Wie baut man AI-Governance auf, die nicht zum Papiertiger wird?
Fachlich geprüft: · Inhalt aktualisiert:
Tragfähige AI-Governance läuft auf drei Ebenen gleichzeitig: strategisch, taktisch, operativ — und in genau dieser Reihenfolge aufgebaut. Der häufigste Fehler: operative Tools und Prozesse einführen, bevor der strategische Rahmen steht. Das Ergebnis ist Governance-Theater statt Governance. Ein Minimalmodell mit 5 Rollen und 6 Kernentscheidungen reicht für den Start.
Dieser Leitfaden wurde am 23. Juli 2026 fachlich geprüft und am 31. Oktober 2026 inhaltlich aktualisiert.
Welche drei Ebenen braucht ein tragfähiges Governance-Framework?
Schwäche auf einer Ebene destabilisiert das Gesamtsystem: Strategische Richtung ohne operative Umsetzung bleibt Papier. Operative Kontrolle ohne strategischen Rahmen produziert inkonsistente Entscheidungen. Taktische Policies ohne Führung und Kultur werden schlicht umgangen — AI-Governance greift zudem in bestehende interne Regularien ein und muss mit diesen abgestimmt werden, nicht isoliert daneben stehen.
Ziele, Werte, Risikotoleranz
C-Level, Board, AI Ethics Committee. Klärt Risikotoleranz und Verantwortlichkeiten, bevor irgendein Tool beschafft wird.
Policies, Prozesse, Standards
CDO/CIO, AI Governance Officer, Legal & DPO. Übersetzt die strategische Richtung in konkrete, nutzbare Policies.
Use Cases, Monitoring, Betrieb
AI Engineers, MLOps, Business Owner. Setzt Policies im Tagesgeschäft um — Reviews, Monitoring, Audit.
Ablauf in drei Schritten: Zuerst die strategische Ebene — Risikotoleranz, Werte und Verantwortlichkeiten auf C-Level klären. Dann die taktische Ebene — Policies schreiben, die auf der Strategie aufbauen. Zuletzt die operative Ebene — Use-Case-Reviews, Monitoring, Audit. Die umgekehrte Reihenfolge erzeugt Governance-Theater statt Governance.
Reihenfolge entscheidet: Zuerst die strategische Ebene aufbauen — Risikotoleranz, Werte, Verantwortlichkeiten auf C-Level klären. Dann die taktische Ebene — Policies schreiben, die auf der Strategie aufbauen. Zuletzt die operative Ebene — Use-Case-Reviews, Monitoring, Audit. Der häufigste Fehler ist die umgekehrte Reihenfolge: operative Tools und Prozesse ohne strategischen Rahmen einführen. Das erzeugt Governance-Theater, keine Governance.
Wer entscheidet was? Das Minimalmodell mit 5 Rollen
Jedes Unternehmen braucht dieses Mindestmodell — unabhängig von Größe und Reifegrad. Fünf Rollen genügen, um sechs kritische Entscheidungen sauber zuzuordnen: CDO/CIO, AI Governance Officer, DPO/Legal, BU-Owner und AI Engineer. R steht für Responsible, A für Accountable, C für Consulted, I für Informed.
| Entscheidung | CDO/CIO | AI Governance Officer | DPO/Legal | BU-Owner | AI Engineer |
|---|---|---|---|---|---|
| Use Case genehmigen | A | R | C | C | — |
| Risikoklasse einordnen (nach EU AI Act) | A | R¹ | R¹ | — | — |
| Datenschutz-Folgeabschätzung | — | C | A und R | C | — |
| Go-Live-Freigabe | A | R² | — | — | R² |
| Modell deaktivieren (Incident)³ | A | R | — | — | R |
| Policy-Änderung genehmigen | A | R | — | I | I |
¹ Risikoklasse einordnen: AI Governance Officer und DPO/Legal sind gemeinsam verantwortlich (R).
² Go-Live-Freigabe: AI Governance Officer und AI Engineer sind gemeinsam verantwortlich (R).
³ Modell deaktivieren: im Incident sofort, ohne Rückfrage.
Eskalationspfade gehören von Anfang an dazu, nicht erst nach dem ersten Vorfall. Fehlerhafte oder diskriminierende Ergebnisse eines AI-Systems eskalieren innerhalb von 4 Stunden an AI Governance Officer und BU-Owner, bei Bedarf weiter an CDO, DPO und Legal. Eine Datenpanne eskaliert innerhalb einer Stunde an DPO und CISO — die 72-Stunden-Meldefrist der DSGVO läuft parallel mit. Führt ein Agent mit Transaktionsberechtigung eine nicht autorisierte Aktion aus, eskaliert das an AI Engineer und BU-Owner, in der zweiten Stufe an CDO, CISO und den zuständigen Software-Anbieter.
Glossar
- RACI
- Zuständigkeitsmatrix, die je Aufgabe oder Entscheidung festlegt, wer sie durchführt (Responsible), wer sie verantwortet (Accountable), wer konsultiert (Consulted) und wer informiert wird (Informed).
- AI Ethics Committee
- Gremium, das ethische Grundsätze für den KI-Einsatz festlegt und kritische Use Cases bewertet; in diesem Leitfaden Teil der strategischen Governance-Ebene.
- Eskalationspfad
- Festgelegte Abfolge, an wen ein Vorfall innerhalb welcher Frist weitergemeldet wird, wenn er auf der aktuellen Ebene nicht gelöst werden kann.
- Governance-Theater
- Operative Prozesse und Tools, die ohne strategischen Rahmen eingeführt wurden — sie sehen nach Governance aus, sind aber inkonsistent und werden unter Belastung umgangen.
Ihren Governance-Rahmen am konkreten Use Case prüfen
Ob ein Use Case in Ihren Governance-Rahmen passt, prüft der Governance-Check an sechs Gates, von der Risikoklasse nach EU AI Act bis zur Dokumentation. Sie erhalten ein Verdikt in vier Stufen mit Begründung je Gate.
AI Governance Check starten →FAQ
Brauchen auch kleine Unternehmen alle drei Ebenen?
Ja, aber schlank: Ein AI-Starter braucht keine eigene Ethikkommission, aber jemanden, der auf C-Level Risikotoleranz und Verantwortlichkeit klärt — sonst fehlt der Rahmen für alles Weitere.
Was ist Governance-Theater genau?
Operative Prozesse und Tools, die ohne strategischen Rahmen eingeführt wurden — sie sehen nach Governance aus, sind aber inkonsistent und werden bei der ersten Belastung umgangen.
Reicht eine Person für alle fünf Rollen bei einem Starter?
Übergangsweise ja — entscheidend ist, dass die sechs Kernentscheidungen jemandem klar zugeordnet sind, nicht dass fünf verschiedene Personen existieren.
Wie schnell sollte ein Governance-Prozess eine Freigabe ermöglichen?
Ziel sind 5 Werktage, nicht 5 Monate. Klare Rollen und ein definierter Entscheidungsbaum sind dafür Voraussetzung, keine zusätzliche Bürokratie.
Daniel Ostner
Aus Kapitel 4 des Enterprise-AI-Leitfaden-Buchs
Verwandte Leitfäden
Governance-Entscheidungsbaum
Fünf Fragen entscheiden über die Freigabe eines AI-Use-Case. Wer den Entscheidungsbaum sauber durchläuft, erreicht eine Freigabe in 5 Werktagen statt 5 Monaten.
EU AI Act für Unternehmen
EU AI Act: vier Risikoklassen, gestaffelte Fristen bis Dezember 2027 und warum KI im Recruiting fast immer Hochrisiko ist — Stand nach Digital-Omnibus.