Lektion 2 von 7
ca. 5 Min.
AI Governance
Wer ist im Unternehmen
für KI verantwortlich?
AI Governance bedeutet: klare Rollen, klare Verantwortlichkeiten, klare Prozesse. Ohne Governance-Struktur ist Compliance nicht möglich – und bei einer Behördenprüfung fehlt der Ansprechpartner.
Kerninhalt – Art. 17
Was verlangt Art. 17 EU AI Act?
Art. 17 EU AI Act
Qualitätsmanagementsystem
„Anbieter von Hochrisiko-KI-Systemen führen ein Qualitätsmanagementsystem ein, das die Einhaltung dieser Verordnung sicherstellt. [...] Das Qualitätsmanagementsystem umfasst mindestens: a) die Strategie für die Einhaltung der Vorschriften [...]; b) Techniken, Verfahren und systematische Maßnahmen für das Design, die Designkontrolle und die Designüberprüfung; c) Techniken, Verfahren und systematische Maßnahmen für die Entwicklung, Qualitätskontrolle und Qualitätssicherung."
Für Betreiber: Art. 17 gilt primär für Anbieter. Betreiber müssen aber nach Art. 26 eine interne Governance sicherstellen – insbesondere menschliche Aufsicht, Protokollierung und Vorfallsmeldung. Auch ohne formelles QMS brauchen Betreiber klare interne Zuständigkeiten.
Governance-Struktur
Empfohlene AI Governance-Struktur
Strategische Ebene
AI Responsible Officer
Gesamtverantwortung für KI-Compliance. Idealerweise C-Level oder direkt darunter.
Operative Ebene
AI Compliance Manager
Tagesgeschäft: AI Register, Audits, Behördenkontakt, Schulungen.
Datenschutzbeauftragter (DSB)
DSGVO + AI Act Schnittstelle, DSFA, Auftragsverarbeitung.
IT / KI-Technik
Technische Dokumentation, Systemtests, Cybersicherheit.
Fachbereichsebene
KI-Systemverantwortliche
Pro KI-System: eine verantwortliche Person im Fachbereich.
Betriebsrat / Mitbestimmung
Bei KI am Arbeitsplatz: § 87 BetrVG, Mitbestimmungsrecht.
Für KMU: In kleinen Unternehmen kann eine Person mehrere Rollen übernehmen. Wichtig ist, dass die Verantwortlichkeiten schriftlich dokumentiert sind – nicht die Anzahl der Personen.
AI Policy
Die AI Policy: Was muss rein?
Eine AI Policy ist das interne Regelwerk für den Umgang mit KI. Sie ist kein gesetzliches Muss – aber ohne sie fehlt die Grundlage für Compliance und Schulungen.
AI Policy – Mindestinhalt (Template)
1. Geltungsbereich
Diese Policy gilt für alle Mitarbeiterinnen und Mitarbeiter, die KI-Systeme oder KI-Tools im Rahmen ihrer Tätigkeit für [Unternehmen] nutzen, entwickeln oder beschaffen.
2. Erlaubte und verbotene KI-Nutzung
Verboten: Eingabe personenbezogener Daten ohne Datenschutzprüfung, Nutzung verbotener KI-Praktiken (Art. 5 EU AI Act), Veröffentlichung nicht geprüfter KI-Outputs ohne Kennzeichnung.
3. Zuständigkeiten
AI Responsible Officer: [Name/Funktion]. Bei Fragen: [Kontakt]. Vorfallmeldung: [Prozess/Kontakt].
4. Schulungspflicht
Alle Mitarbeiter, die KI-Tools nutzen, nehmen an der jährlichen KI-Kompetenz-Schulung teil (Art. 4 EU AI Act). Nachweis wird dokumentiert.
5. Überprüfung
Diese Policy wird jährlich oder bei wesentlichen Änderungen des EU AI Act überprüft und aktualisiert.
Merksatz: AI Governance = klare Rollen (Art. 17), eine AI Policy und ein AI Responsible Officer. Für Betreiber gilt Art. 26 (menschliche Aufsicht, Protokollierung). Für KMU: eine Person kann mehrere Rollen übernehmen – Hauptsache schriftlich dokumentiert.