KI-Governance-Richtlinie: Aufbau und Template für das Unternehmen

Eine KI-Governance-Richtlinie ist das organisatorische Grundgesetz für den KI-Einsatz im Unternehmen. Sie legt fest, wer was darf, wie neue Systeme freigegeben werden, welche Regeln für Mitarbeiter gelten und wie Vorfälle behandelt werden. Ohne diese Richtlinie bleibt jede technische Compliance-Maßnahme Stückwerk.

Dieser Ratgeber beschreibt die 9 Bausteine einer belastbaren KI-Governance-Richtlinie, liefert eine Template-Struktur und markiert typische Fehler in der Praxis.

Warum eine eigene KI-Governance-Richtlinie?

Der EU AI Act fordert an mehreren Stellen organisatorische Maßnahmen: Art. 4 (Kompetenz), Art. 9 (Risikomanagement), Art. 17 (Qualitätsmanagement). Viele Unternehmen haben bereits IT-Richtlinien, Datenschutzrichtlinien und Compliance-Regelungen. Die Versuchung ist groß, KI einfach in diese bestehenden Dokumente einzubetten.

In der Praxis scheitert das aus drei Gründen:

1. KI hat eigene Risiken — Halluzinationen, Bias, Drift, die in klassischen IT-Richtlinien nicht abgebildet sind
2. KI-Compliance hat eigene Prozesse — Freigabe nach Anhang III, Art. 4 Schulungen, Monitoring — die bei IT allgemein anders laufen
3. KI verlangt eigene Rollen — ein benannter KI-Beauftragter mit klarer Verantwortung kommt in bestehenden Dokumenten meist nicht vor

Eine eigenständige KI-Governance-Richtlinie schafft Klarheit — für Mitarbeiter, für die Geschäftsleitung und für Aufsichtsbehörden bei späteren Prüfungen.

Die 9 Bausteine einer KI-Governance-Richtlinie

Baustein 1: Geltungsbereich und Zielsetzung

Der Kopf der Richtlinie definiert, wofür sie gilt:

• Welche Unternehmensteile sind erfasst? (alle Tochtergesellschaften, spezifische Standorte, bestimmte Abteilungen)
• Welche Systeme sind erfasst? Definition „KI-System” im Sinne des EU AI Act
• Zweck der Richtlinie: Compliance mit EU AI Act und DSGVO sicherstellen, Risiken minimieren, Produktivitätsgewinne ermöglichen
• Verbindlichkeit: für alle Mitarbeiter, Auftragsverarbeiter, Dienstleister

Baustein 2: Grundprinzipien

Die leitenden Werte der KI-Nutzung im Unternehmen — kurz, prägnant, für Mitarbeiter merkbar. Typische Prinzipien:

• Mensch vor KI: KI unterstützt Entscheidungen, ersetzt sie nicht bei wesentlichen Konsequenzen
• Transparenz: KI-Einsatz ist erkennbar, auch für Betroffene
• Verantwortlichkeit: Jede KI hat einen benannten Verantwortlichen
• Qualitätsanspruch: Nur KI mit ausreichender Reife und Testabdeckung wird produktiv eingesetzt
• Schutz der Betroffenen: Grundrechte und Datenschutz gehen vor Effizienz

Baustein 3: Rollen und Verantwortlichkeiten

Hier wird Klarheit geschaffen, wer welche Rolle hat:

• Geschäftsleitung: gesamtverantwortlich, Freigabe strategischer KI-Entscheidungen
• KI-Beauftragter: operative Koordination aller KI-Compliance-Aktivitäten (intern oder extern)
• Datenschutzbeauftragter: DSGVO-Aspekte, Auftragsverarbeitung, DSFA (siehe DSB vs. KI-Beauftragter)
• IT-Sicherheitsbeauftragter: Cybersicherheit, Zugriffsmanagement, Infrastruktur
• Fachverantwortliche je System: fachlich inhaltliche Verantwortung für den konkreten KI-Einsatz
• Alle Mitarbeiter: Einhaltung der Nutzungsregeln, Meldepflicht bei Vorfällen

Baustein 4: Freigabeprozess neuer KI-Systeme

Der vielleicht wichtigste Baustein: Wie kommt eine neue KI ins Unternehmen?

Phase 1 — Antrag: Fachabteilung beschreibt Bedarf und vorgeschlagenes System (Name, Anbieter, Zweck, Daten)

Phase 2 — Prüfung durch KI-Beauftragten:

• Risikoklassifizierung nach EU AI Act
• Abgleich mit KI-Register
• Bei Hochrisiko-KI: Initiierung der KI-Folgenabschätzung
• Koordination mit DSB bei Personenbezug
• Koordination mit IT-Sicherheit bei kritischen Anwendungen

Phase 3 — Entscheidung:

• Bei Minimal-Risiko: KI-Beauftragter entscheidet allein
• Bei Limited-Risiko: KI-Beauftragter + Fachbereichsleitung
• Bei Hochrisiko: Geschäftsleitungs-Beschluss erforderlich
• Bei verbotenen Praktiken (Art. 5): automatische Ablehnung

Phase 4 — Onboarding:

• Eintrag ins KI-Register
• Schulung der betroffenen Mitarbeiter
• Dokumentationserstellung
• Monitoring-KPIs definieren

Phase 5 — Produktivsetzung:

• Erst nach abgeschlossenem Onboarding
• Review nach 3 Monaten zum Einsatz-Check

Baustein 5: Nutzungsregeln für Mitarbeiter

Konkrete Dos und Don’ts für den täglichen KI-Einsatz:

Was erlaubt ist:

• Nutzung freigegebener KI-Tools für definierte Aufgaben
• Meldung von Auffälligkeiten an den KI-Beauftragten
• Konstruktives Feedback zur Tool-Qualität

Was untersagt ist:

• Eingabe personenbezogener Daten in nicht freigegebene Tools
• Verwendung nicht freigegebener KI-Systeme für geschäftliche Aufgaben (Schatten-KI)
• Übernahme von KI-Outputs ohne menschliche Prüfung in externe Kommunikation
• Weitergabe von KI-Zugangsdaten an Dritte

Prompt-Policy (besonders wichtig bei GPAI-Nutzung):

• Keine Kundendaten in frei zugänglichen GPAI-Tools ohne Enterprise-Vertrag
• Keine internen Strategie- oder Finanzinformationen
• Keine personenbezogenen Mitarbeiterdaten

Baustein 6: Schulung und Kompetenz

Hier wird die Art.-4-Umsetzung verankert (siehe Art. 4 Ratgeber):

• Grundlagenschulung für alle Mitarbeiter mit KI-Kontakt (mindestens jährlich)
• Vertiefung für Rollen mit KI-Verantwortung
• Spezialisierung für KI-Beauftragten
• Neueinstellungen-Onboarding binnen 4 Wochen

Baustein 7: Monitoring und Vorfallmanagement

Was passiert im laufenden Betrieb?

• Monitoring-KPIs je System: Genauigkeit, Fehlerrate, Bias-Indikatoren, Auffälligkeiten
• Monatlicher KI-Bericht an die Geschäftsleitung
• Quartalsweise umfassender Compliance-Review
• Incident Management: Meldepflicht binnen 24h, Eskalationswege, Dokumentation

Besondere Meldepflicht bei schwerwiegenden Vorfällen nach Art. 73 EU AI Act (gegenüber Marktüberwachungsbehörde).

Baustein 8: Umgang mit Anbietern und Auftragsverarbeitern

Wenn KI von Dritten bezogen wird:

• Due-Diligence-Prüfung vor Vertragsabschluss (AI-Act-Konformität? DSGVO-Konformität? Code of Practice?)
• Standardklauseln für KI-Lieferantenverträge (AI Act Compliance Clauses)
• AVV (Auftragsverarbeitungsvertrag) bei Personenbezug
• Laufende Überwachung (jährlicher Lieferanten-Review)

Baustein 9: Änderungsmanagement und Freigabe

• Überprüfung der Richtlinie: mindestens jährlich
• Anpassung bei wesentlichen Änderungen der Regulatorik oder der KI-Landschaft im Unternehmen
• Versionshistorie in der Dokumentation
• Formale Freigabe durch die Geschäftsleitung
• Kommunikation neuer Versionen an alle Mitarbeiter

Template-Struktur im Überblick

Eine typische KI-Governance-Richtlinie umfasst 15–25 Seiten und folgt dieser Struktur:

1. Präambel (½ Seite) — warum diese Richtlinie?
2. Geltungsbereich und Zielsetzung (1 Seite)
3. Begriffsdefinitionen (1 Seite) — KI-System, GPAI, Hochrisiko-KI etc.
4. Grundprinzipien (1 Seite) — die 5–7 leitenden Werte
5. Rollen und Verantwortlichkeiten (3–4 Seiten) — detaillierte Rollenbeschreibung
6. Freigabeprozess (3–4 Seiten) — mit Ablaufdiagramm
7. Nutzungsregeln (2–3 Seiten) — Dos, Don’ts, Prompt-Policy
8. Schulung und Kompetenz (1 Seite)
9. Monitoring und Vorfallmanagement (2 Seiten)
10. Anbieter-Management (1–2 Seiten)
11. Änderungsmanagement (½ Seite)
12. Anhänge — Ablaufdiagramme, Meldeformulare, Risikomatrix

Die 5 häufigsten Fehler

Aus der Mandatspraxis sehen wir diese Fehler besonders oft:

Fehler 1: Richtlinie zu abstrakt. Was nutzt eine Policy, die „KI soll verantwortungsvoll eingesetzt werden” sagt, aber keine konkreten Regeln? Eine gute Richtlinie enthält konkrete Handlungsanweisungen, nicht nur Prinzipien.

Fehler 2: Kein Freigabeprozess. Ohne formalen Freigabeprozess wird jede neue KI ad hoc eingeführt — mit vorhersehbaren Compliance-Lücken. Der Freigabeprozess ist der wirkungsvollste Baustein der gesamten Richtlinie.

Fehler 3: Richtlinie nicht kommuniziert. Wer die Richtlinie nur in ein Intranet stellt und nie kommuniziert, wundert sich nicht, wenn sie ignoriert wird. Rollout-Workshops, Pflicht-Schulungen und regelmäßige Erinnerungen sind Pflicht.

Fehler 4: Keine Konsequenzen bei Verstößen. Wenn Mitarbeiter mit Schatten-KI „durchkommen”, erodiert die Richtlinie. Die Policy braucht einen klaren arbeitsrechtlichen Rahmen — von Abmahnung bis Kündigung.

Fehler 5: Einmal erstellt, nie aktualisiert. Die KI-Regulatorik und die unternehmerische KI-Landschaft ändern sich schnell. Ohne jährliche Überprüfung wird die Richtlinie veraltet und damit nutzlos.

Wie DATUREX unterstützt

Die Erstellung einer KI-Governance-Richtlinie gehört zu unseren Standardleistungen als externer KI-Beauftragter. Typischer Ablauf:

1. Scoping-Workshop mit Geschäftsleitung, IT, HR, Compliance (2 Stunden)
2. Erstentwurf auf Basis unseres bewährten Templates, zugeschnitten auf Ihr Unternehmen
3. Review-Runde mit allen Stakeholdern inkl. Betriebsrat
4. Finalisierung und Geschäftsleitungsfreigabe
5. Rollout-Unterstützung (Kommunikation, Schulungsmaterial)

Die Erstellung dauert typischerweise 3–5 Wochen und ist Teil unseres Paket M. Anschließend pflegen wir die Richtlinie im Rahmen der laufenden Betreuung — Anpassungen bei Regulatorik-Änderungen und jährliche Review-Zyklen inklusive.

Als Startpunkt stellen wir Mandanten ein Governance-Template mit allen 9 Bausteinen, vorformulierten Passagen und Ablaufdiagrammen zur Verfügung — so sparen Sie Wochen an Eigenarbeit.

Fazit

Eine KI-Governance-Richtlinie ist kein bürokratisches Nice-to-Have, sondern das organisatorische Rückgrat jeder ernsthaften KI-Compliance. Mit einem strukturierten Template, sauberer Rollenklärung und einem funktionierenden Freigabeprozess ist sie auch für mittelständische Unternehmen in wenigen Wochen erstellbar — und wird dann zu dem Dokument, auf das bei jeder neuen KI-Einführung, bei jedem Vorfall und bei jeder Behördenprüfung zurückgegriffen wird.