KI-Governance im Unternehmen: Rollen, Inventar und KI-Richtlinie

KI-Governance ist der organisatorische Rahmen, mit dem ein Unternehmen entscheidet, welche KI es einsetzt, wer dafür geradesteht und nach welchen Regeln gearbeitet wird. Vier Bausteine tragen sie: ein KI-Inventar, eine Triage nach Risikoklassen, klar zugewiesene Rollen und eine schriftliche KI-Richtlinie. Alles Weitere — Schulung, Dokumentation, Konformitätsbewertung — hängt an diesen vier.

Der EU AI Act verlangt „KI-Governance” nicht als eigenen Begriff. Er verlangt Ergebnisse, die sich ohne Governance nicht erzeugen lassen: eine belastbare Einstufung jedes Systems, wirksame menschliche Aufsicht durch kompetente Personen, Protokolle, Meldewege und Nachweise. Dieser Beitrag beschreibt, wie mittelständische Unternehmen das aufbauen, ohne ein Bürokratiemonster zu erzeugen.

Rechtsstand: 3. September 2026.

Baustein 1: Das KI-Inventar

Ohne Liste keine Steuerung. Das KI-Inventar ist die einzige Grundlage, auf der Sie später Fristen, Pflichten und Schulungsbedarf zuordnen können — und der häufigste Grund, warum Projekte scheitern, ist, dass diese Liste unvollständig bleibt.

Der typische blinde Fleck ist nicht das große KI-Projekt, sondern die KI-Funktion in eingekaufter Software: die Vorsortierung im Bewerbermanagement, der Scoring-Aufsatz im Kreditprozess, die Anomalieerkennung im Netzwerk, der Assistent im CRM, die Gesichtserkennung im Zutrittssystem. Fragen Sie deshalb nicht „Welche KI setzen wir ein?”, sondern gehen Sie Ihre Softwareliste, Ihre Fachbereiche und Ihre Lieferantenverträge durch.

Ein tragfähiges Inventar hält je System mindestens fest:

Feld	Warum es gebraucht wird
Bezeichnung und Anbieter	Zuordnung, Ansprechpartner, Vertragsbezug
Zweckbestimmung und Einsatzbereich	Grundlage jeder Risikoeinordnung — der Zweck entscheidet, nicht die Technik
Unsere Rolle: Anbieter oder Betreiber	Die Pflichten unterscheiden sich erheblich
Fachlicher Eigentümer (System-Owner)	Eine namentlich verantwortliche Person, kein Team
Verarbeitete Daten, Personenbezug	Schnittstelle zum Datenschutz
Entscheidungsrelevanz	Bereitet Ergebnisse nur vor oder prägt sie Entscheidungen über Menschen?
Risikoklasse und Begründung	Verboten, Hochrisiko, Transparenzpflicht oder minimal
Menschliche Aufsicht: wer, wie	Art. 14 und Art. 26 Abs. 2 verlangen benannte, kompetente Personen
Status und Datum der letzten Prüfung	Macht sichtbar, was veraltet ist

Ein gepflegtes Tabellenblatt genügt zu Beginn. Entscheidend ist nicht das Werkzeug, sondern dass es einen Pflichttermin gibt, zu dem das Inventar überprüft wird — und einen Punkt im Beschaffungsprozess, an dem neue Systeme eingetragen werden, bevor sie live gehen.

Baustein 2: Triage nach Risikoklassen

Jedes System aus dem Inventar durchläuft dieselbe Reihenfolge. Die Reihenfolge ist wichtig, weil eine Frage die nächste erledigt:

Ist es überhaupt ein KI-System im Sinne von Art. 3 Nr. 1? Eine feste Geschäftsregel oder eine klassische Statistikformel ist es in der Regel nicht.
Fällt es unter ein Verbot nach Art. 5? Emotionserkennung am Arbeitsplatz, Social Scoring, biometrische Kategorisierung nach sensiblen Merkmalen — hier endet die Prüfung, das System darf nicht eingesetzt werden.
Ist es Hochrisiko? Entweder als Sicherheitsbauteil eines regulierten Produkts (Anhang I) oder über einen der acht Bereiche aus Anhang III — Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Zugang zu essenziellen Leistungen, Strafverfolgung, Migration, Rechtspflege.
Greift die Ausnahme nach Art. 6 Abs. 3? Nur bei eng begrenzten Hilfs- und Vorbereitungsaufgaben — und nie, wenn ein Profiling natürlicher Personen stattfindet. Die Ausnahme greift nicht automatisch, sie muss begründet und dokumentiert werden (Details).
Bestehen Transparenzpflichten nach Art. 50? Chatbots, synthetische Inhalte, Deepfakes, Emotionserkennung.

Für den Einstieg in Schritt 3 und 4 nutzen Sie den kostenlosen Hochrisiko-Check: vier Fragen, Ergebnis im Browser, keine Übermittlung von Daten. Das Ergebnis gehört anschließend mit Datum ins Inventar — inklusive der Begründung. Eine Einstufung ohne festgehaltene Begründung ist im Zweifelsfall wertlos.

Baustein 3: Rollen und Verantwortlichkeiten

Der AI Act kennt keinen „KI-Beauftragten” analog zum Datenschutzbeauftragten. Es gibt also keine Bestellpflicht — aber es gibt jede Menge Aufgaben, die sonst niemandem gehören. Bewährt hat sich diese Verteilung:

Geschäftsführung. Verabschiedet die KI-Richtlinie, stellt Ressourcen bereit, trägt die Verantwortung für die Einhaltung. Delegierbar ist die Arbeit, nicht die Verantwortung.
KI-Koordination. Eine benannte Person (in kleineren Häusern in Teilzeit, oft angesiedelt bei Compliance, Recht oder IT), die das Inventar führt, die Triage moderiert, den Schulungsplan steuert und die Fristen im Blick behält. Sie entscheidet nicht fachlich — sie sorgt dafür, dass entschieden wird.
System-Owner im Fachbereich. Verantwortet ein konkretes System: Zweckbestimmung, Einhaltung der Betriebsanleitung, Meldung von Auffälligkeiten, Benennung der aufsichtführenden Personen.
Datenschutz. Prüft Rechtsgrundlage, Betroffenenrechte, Datenschutz-Folgenabschätzung und automatisierte Entscheidungen im Einzelfall.
Informationssicherheit. Verantwortet Zugriffe, Protokollierung, Modell- und Datensicherheit — Art. 15 verlangt Robustheit und Cybersicherheit.
Einkauf und Vertragswesen. Verankert im Beschaffungsprozess die Eintragung ins Inventar, verlangt vom Lieferanten Konformitätsangaben, Betriebsanleitung und Ansprechpartner.
Personalvertretung. Beteiligung ist bei KI am Arbeitsplatz kein Kann. Dazu unten mehr.

Zwei Pflichten sind besonders leicht zu übersehen: Nach Art. 26 Abs. 2 müssen Betreiber die menschliche Aufsicht Personen übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen — wer eingreifen soll, muss auch eingreifen dürfen. Und nach Art. 26 Abs. 6 sind die automatisch erzeugten Protokolle mindestens sechs Monate aufzubewahren, soweit sie Ihrer Kontrolle unterliegen. Beides gehört ins Inventar und in die Richtlinie.

Baustein 4: Muster-Gliederung einer KI-Richtlinie

Die KI-Richtlinie ist das Dokument, das Mitarbeitende tatsächlich lesen. Sie sollte kurz, konkret und verbindlich sein — zehn bis fünfzehn Seiten sind für die meisten Unternehmen zu lang, nicht zu kurz. Diese Gliederung hat sich als Gerüst bewährt; sie ist ein Strukturvorschlag, keine Rechtsberatung und ersetzt keine Prüfung Ihrer konkreten Lage.

Zweck und Geltungsbereich. Für wen gilt sie (Beschäftigte, Freelancer, Dienstleister), für welche Systeme, ab wann.
Begriffe. KI-System, Anbieter, Betreiber, Hochrisiko — kurz und in Ihrer Sprache, mit Verweis auf die Verordnung.
Grundsätze. Was Ihr Unternehmen mit KI will und was es nicht will. Dieser Abschnitt entscheidet, ob die Richtlinie gelesen oder abgeheftet wird.
Erlaubte und verbotene Nutzung. Zugelassene Werkzeuge (Positivliste), untersagte Anwendungen, Umgang mit Betriebsgeheimnissen, personenbezogenen Daten und urheberrechtlich geschütztem Material in Eingaben.
Freigabeprozess für neue KI-Systeme. Wer meldet an, wer prüft, wer gibt frei, wie kommt es ins Inventar. Ohne diesen Abschnitt wächst Schatten-KI.
Menschliche Aufsicht und Ergebnisprüfung. Wo Ergebnisse geprüft werden müssen, wer entscheidet, was bei Zweifeln passiert.
Kennzeichnung und Transparenz. Wann KI-Nutzung offenzulegen ist — intern wie gegenüber Kunden und Betroffenen.
Rollen und Verantwortlichkeiten. Die Zuordnung aus Baustein 3, mit Namen oder Funktionsbezeichnungen.
Schulung und KI-Kompetenz. Verweis auf das Schulungskonzept nach Art. 4, Turnus, Nachweis.
Dokumentation und Aufbewahrung. Was wo abgelegt wird, wie lange, wer Zugriff hat.
Vorfälle und Meldewege. Wer intern zu informieren ist, wann Anbieter und Marktüberwachungsbehörde zu informieren sind, wann ein System auszusetzen ist (Art. 26 Abs. 5, Art. 73).
Beschaffung und Dienstleister. Anforderungen an Lieferanten, Vertragsklauseln, Prüfung vor Einführung.
Verstöße. Was passiert, wenn gegen die Richtlinie verstoßen wird — arbeitsrechtlich abgestimmt.
Inkrafttreten, Überprüfung, Versionierung. Mit Datum und Verantwortlichem für die nächste Überprüfung.

Ein Hinweis aus der Praxis: Trennen Sie die Richtlinie (Regeln, verbindlich, selten geändert) von der Werkzeugliste (welche Tools sind freigegeben, häufig geändert). Sonst wird jede neue Software zur Richtlinienänderung.

Verhältnis zu Datenschutz, ISMS und Betriebsrat

Datenschutz. Die DSGVO gilt neben dem AI Act, nicht statt seiner. Praktische Berührungspunkte: die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, die Rechtsgrundlage für die Verarbeitung, und Art. 22 DSGVO bei automatisierten Entscheidungen im Einzelfall. Der AI Act kennt zusätzlich die Grundrechte-Folgenabschätzung nach Art. 27 — sie trifft aber nur einen engen Kreis: Betreiber, die Einrichtungen des öffentlichen Rechts oder private Einrichtungen mit öffentlichen Diensten sind, sowie Betreiber von Systemen nach Anhang III Nr. 5 Buchst. b und c (Kreditwürdigkeitsprüfung sowie Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen); ausgenommen ist der Bereich Anhang III Nr. 2. Seit dem Digital Omnibus dürfen Sie dabei ausdrücklich auf die einschlägigen Abschnitte einer bereits durchgeführten Datenschutz-Folgenabschätzung verweisen oder sie übernehmen (Art. 27 Abs. 4); das KI-Büro erarbeitet zudem ein vereinfachendes Fragebogen-Muster. Neu ist außerdem Art. 4a: Für die Erkennung und Korrektur von Verzerrungen in Hochrisiko-Systemen dürfen Anbieter unter engen Bedingungen besondere Kategorien personenbezogener Daten verarbeiten.

ISMS und Managementsysteme. Wer bereits ein ISMS nach ISO/IEC 27001 betreibt, hat den halben Apparat: Dokumentenlenkung, Rollen, Risikomethodik, internes Audit, Korrekturmaßnahmen. KI-Governance dockt dort an, statt daneben zu entstehen. Wenn Sie das formalisieren wollen, führt der Weg zu einem KI-Managementsystem nach ISO/IEC 42001 — mit dem wichtigen Vorbehalt, dass daraus keine Konformitätsvermutung nach dem AI Act folgt. Falls Ihr Unternehmen zugleich unter die NIS-2-Richtlinie fällt, lohnt der gemeinsame Blick auf beides; ob Sie betroffen sind, zeigt der NIS-2-Betroffenheits-Check.

Betriebsrat. In Deutschland ist die Beteiligung der Personalvertretung bei KI am Arbeitsplatz kein Nebenschauplatz. Nach § 90 Abs. 1 Nr. 3 BetrVG ist der Betriebsrat über die Planung von Arbeitsverfahren und -abläufen einschließlich des Einsatzes von Künstlicher Intelligenz rechtzeitig zu unterrichten. Nach § 87 Abs. 1 Nr. 6 BetrVG besteht ein echtes Mitbestimmungsrecht bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung bestimmt sind — was auf viele KI-gestützte Systeme zutrifft. § 95 Abs. 2a BetrVG erstreckt die Mitbestimmung bei Auswahlrichtlinien ausdrücklich auf den KI-Einsatz, und nach § 80 Abs. 3 Satz 2 BetrVG gilt die Hinzuziehung eines Sachverständigen als erforderlich, wenn der Betriebsrat Einführung oder Anwendung von KI beurteilen muss. Dazu kommt die eigenständige Informationspflicht des AI Act: Nach Art. 26 Abs. 7 informieren Arbeitgeber vor Inbetriebnahme eines Hochrisiko-Systems am Arbeitsplatz die Arbeitnehmervertreter und die betroffenen Beschäftigten.

In welcher Reihenfolge anfangen

Wer alles gleichzeitig beginnt, wird mit nichts fertig. Eine belastbare Reihenfolge:

Inventar aufnehmen — grob, aber vollständig.
Triage der Systeme, die Entscheidungen über Menschen beeinflussen; alles andere später.
Rollen benennen und schriftlich festhalten.
KI-Richtlinie verabschieden und kommunizieren.
Schulung nach Art. 4 ausrollen, beginnend bei den Fachbereichen aus Schritt 2.
Für Hochrisiko-Kandidaten: Pflichtenplan mit Terminen gegen die Frist 2. Dezember 2027 (Anhang III) beziehungsweise 2. August 2028 (Anhang I) — siehe Fristen des EU AI Act.

Häufige Fragen

Brauchen wir einen KI-Beauftragten? Der EU AI Act schreibt keine Bestellung vor — anders als die DSGVO beim Datenschutzbeauftragten. Praktisch braucht es trotzdem eine benannte Person, die Inventar, Triage und Fristen führt. Ob das eine eigene Rolle ist oder bei Compliance, Recht oder IT liegt, hängt von der Unternehmensgröße ab.

Ist eine KI-Richtlinie im Unternehmen Pflicht? Als solche nicht. Sie ist aber der praktikabelste Weg, mehrere echte Pflichten gleichzeitig zu erfüllen: die Unterstützung der KI-Kompetenz nach Art. 4, den bestimmungsgemäßen Betrieb nach Art. 26 Abs. 1 und die Zuweisung der menschlichen Aufsicht nach Art. 26 Abs. 2.

Wie grenzen wir KI-Governance vom Datenschutz ab? Der Datenschutz fragt, ob personenbezogene Daten rechtmäßig verarbeitet werden. Die KI-Governance fragt zusätzlich, ob das System für seinen Zweck taugt, wer es beaufsichtigt, wie es dokumentiert ist und in welche Risikoklasse es fällt. Große Überschneidung bei den Beteiligten, unterschiedliche Prüffragen — deshalb: gemeinsame Sitzung, getrennte Nachweise.

Was gehört mindestens ins KI-Inventar? Bezeichnung, Anbieter, Zweckbestimmung, Ihre Rolle (Anbieter oder Betreiber), Fachverantwortliche, verarbeitete Daten, Entscheidungsrelevanz, Risikoklasse mit Begründung, aufsichtführende Personen und das Datum der letzten Prüfung.

Müssen wir den Betriebsrat beteiligen? Bei KI-Systemen, die Verhalten oder Leistung überwachen können, besteht nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht; über die Planung des KI-Einsatzes ist der Betriebsrat nach § 90 Abs. 1 Nr. 3 BetrVG rechtzeitig zu unterrichten. Unabhängig davon verlangt Art. 26 Abs. 7 AI Act die Information von Arbeitnehmervertretern und Beschäftigten vor der Inbetriebnahme eines Hochrisiko-Systems am Arbeitsplatz.

Lohnt sich KI-Governance auch ohne Hochrisiko-Systeme? Ja, aber in kleinerem Format. Inventar, Freigabeprozess und eine kurze Richtlinie verhindern Schatten-KI und Datenabflüsse — das ist der Nutzen, der unabhängig von der Verordnung entsteht.

Ihr nächster Schritt

Die Triage ist der Punkt, an dem KI-Governance konkret wird. Der kostenlose Hochrisiko-Check liefert für ein einzelnes System in rund zwei Minuten eine Ersteinschätzung samt Pflichtenliste — die Auswertung läuft vollständig im Browser. Den Rechtsrahmen erklärt der Überblick EU AI Act einfach erklärt.

Wenn Sie Inventar, Richtlinie und Rollenmodell nicht selbst aufsetzen wollen: Compliance-Service anfragen.

Quellen

Verordnung (EU) 2024/1689 (AI Act), konsolidierte Fassung mit Stand 27. Juli 2026, EUR-Lex — Art. 4, 4a, 5, 6, 14, 26, 27, 50, 73
Verordnung (EU) 2026/1744 („Digital Omnibus on AI”) vom 8. Juli 2026, EUR-Lex
Betriebsverfassungsgesetz, § 80, § 87, § 90 und § 95, gesetze-im-internet.de
KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG), gesetze-im-internet.de