Wer ist im Unternehmen für KI-Governance verantwortlich?

Die Geschäftsleitung kann delegieren, nicht abgeben

Leitungsorgane dürfen einzelne Aufgaben an ein AI Office, einen AI Governance Lead oder ein Steering Committee delegieren. Sie müssen dabei aber Organisation, Informationsgrundlage und Überwachung angemessen gestalten — die Organverantwortung bleibt bestehen. Ein risikoadäquates KI-Systeminventar, klare Entscheidungen und eskalierbare Berichte sind deshalb auch ein Corporate-Governance-Instrument, kein reines IT-Thema.

Ein typisches Fehlmuster: Die Geschäftsleitung gibt Verantwortung an Fachrollen ab und erhält nur noch Erfolgskennzahlen. Wirksamer ist ein Quartalsbericht, der Top-Risiken, kritische Ausnahmen, Vorfälle und den Trend der wichtigsten Kennzahlen zeigt — inklusive der Fälle, in denen etwas nicht funktioniert hat.

Drei Verantwortungsebenen (Three Lines)

Ein bewährtes Modell trennt drei Ebenen, die sich gegenseitig nicht ersetzen:

• Erste Linie: Der Fachbereich beziehungsweise Use-Case Owner verantwortet Zweck, Prozess, Nutzen, fachliche Qualität und laufende Eignung eines KI-Systems.
• Zweite Linie: Governance, Compliance, Datenschutz, Security oder Model Risk setzen Standards, unterstützen und überwachen — je nach Unternehmensgröße gebündelt in einer Funktion.
• Dritte Linie: Interne Revision (oder eine externe Prüfung) kontrolliert unabhängig, ob Design und Wirksamkeit der Governance tatsächlich belegt sind.

Eine Freigabe durch Legal oder den Datenschutzbeauftragten macht diese Funktionen nicht zum Eigentümer des Geschäftsprozesses. Das verhindert, was in der Praxis als "Approval Shopping" bekannt ist: Eine Freigabe wird eingeholt, aber niemand fühlt sich für das Ergebnis verantwortlich.

Welche Rollen ein Unternehmen typischerweise braucht

Nicht jedes Unternehmen braucht alle Rollen als eigene Position — in kleineren Betrieben werden mehrere davon von einer Person wahrgenommen. Die Funktionen sollten aber jemandem zugeordnet sein:

• Use-Case Owner: verantwortet Zweck, Nutzer, Betroffene und fachliche Qualität eines konkreten Systems. Fehlmuster: Technik oder Anbieter wird als alleiniger Owner benannt.
• System-/Product Owner: koordiniert Version, Architektur, Schnittstellen und technische Änderungen. Fehlmuster: Verantwortung endet mit dem Projektstart, nicht mit dem Betrieb.
• Model Owner / ML Lead: verantwortet Modelleignung, Evaluation und Dokumentation von Änderungen. Fehlmuster: Es werden nur globale Benchmarkwerte berichtet statt use-case-spezifischer Metriken.
• Data Owner / Knowledge Owner: verantwortet Datenqualität, Herkunft, Rechte, Aktualität und RAG-Quellen.
• Informationssicherheit: gestaltet Bedrohungsmodell, Berechtigungen, Logging und Incident Response.
• Datenschutzbeauftragter: berät und überwacht Rechtsgrundlagen, Transparenz, Betroffenenrechte und Datenschutz-Folgenabschätzungen — erteilt aber nicht allein die Geschäftsentscheidung.
• Legal/Compliance: prüft regulatorische Klassifikation, Verträge und Sektorregeln.
• Einkauf/Vendor Management: übersetzt Anforderungen in Auswahl, Vertrag und Nachweise gegenüber Anbietern.
• HR/Learning: steuert rollenbezogene KI-Kompetenz und Lernziele nach Art. 4 AI Act.
• Betriebsrat: nimmt Informations-, Beratungs-, Mitbestimmungs- und Bildungsrechte wahr.
• Internal Audit: prüft unabhängig, ob Design und Wirksamkeit der Governance belegt sind.

Kleine Unternehmen dürfen Rollen bündeln, müssen aber entstehende Interessenkonflikte kompensieren. Wer eine Kontrolle selbst gestaltet und betreibt, kann deren Wirksamkeit nicht vollständig unabhängig prüfen — eine externe Prüfung oder ein periodisches Cross-Review durch eine andere Person kann diese Lücke schließen.

Ist ein AI Governance Board notwendig?

Ein AI Governance Board ist optional. Es lohnt sich, wenn es klare Entscheidungskompetenz, quorumfähige Fachrollen, definierte Risikoschwellen, einen Eskalationsweg und eine Protokollierung besitzt. Ein reines Diskussionsforum ohne Entscheidungsbefugnis verlängert dagegen nur Prozesse, ohne Verantwortung zu klären.

Risikobasierte Delegation ist in der Praxis effizienter als ein Board für alles: Fälle mit geringem Risiko können über Standardkontrollen freigegeben werden, moderate Fälle brauchen definierte Cross-Reviews, und nur hohe oder regulierte Risiken erfordern ein formelles Entscheidungsgremium mit gegebenenfalls zusätzlicher Leitungsgenehmigung.

Die Fünf-Minuten-Prüffrage

Ein einfacher Test zeigt, ob die Verantwortungsstruktur trägt: Kann Ihr Unternehmen für jedes produktive KI-System in weniger als fünf Minuten benennen — Zweck, Owner, Nutzer, Daten, Anbieter/Modell, Risikostufe, Freigabe, wichtigste Kontrollen und nächsten Review? Wenn nicht, fehlt die operative Grundlage für Verantwortlichkeit, unabhängig davon, wie viele Richtlinien existieren.