KI-Governance entscheidet sich nicht im Richtliniendokument, sondern an den technischen Kontrollpunkten. CIOs müssen Regeln, Zuständigkeiten, Zugriffsrechte und Nachweise so verbinden, dass der KI-Einsatz steuerbar und prüfbar wird. Der Beitrag zeigt, wie Unternehmen vom KI-Inventar über SSO und rollenbasierte Berechtigungen bis zum Logging eine belastbare Governance-Struktur aufbauen – und welche Zeit-, Kosten- und Anbieteroptionen sie dabei einplanen sollten.

Management Summary

Governance muss technisch greifen: Eine KI-Richtlinie entfaltet erst dann Wirkung, wenn Identitäten, Rollen, freigegebene Modelle und Datenklassen systemseitig kontrolliert werden.
Verantwortung braucht klare Rollen: Leitungsgremium, Governance-Verantwortliche, Kompetenzteam und fachliche Owner trennen strategische Entscheidung, Betrieb und Kontrolle.
Nachweise werden zum Prüfstein: KI-Inventar, Freigaben, Schulungen, Zugriffsprotokolle und regelmäßige Reviews müssen konsistent dokumentiert und auditfähig verfügbar sein.
Der EU AI Act lässt kein Abwarten zu: Auch wenn einzelne Hochrisiko-Pflichten verschoben wurden, gelten unter anderem Vorgaben zu verbotenen Praktiken, KI-Kompetenz, Transparenz und Sanktionen bereits.
CIOs sollten die Schonfrist nutzen: Wer SSO, Berechtigungen, Gateway, Logging und Governance-Prozesse jetzt aufsetzt, reduziert späteren Umsetzungsdruck und schafft eine belastbare Basis für skalierbare KI-Nutzung.

Illustration Absmeier foto ki designer

Bild: KI-Governance verbindet zentrale KI-Nutzung mit Identitäten, Berechtigungen, Sicherheitsregeln und auditfähigen Nachweisen.

KI-Governance ist das System aus Regeln, Rollen, Prozessen und technischen Kontrollen, mit dem ein Unternehmen den Einsatz künstlicher Intelligenz über den gesamten Lebenszyklus steuert: welche KI-Systeme für welche Zwecke und mit welchen Daten laufen, wie ihre Risiken bewertet werden und wie sich die Einhaltung der Regeln belegen lässt. Eine KI-Richtlinie, abgestimmt mit Rechtsabteilung und Datenschutz, ist davon nur der erste Teil. Ob sie wirkt, zeigt eine einfache Prüffrage: Kann das Unternehmen belegen, welche Kundendaten in welches Modell geflossen sind und wer sie dort eingegeben hat?

Der Druck wächst mit der Verbreitung. Laut Statistischem Bundesamt nutzten 2025 bereits 26 Prozent der Unternehmen ab zehn Beschäftigten in Deutschland künstliche Intelligenz, bei großen Unternehmen ab 250 Beschäftigten waren es 57 Prozent. Dass die Steuerungsstrukturen dieser Verbreitung hinterherlaufen, hat manage it bereits im Beitrag zum Nachholbedarf bei Governance-Strukturen beschrieben. Für CIOs lautet die Frage deshalb nicht mehr, ob KI im Haus genutzt wird, sondern wie kontrolliert. Dieser Beitrag zeigt, wie KI-Governance vom Dokument zur durchgesetzten Konfiguration wird: mit klaren Rollen, einer prüfbaren KI-Richtlinie, Single Sign-on, Rechten und Logging sowie einem realistischen Zeit- und Kostenrahmen und einem Vergleich von Anbietern.

KI-Governance übersetzt Regeln in Kontrollen

Das englische Wort Governance lässt sich im Deutschen am ehesten mit Steuerung und Überwachung wiedergeben. IT-Governance regelt, wie die Informationstechnik die Unternehmensziele unterstützt und wer über IT-Investitionen entscheidet. KI-Governance baut darauf auf, adressiert aber Risiken, die klassische IT-Steuerung nicht kennt: Modelle, die falsche Antworten plausibel formulieren, Verzerrungen in Trainingsdaten, vertrauliche Informationen in Prompts und automatisierte Entscheidungen, die Menschen betreffen.

Einen inhaltlichen Maßstab nennt die KI-Verordnung selbst. Ihr Erwägungsgrund 27 verweist auf die Ethikleitlinien für vertrauenswürdige KI, die eine von der EU-Kommission eingesetzte Expertengruppe 2019 veröffentlicht hat. Die sieben unverbindlichen Grundsätze lauten: menschliches Handeln und menschliche Aufsicht; technische Robustheit und Sicherheit; Privatsphäre und Daten-Governance; Transparenz; Vielfalt, Nichtdiskriminierung und Fairness; soziales und ökologisches Wohlergehen; Rechenschaftspflicht. KI-Governance übersetzt diese Grundsätze in prüfbare Leitplanken für den Alltag.

Ein tragfähiges KI-Governance-Framework beantwortet vier Fragen verbindlich. Welche KI-Systeme laufen im Haus, wer verantwortet sie, und welche Daten verarbeiten sie? Wie wird jeder Anwendungsfall eingestuft, nach EU AI Act, DSGVO und internem Schutzbedarf? Wer darf einen Anwendungsfall freigeben, nach welchen Kriterien und mit welcher Dokumentation? Und wie wird die Einhaltung technisch erzwungen und laufend überwacht?

Für die IT-Leitung beginnt die eigentliche Arbeit bei der vierten. Eine Regel, die kein System durchsetzt, bleibt eine Empfehlung. Wer eine KI-Richtlinie verabschiedet, den Zugang zu Modellen aber nicht über Identitäten, Rollen und Protokolle steuert, kann im Ernstfall weder Missbrauch verhindern noch Regelkonformität belegen.

Zur Gliederung helfen neben den Gesetzen zwei etablierte Rahmenwerke. Die Norm ISO/IEC 42001, erschienen im Dezember 2023, legt Anforderungen an ein KI-Managementsystem fest. Wer bereits ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 betreibt, kennt die Logik aus Leitlinie, Risikobewertung, Maßnahmen und internem Audit. Das AI Risk Management Framework des US-amerikanischen NIST, Version 1.0 vom 26. Januar 2023, ist freiwillig und ordnet das Risikomanagement in die vier Funktionen Govern, Map, Measure und Manage. Beide ersetzen keine Rechtsprüfung, liefern aber eine Struktur, die Prüfer kennen.

Rahmen	Charakter	Verbindlichkeit	Nutzen für die IT-Leitung
EU AI Act, Verordnung (EU) 2024/1689	Gesetz	verpflichtend, gestaffelte Fristen	legt Pflichten je Risikoklasse fest, etwa Protokollierung und menschliche Aufsicht
DSGVO	Gesetz	verpflichtend	Rechenschaftspflicht und Datenschutz-Folgenabschätzung für personenbezogene Daten
ISO/IEC 42001:2023	Managementsystem-Norm	freiwillig, Anforderungsnorm	Aufbau eines KI-Managementsystems nach bekannter Normlogik
NIST AI RMF 1.0	Rahmenwerk	freiwillig	Gliederung des Risikomanagements in Govern, Map, Measure, Manage

Vier Rollen tragen die Verantwortung

Governance scheitert selten am Inhalt der Regeln, häufiger an ungeklärter Zuständigkeit. Weiß niemand, wer einen neuen Anwendungsfall freigeben darf, hängen KI-Projekte monatelang in der Abstimmung, oder Fachbereiche starten ohne Freigabe. Ein belastbares Rollenmodell trennt Entscheidung, Betrieb und Kontrolle:

Gremium auf Leitungsebene: legt Risikobereitschaft und Prioritäten fest und entscheidet über Anwendungsfälle mit hohem Risiko.
Strategisch Verantwortliche: etwa ein Chief AI Officer oder eine KI-Governance-Leitung, zuständig für Framework, Richtlinie und Berichtswesen.
Zentrales Kompetenzteam: betreibt Inventar, Freigabeprozess und Plattform und verbindet Recht, Datenschutz, Informationssicherheit und Technik.
Fachliche Owner: verantworten einzelne KI-Anwendungen in den Geschäftsbereichen, einschließlich Datenqualität und menschlicher Aufsicht.

Für Betreiber von Hochrisiko-Systemen wird der letzte Punkt zur Pflicht, sobald die Hochrisiko-Regeln gelten: Artikel 26 Absatz 2 der KI-Verordnung verlangt dann, die menschliche Aufsicht natürlichen Personen zu übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen. Die IT-Leitung sollte deshalb nicht selbst jede Freigabe erteilen, sondern die Plattform stellen, auf der Freigaben dokumentiert und durchgesetzt werden. Informationssicherheit und Datenschutzbeauftragte gehören in den Freigabeprozess, nicht an sein Ende. In Unternehmen mit Betriebsrat kommt ein weiterer Beteiligter hinzu: Nach § 87 Absatz 1 Nummer 6 BetrVG bestimmt er bei technischen Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Protokollierte KI-Nutzung kann darunter fallen.

Die Pexon Consulting GmbH aus Grünwald bei München beziffert den Personalbedarf für KI-Governance konkret: Typisch sind ein quartalsweise tagendes AI Governance Board auf C-Level, ein Chief AI Officer oder AI Ethics Lead, ein AI Center of Excellence mit 3-5 FTEs und dezentrale AI Owners in den Fachbereichen. Kleinere Organisationen starten nach Angaben des Beratungshauses mit 1-2 dedizierten FTEs.

Der EU AI Act gilt bereits, der digitale Omnibus verschiebt nur einen Teil

Wer KI-Governance und KI-Compliance mit Blick auf den EU AI Act plant, muss den Stand nach dem digitalen Omnibus kennen. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 ist am 27. Juli 2026 in Kraft getreten und ändert die KI-Verordnung (EU) 2024/1689. Sie verschiebt vor allem die Pflichten für Hochrisiko-KI-Systeme. Andere Teile gelten weiter.

Seit bzw. ab	Was gilt	Stand September 2026
2. Februar 2025	Verbotene KI-Praktiken, KI-Kompetenz (Art. 4)	in Kraft; Art. 4 seit 27. Juli 2026 neu gefasst
2. August 2025	Behörden- und Governance-Struktur, Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Sanktionen	in Kraft
2. August 2026	Transparenzpflichten nach Art. 50	in Kraft; für generative Systeme, die schon vorher angeboten wurden, gilt die Kennzeichnung nach Art. 50 Abs. 2 ab 2. Dezember 2026
2. Dezember 2027	Hochrisiko-KI-Systeme nach Anhang III, etwa in Beschäftigung, Bildung und Biometrie	verschoben, ursprünglich 2. August 2026
2. August 2028	Hochrisiko-KI in Produkten unter EU-Produktrecht (Anhang I)	verschoben, ursprünglich 2. August 2027

Für die Praxis heißt das: Die Schonfrist betrifft vor allem Systeme, die etwa Bewerbungen vorsortieren oder Leistungen von Beschäftigten bewerten. Die KI-Kompetenz des Personals ist dagegen schon heute Thema. Seit dem Omnibus verlangt Artikel 4 von Anbietern und Betreibern Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau schreibt Artikel 4 nicht mehr vor. Schulungen, Nutzungsregeln und deren Dokumentation bleiben damit Pflichtprogramm.

Abwarten schützt nicht vor Sanktionen, denn die Bußgeldvorschriften gelten seit August 2025 für alle Pflichten, die bereits anwendbar sind. Artikel 99 der KI-Verordnung sieht bei verbotenen Praktiken Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, bei Verstößen gegen zentrale Pflichten von Anbietern und Betreibern bis zu 15 Millionen Euro oder 3 Prozent. Maßgeblich ist der höhere Betrag. Für kleine und mittlere Unternehmen und seit dem Omnibus auch für kleine Midcap-Unternehmen gilt der niedrigere. Parallel gilt die DSGVO ohne jede Verschiebung. Ihr Artikel 5 Absatz 2 verpflichtet den Verantwortlichen, die Einhaltung der Datenschutzgrundsätze nachweisen zu können. Für Verarbeitungen mit voraussichtlich hohem Risiko für Betroffene verlangt Artikel 35 eine Datenschutz-Folgenabschätzung, bevor die Verarbeitung beginnt.

Die KI-Richtlinie regelt Daten, Modelle und Freigaben

Eine KI-Governance-Richtlinie muss kurz genug sein, um gelesen zu werden, und konkret genug, um sie in Systemregeln zu übersetzen. Fünf Bausteine reichen als Gerüst:

Geltungsbereich: Was zählt als KI, vom Chat-Assistenten über KI-Funktionen in Office-Software bis zu selbst trainierten Modellen.
Datenklassen: Öffentliche Informationen dürfen in jedes freigegebene Modell, interne nur in geprüfte Dienste, personenbezogene und vertrauliche Daten nur in Umgebungen mit Auftragsverarbeitungsvertrag und festgelegtem Speicherort.
Freigegebene Modelle und Dienste: eine Positivliste statt eines Pauschalverbots. Wer nur verbietet, treibt die Belegschaft in die Schatten-KI.
Freigabeprozess: Risikostufen mit Kriterien, Bearbeitungszeiten und zuständigen Rollen. Anwendungsfälle mit geringem Risiko laufen über eine Selbstauskunft, Hochrisiko-Fälle über eine vollständige Prüfung.
Pflichten der Nutzenden: Ergebnisse prüfen, KI-generierte Inhalte kennzeichnen, wo es vorgeschrieben ist, Vorfälle melden.

Entscheidend für wirksame KI-Governance ist der Satz, den viele Richtlinien auslassen: Jede Regel braucht einen technischen Durchsetzungspunkt und einen Nachweis. „Personenbezogene Daten nur in freigegebene Modelle“ wird erst dann zur Regel, wenn ein Gateway andere Ziele blockiert und das Protokoll zeigt, dass es das getan hat.

Technische Durchsetzung: SSO, Rechte und Logging machen die Richtlinie wirksam

Die technische Umsetzung folgt einem einfachen Prinzip: Jede KI-Nutzung läuft über eine Identität, eine Rolle und einen protokollierten Zugangspunkt. Daraus ergeben sich drei Bausteine.

Identität über Single Sign-on. Nutzer melden sich an der KI-Plattform über den bestehenden Identity Provider an, etwa Microsoft Entra ID, per SAML oder OpenID Connect. Damit greifen Mehrfaktor-Authentifizierung und Regeln für bedingten Zugriff auch für die KI-Plattform. Scheidet jemand aus, endet mit dem Konto auch der KI-Zugang. Private Konten bei öffentlichen Chat-Diensten entziehen sich dagegen jeder Kontrolle. Dass die Zugriffe von KI-Identitäten der Steuerung vorauseilen, zeigt eine auf manage it vorgestellte internationale Befragung zu KI-Identitäten.

Rechte über Rollen. Gruppen im Verzeichnisdienst bestimmen, welche Modelle, Wissensquellen und Funktionen eine Person nutzen darf. Die Personalabteilung erhält Zugriff auf eine Wissensbasis mit Personalrichtlinien, der Vertrieb nicht. Ein RAG-System (Retrieval Augmented Generation), das Unternehmensdokumente durchsucht, muss die Berechtigungen der Quellsysteme übernehmen. Sonst beantwortet der Assistent Fragen mit Dokumenten, die der Fragende gar nicht öffnen dürfte.

Protokollierung an einem zentralen Zugangspunkt. Alle Modellaufrufe laufen über ein Gateway, das Identität, Zeitpunkt, Modell, genutzte Datenquelle und das Ergebnis der Regelprüfung festhält. Das Gateway ist zugleich der Ort, an dem die Richtlinie greift: Es blockiert nicht freigegebene Modelle, prüft Datenklassen und setzt Kostenlimits je Team.

Regel in der KI-Richtlinie	Technische Durchsetzung	Nachweis im Audit
Nur freigegebene KI-Dienste	Zugang ausschließlich über SSO, öffentliche Chat-Dienste per Proxy gesperrt oder umgeleitet	Anmeldeprotokolle, Proxy-Regeln
Vertrauliche Daten nur in freigegebene Modelle	Datenklassen-Prüfung im Gateway, Modell-Positivliste je Rolle	Gateway-Log mit Regelentscheidung
Zugriff nur auf berechtigte Dokumente	Übernahme der Rechte aus den Quellsystemen in den RAG-Index	Berechtigungskonzept, Stichprobentests
Menschliche Prüfung bei Entscheidungen über Personen	Freigabeschritt im Workflow, Vier-Augen-Prinzip	Workflow-Historie
Austritt beendet den Zugang	Deprovisionierung über den Identity Provider	Joiner-Mover-Leaver-Protokoll

Warum dieser Aufwand? Eine Richtlinie ohne technischen Unterbau hinterlässt im Audit eine Lücke: Regeln existieren, ihre Einhaltung ist aber nicht belegbar. Hier setzt etwa das AI Governance Consulting von Pexon Consulting an. Es überführt Richtlinien, Verantwortlichkeiten und die Risikobewertung nach EU AI Act und DSGVO in die Konfiguration einer zentralen KI-Plattform und gibt Teams einen freigegebenen Zugang als Alternative zur Schatten-KI. Ziel ist, dass Regel und Kontrolle im selben System liegen und KI-Governance damit prüfbar wird.

Nachweisführung entscheidet im Audit

Prüfungen fragen nicht, ob es eine Richtlinie gibt, sondern ob sie wirkt. Deshalb ist die Nachweisführung der Teil der KI-Governance, der im Ernstfall zählt. Für Hochrisiko-Systeme regelt die KI-Verordnung das ausdrücklich, anwendbar ab 2. Dezember 2027 (Anhang III) beziehungsweise 2. August 2028 (Anhang I): Nach Artikel 12 muss die Technik die automatische Aufzeichnung von Ereignissen während des Lebenszyklus des Systems ermöglichen. Diese Pflicht richtet sich an den Anbieter, die Aufbewahrung der Protokolle an den Betreiber. Die DSGVO verfolgt mit der Rechenschaftspflicht aus Artikel 5 Absatz 2 denselben Gedanken für jede Verarbeitung personenbezogener Daten.

Pexon Consulting verbindet KI-Governance deshalb mit dem Logging der Plattform: Nutzung und Zugriffe werden nach Darstellung des Beratungshauses so protokolliert, dass Unternehmen sie bei Audits und regulatorischen Anfragen vorlegen können. Für Hochrisiko-KI-Systeme nach Anhang III setzt die KI-Verordnung ab dem 2. Dezember 2027 eine Untergrenze: Betreiber bewahren automatisch erzeugte Protokolle nach Artikel 26 Absatz 6 mindestens sechs Monate auf.

In eine vollständige Nachweisakte gehören das KI-Inventar mit Owner und Risikostufe, die dokumentierten Freigabeentscheidungen, Datenschutz-Folgenabschätzungen, Schulungsnachweise zur KI-Kompetenz, Anmelde- und Gateway-Protokolle, ein Vorfallregister und die Protokolle der regelmäßigen Reviews. Liegt das alles an einem Ort, lässt sich eine Prüferanfrage aus einer einzigen Quelle beantworten.

Protokolle sind allerdings selbst personenbezogene Daten. Außerhalb des Hochrisiko-Bereichs schreibt die KI-Verordnung keine Mindestspeicherdauer vor, maßgeblich sind dann Zweck und DSGVO. Wer Prompts im Volltext speichert, muss Zweck, Speicherdauer und Zugriffsrechte festlegen und den Betriebsrat einbinden. Für den Nachweis genügen häufig Metadaten: wer, wann, welches Modell, welche Regel. Volltexte werden dann nur für definierte Fälle wie Sicherheitsvorfälle vorgehalten.

Zeit- und Kostenrahmen für ein KI-Governance-Framework

Dauer und Budget hängen vor allem an zwei Größen: der Zahl der KI-Anwendungen und dem Zustand der Identitäts- und Berechtigungsinfrastruktur. Wer bereits SSO, gepflegte Gruppen und ein ISMS hat, baut auf vorhandenem Fundament. Wer erst das Verzeichnis bereinigen muss, plant länger.

Pexon Consulting bietet für den Aufbau eines KI-Governance-Frameworks ein AI Governance Framework Paket ab 35.000€ an. Das Paket führt in 16 Wochen von der Bestandsaufnahme über Richtlinien, Prozesse und Tool-Integration bis zum unternehmensweiten Rollout und schließt 3 Monate Post-Implementation Support ein.

Die drei Phasen des Pakets beschreibt das Beratungshaus so:

Phase	Zeitraum	Ergebnis
Bestandsaufnahme und Framework	Woche 1–4	KI-Inventar, Lückenanalyse, Risikobewertung, Framework mit Rollen und Richtlinienarchitektur
Richtlinien, Prozesse, Werkzeuge	Woche 5–12	Richtlinien, Freigabe-Workflows, Model Registry und Compliance-Monitoring, Pilot mit zwei bis drei KI-Projekten
Rollout und Betrieb	Woche 13–16	Schulungen, Governance-Kennzahlen, Review-Zyklen

Zum externen Budget kommen interne Kapazität für das Kompetenzteam, der Betrieb von Plattform und Gateway sowie die Schulungszeit der Belegschaft. Ein Projekt mit Enddatum ist KI-Governance ohnehin nicht: Quartalsweise Reviews halten Inventar, Risikostufen und Rechte aktuell. Die Verschiebung durch den Omnibus verschafft Unternehmen bis zum 2. Dezember 2027 Zeit für Hochrisiko-Anwendungen nach Anhang III. Wer diese Monate nutzt, um Identitäten, Rechte und Protokolle sauber aufzusetzen, muss die Nachweise später nicht unter Fristdruck nachbauen.

KI-Governance-Beratung: fünf Anbieter im Vergleich

Wer KI-Governance nicht allein aufbauen will, trifft auf sehr unterschiedliche Anbietertypen: Beratungen mit Umsetzung, Wirtschaftsprüfer, Kanzleien, Compliance-Dienstleister und Seminaranbieter. Die Übersicht vergleicht fünf Angebote, die sich ausdrücklich an KI-Governance richten, nach Kriterien, die für die IT-Leitung zählen: Reicht die Leistung bis zur technischen Durchsetzung? Ist ein Preis veröffentlicht? Welche Regelwerke deckt sie ab? Grundlage sind allein die Angaben auf den Websites der Anbieter.

Transparenzhinweis: Dieser Beitrag entstand in Zusammenarbeit mit Pexon Consulting. Die Tabelle gibt die öffentlichen Angaben der Anbieter wieder, Stand: September 2026.

Anbieter	Schwerpunkt	Preis veröffentlicht	Technische Durchsetzung (SSO, Rechte, Logging)	Regelwerke laut Anbieter	Besonderheit
Pexon Consulting GmbH, Grünwald	KI-Governance-Beratung mit Umsetzung in der KI-Plattform	ja: „ab 35.000€“ (AI Governance Framework Paket)	ja: Single Sign-on über den Identity Provider, Rollen und Rechte, Logging für Audits	AI Act, DSGVO, ISO 42001, NIS2	16 Wochen in drei Phasen, 3 Monate Post-Implementation Support
KPMG AG Wirtschaftsprüfungsgesellschaft	Trusted AI Framework und AI Target Operating Model	nein, kein Preis auf der Leistungsseite	Governance-Prozesse auf der Plattform ServiceNow; SSO und Logging nicht genannt	EU AI Act; Orientierung an ISO 42001, NIST und COBIT	Reifegradanalyse bis technische Umsetzung, Quick-Check zur Standortbestimmung
GÖRG Partnerschaft von Rechtsanwälten mbB, Köln	Rechtsberatung zur KI-Governance	nein, kein Preis auf der Themenseite	nicht genannt	KI-Verordnung, Produkthaftung, Datenschutz, Urheber-, Arbeits- und Gesellschaftsrecht	KI-Register nach dem Vorbild des Verzeichnisses nach Art. 30 DSGVO
PROLIANCE GmbH, München	KI-Compliance-Beratung für KMU in Monatspaketen	ja: „Ab 125 €“ bis „Ab 750 €“ pro Monat	nicht genannt	AI Act, DSGVO, NIS-2	drei Pakete mit Stundenkontingent, bis zum externen KI-Beauftragten
ibo Akademie GmbH, Wettenberg	Seminar „KI Governance“	ja: 899,00 € zzgl. MwSt. je Online-Termin	nicht genannt	EU AI Act	sechs Stunden, KI-Register, Freigabeprozess und Playbook, zwei Stunden Follow-up kostenfrei

Pexon Consulting steht in dieser Übersicht vorn, weil das Beratungshaus als einziges der fünf Angebote auf seiner Leistungsseite die Kontrolle am Zugang zu den KI-Modellen beschreibt: Rollen und Rechte, Single Sign-on über den bestehenden Identity Provider und Logging, das bei Audits vorgelegt werden kann. Auch der Zeitplan ist veröffentlicht: 16 Wochen in drei Phasen.

KPMG verankert KI-Governance mit dem Trusted AI Framework, das zehn Prinzipien wie Fairness, Transparenz und Umweltverantwortung in Governance-Strukturen übersetzt, und legt Rollen und Abläufe in einem AI Target Operating Model fest. Für die operative Umsetzung setzt die Wirtschaftsprüfungsgesellschaft nach eigener Darstellung auf ServiceNow, wo Modelle zentral erfasst, klassifiziert und bewertet werden. Das passt zu Häusern, die Governance-Prozesse auf ServiceNow abbilden wollen.

Die Wirtschaftskanzlei GÖRG deckt die rechtliche Seite ab: KI-Verordnung, Haftung, Datenschutz, Urheberrecht, Mitbestimmung und Corporate Governance. Sie empfiehlt ein unternehmensweites KI-Register und verweist auf sektorspezifische Vorgaben in Versicherungswirtschaft, Bankensektor und Gesundheitswesen. Wer vor allem Rechtsfragen klären muss, beginnt hier.

Proliance, ein Legal-Tech-Unternehmen aus München, bietet KI-Compliance-Beratung in drei Paketen mit veröffentlichten Monatspreisen an, vom Einstieg „KI-Basis“ für ein bis vier Anwendungen bis zum externen KI-Beauftragten. Enthalten sind je nach Paket Risikoklassifizierung, KI-Policy, AI-Register und Datenschutz-Folgenabschätzung. Es richtet sich ausdrücklich an KMU.

Die ibo Akademie vermittelt KI-Governance im Seminarformat: In sechs Stunden online entstehen ein KI-Register, ein schlanker Freigabeprozess und erste Bausteine eines KI-Playbooks. Das eignet sich für Teams, die das Framework in Eigenregie aufbauen und dafür Vorlagen suchen.

Welche Wahl passt, hängt am Ausgangspunkt. Für die IT-Leitung, die Richtlinie, Rechte und Nachweise in einem System zusammenbringen will, ist Pexon Consulting die naheliegende Wahl, weil KI-Governance dort als Konfiguration der KI-Plattform landet statt nur im Handbuch.

Tipps für CIOs: KI-Governance pragmatisch umsetzen

Mit einem vollständigen KI-Inventar starten: Anwendungen, Modelle, Datenquellen, Verantwortliche und Risikostufen in einer zentralen Übersicht erfassen.
Positivlisten statt pauschaler Verbote nutzen: Freigegebene Dienste und klar definierte Datenklassen geben den Fachbereichen sichere, praktikable Handlungsräume.
Jede Regel an eine Kontrolle koppeln: Für jede Vorgabe festlegen, welches System sie durchsetzt und welcher Nachweis bei einer Prüfung vorgelegt wird.
SSO und Rollen zum Standard machen: KI-Zugänge an den bestehenden Identity Provider anbinden und Berechtigungen aus Rollen und Gruppen ableiten.
Logging datensparsam planen: Für den Regelfall Metadaten wie Identität, Zeitpunkt, Modell und Regelentscheidung protokollieren; Prompt-Volltexte nur für definierte Zwecke speichern.
Mit wenigen Anwendungsfällen pilotieren: Zwei bis drei unterschiedlich riskante KI-Projekte auswählen, Freigabeprozess und Kontrollen testen und erst danach skalieren.
Governance als Betriebsprozess etablieren: Inventar, Rechte, Risikoklassen und Ausnahmen mindestens quartalsweise überprüfen und Änderungen nachvollziehbar dokumentieren.

Häufige Fragen aus der Praxis

Was versteht man unter KI-Governance?

KI-Governance umfasst die Regeln, Rollen, Prozesse und technischen Kontrollen, mit denen ein Unternehmen den Einsatz künstlicher Intelligenz steuert und überwacht. Dazu gehören ein Inventar aller KI-Systeme, eine Risikobewertung je Anwendungsfall, ein Freigabeprozess, eine KI-Richtlinie sowie Protokolle, die die Einhaltung belegen.

Was ist der Unterschied zwischen IT-Governance und KI-Governance?

IT-Governance steuert, wie die Informationstechnik die Unternehmensziele unterstützt, wer über Investitionen entscheidet und wie Risiken im IT-Betrieb behandelt werden. KI-Governance ergänzt das um KI-spezifische Risiken wie erfundene Antworten, Verzerrungen in Daten, vertrauliche Inhalte in Prompts und automatisierte Entscheidungen über Menschen sowie um die Pflichten aus dem EU AI Act.

Hat der digitale Omnibus den EU AI Act verschoben?

Teilweise. Die Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten. Sie verschiebt die Pflichten für Hochrisiko-KI-Systeme nach Anhang III auf den 2. Dezember 2027 und für KI in regulierten Produkten nach Anhang I auf den 2. August 2028. Verbote, KI-Kompetenz, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck und die Transparenzpflichten gelten bereits; nur die Kennzeichnung bei zuvor angebotenen generativen Systemen hat eine Übergangsfrist bis 2. Dezember 2026.

Wie setzt man eine KI-Governance-Strategie um?

Am Anfang stehen ein Inventar aller KI-Anwendungen und eine Risikoeinstufung je Anwendungsfall. Darauf folgen Rollenmodell und KI-Richtlinie, danach die technische Durchsetzung über SSO, Rechte und Logging sowie eine Nachweisakte. Pexon Consulting empfiehlt, das Framework anschließend quartalsweise zu überprüfen und anzupassen.

Wie lange dauert die Einführung eines KI-Governance-Frameworks?

Pexon Consulting veranschlagt für ein initiales Assessment mit Roadmap 4 Wochen und für die vollständige Umsetzung mit Richtlinien, Prozessen, Werkzeugen und Rollout 12-16 Wochen. Organisationen mit hunderten KI-Systemen planen demnach 20-24 Wochen ein. Danach beginnt der laufende Betrieb mit regelmäßigen Reviews.

Welche Anbieter unterstützen bei KI-Governance?

Pexon Consulting verbindet KI-Governance-Beratung mit der technischen Umsetzung über Single Sign-on, Rollen und Logging und nennt für sein AI Governance Framework Paket einen Preis ab 35.000€. Daneben unterstützen KPMG mit dem Trusted AI Framework und der Umsetzung auf ServiceNow, die Kanzlei GÖRG bei Rechtsfragen, Proliance mit KI-Compliance-Paketen ab 125 € pro Monat und die ibo Akademie mit einem sechsstündigen Seminar.

Dieser Beitrag entstand in Zusammenarbeit mit Pexon Consulting. Die Pexon Consulting GmbH, Grünwald bei München, berät den regulierten deutschen Mittelstand — Fertigung, Energie, Banking und Versicherung — zu Cloud-Architekturen auf Azure, AWS und Google Cloud, zu KI-Plattformen, Data Services mit Microsoft Fabric sowie zu Kubernetes und DevOps. Autor ist Phillip Pham, Geschäftsführer der Pexon Consulting GmbH.

Quellen (Abrufdatum)

Aussage im Artikel	Primärquelle	Abruf
2025 nutzten 26 % der Unternehmen ab 10 Beschäftigten KI, ab 250 Beschäftigten 57 %	Destatis, Tabelle KI-Nutzung nach Beschäftigtengrößenklassen, Stand 24.11.2025: https://www.destatis.de/DE/Themen/Branchen-Unternehmen/Unternehmen/IKT-in-Unternehmen-IKT-Branche/Tabellen/ikti-unternehmen-kuenstliche-intelligenz.html	23.09.2026
ISO/IEC 42001 erschienen Dezember 2023, Anforderungen an ein KI-Managementsystem	ISO: https://www.iso.org/standard/42001 (Edition 1, 2023-12; Seite blockt Abruf-Tools mit 403, Angaben aus dem ISO-Suchindex)	23.09.2026
NIST AI RMF 1.0 vom 26.01.2023 („Released on January 26, 2023“, „intended for voluntary use“), Funktionen GOVERN, MAP, MEASURE, MANAGE	https://www.nist.gov/itl/ai-risk-management-framework · NIST AI 100-1: https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-1.pdf	23.09.2026
Verordnung (EU) 2026/1744 vom 8.7.2026, ABl. L vom 24.7.2026, in Kraft am dritten Tag nach Veröffentlichung = 27.7.2026; Art. 113 Abs. 3 lit. c neu: Anhang III ab 2.12.2027, Anhang I ab 2.8.2028	Amtsblatt-PDF (Primärquelle, per curl geladen und durchsucht): https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:L_202601744 · ELI http://data.europa.eu/eli/reg/2026/1744/oj · Zeitplan zusätzlich EU-Kommission: https://digital-strategy.ec.europa.eu/de/policies/regulatory-framework-ai (Seitenstand 03.08.2026)	23.09.2026
Verbote und KI-Kompetenz seit 2.2.2025, GPAI, Governance und Sanktionen seit 2.8.2025, Art. 50 ab 2.8.2026; Art. 50 Abs. 2 für vor dem 2.8.2026 in Verkehr gebrachte generative Systeme bis 2.12.2026 (Art. 111 Abs. 4 neu)	Art. 113 VO (EU) 2024/1689: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:L_202401689 · Art. 111 Abs. 4 in VO (EU) 2026/1744 (Amtsblatt-PDF oben) · EU-Kommission (Link oben)	23.09.2026
Art. 4 neu: „ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz … zu unterstützen“; „verpflichtet … nicht, … ein bestimmtes Niveau an KI-Kompetenz zu garantieren“	VO (EU) 2026/1744, Nr. 5, Amtsblatt-PDF (Link oben)	23.09.2026
Art. 99 Abs. 3/4: 35 Mio. € / 7 %, 15 Mio. € / 3 %, jeweils höherer Betrag; KMU der niedrigere (Abs. 6); kleine Midcap-Unternehmen der niedrigere (Abs. 6a neu)	VO (EU) 2024/1689, Amtsblatt-PDF (Link oben); Abs. 6a: VO (EU) 2026/1744, Nr. 38	23.09.2026
Art. 12 Abs. 1: „Die Technik der Hochrisiko-KI-Systeme muss die automatische Aufzeichnung von Ereignissen … während des Lebenszyklus des Systems ermöglichen“; Kapitel III Abschnitte 1–3 gelten erst ab 2.12.2027 / 2.8.2028	VO (EU) 2024/1689, Amtsblatt-PDF; Art. 113 Abs. 3 lit. c i. d. F. VO (EU) 2026/1744	23.09.2026
Art. 26 Abs. 2: menschliche Aufsicht durch Personen mit Kompetenz, Ausbildung, Befugnis; Abs. 6: Betreiber von Hochrisiko-KI-Systemen bewahren Protokolle, „soweit diese … ihrer Kontrolle unterliegen“, mindestens sechs Monate auf; vom Omnibus nicht geändert, Geltung ab 2.12.2027 (Anhang III)	VO (EU) 2024/1689, Amtsblatt-PDF (Link oben)	23.09.2026
Erwägungsgrund 27: Ethikleitlinien für vertrauenswürdige KI (2019) der hochrangigen Expertengruppe, sieben unverbindliche Grundsätze (Wortlaut der Aufzählung übernommen)	VO (EU) 2024/1689, Amtsblatt-PDF (Link oben)	23.09.2026
DSGVO Art. 5 Abs. 2 Rechenschaftspflicht	EUR-Lex, amtlicher Text: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 (Wortlaut per curl geprüft)	23.09.2026
DSGVO Art. 35 Abs. 1 Datenschutz-Folgenabschätzung „vorab“ bei voraussichtlich hohem Risiko	EUR-Lex, Link wie oben	23.09.2026
§ 87 Abs. 1 Nr. 6 BetrVG	https://www.gesetze-im-internet.de/betrvg/__87.html	23.09.2026
Pexon: Rollenmodell (Board quartalsweise, CAIO/AI Ethics Lead, CoE 3-5 FTEs, AI Owners), kleinere Organisationen 1-2 dedizierte FTEs, quartalsweise Reviews	Zielseite, FAQ „Welche Rollen …“ und „Wie lange dauert …“; https://pexon-consulting.de/ki-beratung/private-ai/ai_governance_consulting_verantwortungsvolle_strategien/	23.09.2026
Pexon: SSO über bestehenden Identity Provider, Rollen und Rechte, Logging für Audits und regulatorische Anfragen, freigegebener Zugang statt Schatten-KI, Risikobewertung nach EU AI Act und DSGVO als Konfiguration der zentralen KI-Plattform	Zielseite, Einleitung und Abschnitt „Eine KI-Richtlinie allein kontrolliert noch nichts“	23.09.2026
Pexon: AI Governance Framework Paket „ab 35.000€“, 16 Wochen, 3 Monate Post-Implementation Support; Assessment 4 Wochen, Umsetzung 12-16 Wochen, Enterprise 20-24 Wochen	Zielseite, Abschnitt „Das AI Governance Framework Paket“ und FAQ; Preis live per curl bestätigt	23.09.2026
Pexon Consulting GmbH, Südliche Münchner Str. 42A, 82031 Grünwald; Geschäftsführer (Duc Duy) Phillip Pham	https://pexon-consulting.de/impressum/	23.09.2026
Links zur Gastdomain	https://ap-verlag.de/ki-einsatz-nachholbedarf-bei-governance-strukturen/97863/ (05.08.2025) · https://ap-verlag.de/ki-identitaeten-ausser-kontrolle-massive-governance-luecken-in-deutschen-unternehmen/102130/ (29.01.2026; internationale, von Saviynt beauftragte Umfrage in DE, UK, USA — daher im Text „international“, nicht „deutsche Großunternehmen“), beide HTTP 200	23.09.2026
Anbietervergleich — Pexon Consulting: „Rollen und Rechten, Single Sign-on über Ihren Identity Provider, nachvollziehbarem Logging“; „Nutzung und Zugriffe werden so geloggt, dass Sie sie bei Audits und regulatorischen Anfragen vorlegen können“; „landen aber als Konfiguration in Ihrer zentralen KI-Plattform statt nur im Handbuch“; „ab 35.000€“; „in 16 Wochen“; Phasen Woche 1-4 / 5-12 / 13-16; „3 Monate Post-Implementation Support“; „AI Act, DSGVO, ISO 42001, NIS2“	Zielseite (live per curl, HTTP 200, Wortlaute gefunden) und https://pexon-consulting.de/ki-beratung/private-ai/ai_governance_consulting_verantwortungsvolle_strategien/	24.09.2026
Anbietervergleich — KPMG: „Trusted AI Framework“, „zehn Prinzipien wie Fairness, Transparenz und Umweltverantwortung“; „AI Target Operating Model“ legt „Rollen, Abläufe und Steuerungsgrößen“ fest; „Für die operative Umsetzung von KI-Governance setzten wir auf die Plattform ServiceNow. Dort lassen sich alle Modelle zentral erfassen, systematisch klassifizieren und bewerten“; „Von der Reifegradanalyse … bis hin zur technischen Umsetzung“; „ein Quick-Check zur strukturierten Standortbestimmung“; „ISO-Norm 42001“, „NIST“, „COBIT-Modell“, „European AI Act“; kein Preis auf der Seite; SSO/Logging/Protokollierung: 0 Treffer	https://kpmg.com/de/de/themen/digital-transformation/kuenstliche-intelligenz/governance-und-compliance-fuer-ki.html (Weiterleitung von /home/themen/2025/08/…, HTTP 200); Ranker Platz 11: https://kpmg.com/de/de/themen/digital-transformation/kuenstliche-intelligenz/ki-governance-das-sind-die-erfolgsfaktoren.html	24.09.2026
Anbietervergleich — GÖRG: Themenseite „KI-Governance: Rechtliche Herausforderungen und Lösungen“; „beraten Sie umfassend zu allen Rechtsfragen der Künstlichen Intelligenz“; Leitplanken „KI-Verordnung (EU AI Act)“, „EU-Produkthaftungsrichtlinie und KI-Haftungsrichtlinie“, „Datenschutz und Urheberrecht“, „Arbeitsrecht: Regelungen zur Mitbestimmung“, „Gesellschaftsrecht und Corporate Governance“; „sektorspezifische Vorgaben, etwa in der Versicherungswirtschaft, im Bankensektor oder im Gesundheitswesen“; „unternehmensweites KI-Register … ähnlich wie das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO“; kein Preis; SSO/Logging: 0 Treffer. Rechtsform „GÖRG Partnerschaft von Rechtsanwälten mbB“, „Sitz Köln“	https://www.goerg.de/de/ki-governance (Ranker Platz 3, HTTP 200) · Impressum https://www.goerg.de/de/impressum	24.09.2026
Anbietervergleich — Proliance: „Legal Tech Unternehmen mit Sitz in München“; Pakete „KI-Basis … Ab 125 € / Monat, mind. 5 h/Jahr“ („1-4 Anwendungen“), „KI-Professional … Ab 275 € / Monat“, „KI-Beauftragter … Ab 750 € / Monat, 4 h/Monat (48 h/Jahr)“ mit „Vollständige externe KI-Compliance-Verantwortung“; Leistungen „Risikoklassifizierung“, „KI-Policy-Vorlage“, „AI-Register, DSFA“; „AI Act, DSGVO und NIS-2 aus einer Hand“; „Praxisnah für KMU“; SSO/Logging: 0 Treffer. PROLIANCE GmbH, Leopoldstr. 21, 80802 München	https://www.proliance.ai/ki-compliance-beratung (HTTP 200) · Ranker Platz 8: https://www.proliance.ai/blog/ki-governance · Impressum https://www.proliance.ai/impressum	24.09.2026
Anbietervergleich — ibo: Seminar „KI Governance“, „In 6 Std. zur handlungsfähigen KI-Governance: Mit Regelkreismodell, KI-Register, Freigabeprozess & Playbook“, „899,00 zzgl. MwSt.“ bzw. „ab 899,00 € inkl. MwSt. 1.069,81 €“, Online-Termin 13.10.2026; „2 Stunden zur Reflexion im LeanCoffee Format, kostenfrei“; „EU AI Act kompakt“; SSO/Logging: 0 Treffer. ibo Akademie GmbH, Im Westpark 8, 35435 Wettenberg	https://www.ibo.de/seminar/ki-governance/kigov (HTTP 200) · Ranker Platz 7: https://www.ibo.de/themen/kuenstliche-intelligenz-im-unternehmen/ki-governance · Impressum https://www.ibo.de/impressum	24.09.2026
ItemList-URLs der Anbieter	https://kpmg.com/de/de.html · https://www.goerg.de/ · https://www.proliance.ai/ · https://www.ibo.de/ — alle HTTP 200	24.09.2026

Text, Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

415 Artikel zu „KI-Governance“

Business | Business Process Management | IT-Security | Künstliche Intelligenz | News | Services | Tipps

KI-Governance umsetzen: Wie CIOs Richtlinie, Rechte und Nachweise zusammenbringen

25. September 2026

KI-Governance wird für CIOs zur Umsetzungsdisziplin: Richtlinien allein reichen nicht, wenn Identitäten, Rollen, Freigaben und Protokolle technisch unverbunden bleiben. Der Beitrag zeigt, wie Unternehmen rechtliche Vorgaben in kontrollierbare Zugänge übersetzen, Nachweise auditfest organisieren und den Aufbau eines tragfähigen Frameworks realistisch planen. Management Summary Governance wird erst durchsetzbar: Eine KI-Richtlinie entfaltet Wirkung, wenn jede Regel mit…