an der Richtlinie vorbei — nicht aus bösem Willen, sondern weil nie geklärt wurde, wer überhaupt zuständig ist.

Eine Richtlinie beschreibt, was gelten soll. Ein Betriebsmodell beschreibt, wer entscheidet, wer prüft, wer eskaliert und wie lange das dauert. Ohne das Zweite bleibt das Erste folgenlos. Die Frage nach dem Betriebsmodell lässt sich auf drei Grundmuster reduzieren.

Modell A: Zentrales Center of Excellence

Eine benannte Einheit bündelt KI-Kompetenz, bewertet jedes Vorhaben und gibt es frei. Fachbereiche bringen Ideen ein, das Zentrum entscheidet über Priorisierung, Risikoklasse und Umsetzungspfad.

• •

  Passt, wenn KI-Kompetenz knapp ist und Sie eine konsistente Risikobewertung über sehr unterschiedliche Fachbereiche hinweg brauchen.

• •

  Passt, wenn regulatorischer Druck hoch ist und Nachweisführung an einer Stelle gebündelt werden soll.

• •

  Typisches Scheitern: Das Zentrum wird zum Nadelöhr. Die Warteschlange wächst, Fachbereiche weichen aus, und es entsteht eine Schatten-KI-Landschaft, die niemand mehr überblickt.

Modell B: Föderiert mit zentralem Regelwerk

Ein kleines Kernteam definiert Regeln, Risikoklassen und Mindestanforderungen. Entscheiden dürfen die Fachbereiche selbst — solange sie sich innerhalb der Klassifizierung bewegen. Erst oberhalb einer definierten Schwelle greift die zentrale Prüfung.

Dieses Modell setzt voraus, dass die Schwelle wirklich trennscharf ist. Wer „hohes Risiko" nur unscharf beschreibt, erzeugt entweder Dauerbelastung des Kernteams oder stillschweigendes Durchwinken.

• •

  Passt, wenn Fachbereiche eigene Umsetzungskapazität haben und Geschwindigkeit zählt.

• •

  Typisches Scheitern: Die Selbsteinstufung wird zur Formsache. Fast alles landet in der niedrigsten Klasse, weil die höhere Klasse spürbar mehr Aufwand bedeutet.

Modell C: Eingebettet in bestehende Gremien

KI-Vorhaben durchlaufen keine eigene Instanz, sondern die vorhandenen Wege: Architekturboard, Datenschutzprüfung, Investitionsfreigabe. Ergänzt wird lediglich um KI-spezifische Prüfpunkte in bestehenden Checklisten.

Der Reiz liegt im geringen Aufbauaufwand und in der Akzeptanz — niemand muss ein neues Gremium anerkennen. Der Preis ist fehlende Sichtbarkeit: Ohne eine Stelle, die den Gesamtbestand kennt, lässt sich kaum beantworten, wie viele KI-Systeme im Haus betrieben werden.

• •

  Passt bei kleiner KI-Landschaft und gut funktionierenden bestehenden Gremien.

• •

  Typisches Scheitern: Es gibt kein Verzeichnis. Bei der ersten Nachfrage von außen kann niemand sagen, welche Systeme betroffen sind.

Woran Sie das passende Modell erkennen

Die Wahl hängt weniger an der Unternehmensgröße als an zwei Größen: der Verteilung der Umsetzungskompetenz und der Höhe des regulatorischen Drucks. Liegt die Kompetenz zentral und der Druck hoch, ist Modell A folgerichtig. Liegt Kompetenz verteilt vor und der Druck ist hoch, führt Modell B weiter. Ist beides gering, genügt zunächst Modell C — solange ein Verzeichnis mitgeführt wird.

Wichtiger als die erste Wahl ist, das Modell überhaupt explizit zu benennen. Die teuerste Variante ist das unausgesprochene Modell, bei dem jeder Beteiligte eine andere Annahme darüber hat, wer zuständig ist.