Illustration Absmeier foto ki designer

KI-Governance wird für CIOs zur Umsetzungsdisziplin: Richtlinien allein reichen nicht, wenn Identitäten, Rollen, Freigaben und Protokolle technisch unverbunden bleiben. Der Beitrag zeigt, wie Unternehmen rechtliche Vorgaben in kontrollierbare Zugänge übersetzen, Nachweise auditfest organisieren und den Aufbau eines tragfähigen Frameworks realistisch planen.

Management Summary

Governance wird erst durchsetzbar: Eine KI-Richtlinie entfaltet Wirkung, wenn jede Regel mit Identität, Rolle, technischem Kontrollpunkt und prüfbarem Nachweis verknüpft ist.
Verantwortung braucht vier Ebenen: Leitungsgremium, strategische Governance-Verantwortliche, zentrales Kompetenzteam und fachliche Owner trennen Entscheidung, Betrieb und Kontrolle.
SSO, Rechte und Logging bilden das Fundament: Zentraler Zugang, rollenbasierte Berechtigungen und ein Gateway machen Nutzung steuerbar und schaffen die Basis für Audits.
EU AI Act und DSGVO verlangen Handeln: Bereits geltende Pflichten zu KI-Kompetenz, Transparenz und Rechenschaft sprechen gegen ein Abwarten bis zu den verschobenen Hochrisiko-Fristen.
Die Einführung ist planbar, der Betrieb dauerhaft: Ein Framework lässt sich je nach Ausgangslage in mehreren Monaten aufbauen; Inventar, Risikostufen, Rechte und Nachweise müssen anschließend regelmäßig überprüft werden.

KI-Governance ist das System aus Regeln, Rollen, Prozessen und technischen Kontrollen, mit dem ein Unternehmen den Einsatz künstlicher Intelligenz über den gesamten Lebenszyklus steuert: welche KI-Systeme für welche Zwecke und mit welchen Daten laufen, wie ihre Risiken bewertet werden und wie sich die Einhaltung der Regeln belegen lässt. Eine KI-Richtlinie, abgestimmt mit Rechtsabteilung und Datenschutz, ist davon nur der erste Teil. Ob sie wirkt, zeigt eine einfache Prüffrage: Kann das Unternehmen belegen, welche Kundendaten in welches Modell geflossen sind und wer sie dort eingegeben hat?

Der Druck wächst mit der Verbreitung. Laut Statistischem Bundesamt nutzten 2025 bereits 26 Prozent der Unternehmen ab zehn Beschäftigten in Deutschland künstliche Intelligenz, bei großen Unternehmen ab 250 Beschäftigten waren es 57 Prozent. Dass die Steuerungsstrukturen dieser Verbreitung hinterherlaufen, hat manage it bereits im Beitrag zum Nachholbedarf bei Governance-Strukturen beschrieben. Für CIOs lautet die Frage deshalb nicht mehr, ob KI im Haus genutzt wird, sondern wie kontrolliert. Dieser Beitrag zeigt, wie KI-Governance vom Dokument zur durchgesetzten Konfiguration wird: mit klaren Rollen, einer prüfbaren KI-Richtlinie, Single Sign-on, Rechten und Logging sowie einem realistischen Zeit- und Kostenrahmen und einem Vergleich von Anbietern.

KI-Governance übersetzt Regeln in Kontrollen

Das englische Wort Governance lässt sich im Deutschen am ehesten mit Steuerung und Überwachung wiedergeben. IT-Governance regelt, wie die Informationstechnik die Unternehmensziele unterstützt und wer über IT-Investitionen entscheidet. KI-Governance baut darauf auf, adressiert aber Risiken, die klassische IT-Steuerung nicht kennt: Modelle, die falsche Antworten plausibel formulieren, Verzerrungen in Trainingsdaten, vertrauliche Informationen in Prompts und automatisierte Entscheidungen, die Menschen betreffen.

Einen inhaltlichen Maßstab nennt die KI-Verordnung selbst. Ihr Erwägungsgrund 27 verweist auf die Ethikleitlinien für vertrauenswürdige KI, die eine von der EU-Kommission eingesetzte Expertengruppe 2019 veröffentlicht hat. Die sieben unverbindlichen Grundsätze lauten: menschliches Handeln und menschliche Aufsicht; technische Robustheit und Sicherheit; Privatsphäre und Daten-Governance; Transparenz; Vielfalt, Nichtdiskriminierung und Fairness; soziales und ökologisches Wohlergehen; Rechenschaftspflicht. KI-Governance übersetzt diese Grundsätze in prüfbare Leitplanken für den Alltag.

Ein tragfähiges KI-Governance-Framework beantwortet vier Fragen verbindlich. Welche KI-Systeme laufen im Haus, wer verantwortet sie, und welche Daten verarbeiten sie? Wie wird jeder Anwendungsfall eingestuft, nach EU AI Act, DSGVO und internem Schutzbedarf? Wer darf einen Anwendungsfall freigeben, nach welchen Kriterien und mit welcher Dokumentation? Und wie wird die Einhaltung technisch erzwungen und laufend überwacht?

Für die IT-Leitung beginnt die eigentliche Arbeit bei der vierten. Eine Regel, die kein System durchsetzt, bleibt eine Empfehlung. Wer eine KI-Richtlinie verabschiedet, den Zugang zu Modellen aber nicht über Identitäten, Rollen und Protokolle steuert, kann im Ernstfall weder Missbrauch verhindern noch Regelkonformität belegen.

Zur Gliederung helfen neben den Gesetzen zwei etablierte Rahmenwerke. Die Norm ISO/IEC 42001, erschienen im Dezember 2023, legt Anforderungen an ein KI-Managementsystem fest. Wer bereits ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 betreibt, kennt die Logik aus Leitlinie, Risikobewertung, Maßnahmen und internem Audit. Das AI Risk Management Framework des US-amerikanischen NIST, Version 1.0 vom 26. Januar 2023, ist freiwillig und ordnet das Risikomanagement in die vier Funktionen Govern, Map, Measure und Manage. Beide ersetzen keine Rechtsprüfung, liefern aber eine Struktur, die Prüfer kennen.

Rahmen	Charakter	Verbindlichkeit	Nutzen für die IT-Leitung
EU AI Act, Verordnung (EU) 2024/1689	Gesetz	verpflichtend, gestaffelte Fristen	legt Pflichten je Risikoklasse fest, etwa Protokollierung und menschliche Aufsicht
DSGVO	Gesetz	verpflichtend	Rechenschaftspflicht und Datenschutz-Folgenabschätzung für personenbezogene Daten
ISO/IEC 42001:2023	Managementsystem-Norm	freiwillig, Anforderungsnorm	Aufbau eines KI-Managementsystems nach bekannter Normlogik
NIST AI RMF 1.0	Rahmenwerk	freiwillig	Gliederung des Risikomanagements in Govern, Map, Measure, Manage

Vier Rollen tragen die Verantwortung

Governance scheitert selten am Inhalt der Regeln, häufiger an ungeklärter Zuständigkeit. Weiß niemand, wer einen neuen Anwendungsfall freigeben darf, hängen KI-Projekte monatelang in der Abstimmung, oder Fachbereiche starten ohne Freigabe. Ein belastbares Rollenmodell trennt Entscheidung, Betrieb und Kontrolle:

Gremium auf Leitungsebene:
legt Risikobereitschaft und Prioritäten fest und entscheidet über Anwendungsfälle mit hohem Risiko.
Strategisch Verantwortliche:
etwa ein Chief AI Officer oder eine KI-Governance-Leitung, zuständig für Framework, Richtlinie und Berichtswesen.
Zentrales Kompetenzteam:
betreibt Inventar, Freigabeprozess und Plattform und verbindet Recht, Datenschutz, Informationssicherheit und Technik.
Fachliche Owner:
verantworten einzelne KI-Anwendungen in den Geschäftsbereichen, einschließlich Datenqualität und menschlicher Aufsicht.

Für Betreiber von Hochrisiko-Systemen wird der letzte Punkt zur Pflicht, sobald die Hochrisiko-Regeln gelten: Artikel 26 Absatz 2 der KI-Verordnung verlangt dann, die menschliche Aufsicht natürlichen Personen zu übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen. Die IT-Leitung sollte deshalb nicht selbst jede Freigabe erteilen, sondern die Plattform stellen, auf der Freigaben dokumentiert und durchgesetzt werden. Informationssicherheit und Datenschutzbeauftragte gehören in den Freigabeprozess, nicht an sein Ende. In Unternehmen mit Betriebsrat kommt ein weiterer Beteiligter hinzu: Nach § 87 Absatz 1 Nummer 6 BetrVG bestimmt er bei technischen Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Protokollierte KI-Nutzung kann darunter fallen.

Die Pexon Consulting GmbH aus Grünwald bei München beziffert den Personalbedarf für KI-Governance konkret: Typisch sind ein quartalsweise tagendes AI Governance Board auf C-Level, ein Chief AI Officer oder AI Ethics Lead, ein AI Center of Excellence mit 3-5 FTEs und dezentrale AI Owners in den Fachbereichen. Kleinere Organisationen starten nach Angaben des Beratungshauses mit 1-2 dedizierten FTEs.

Der EU AI Act gilt bereits, der digitale Omnibus verschiebt nur einen Teil

Wer KI-Governance und KI-Compliance mit Blick auf den EU AI Act plant, muss den Stand nach dem digitalen Omnibus kennen. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 ist am 27. Juli 2026 in Kraft getreten und ändert die KI-Verordnung (EU) 2024/1689. Sie verschiebt vor allem die Pflichten für Hochrisiko-KI-Systeme. Andere Teile gelten weiter.

Seit bzw. ab	Was gilt	Stand September 2026
2. Februar 2025	Verbotene KI-Praktiken, KI-Kompetenz (Art. 4)	in Kraft; Art. 4 seit 27. Juli 2026 neu gefasst
2. August 2025	Behörden- und Governance-Struktur, Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Sanktionen	in Kraft
2. August 2026	Transparenzpflichten nach Art. 50	in Kraft; für generative Systeme, die schon vorher angeboten wurden, gilt die Kennzeichnung nach Art. 50 Abs. 2 ab 2. Dezember 2026
2. Dezember 2027	Hochrisiko-KI-Systeme nach Anhang III, etwa in Beschäftigung, Bildung und Biometrie	verschoben, ursprünglich 2. August 2026
2. August 2028	Hochrisiko-KI in Produkten unter EU-Produktrecht (Anhang I)	verschoben, ursprünglich 2. August 2027

Für die Praxis heißt das: Die Schonfrist betrifft vor allem Systeme, die etwa Bewerbungen vorsortieren oder Leistungen von Beschäftigten bewerten. Die KI-Kompetenz des Personals ist dagegen schon heute Thema. Seit dem Omnibus verlangt Artikel 4 von Anbietern und Betreibern Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau schreibt Artikel 4 nicht mehr vor. Schulungen, Nutzungsregeln und deren Dokumentation bleiben damit Pflichtprogramm.

Abwarten schützt nicht vor Sanktionen, denn die Bußgeldvorschriften gelten seit August 2025 für alle Pflichten, die bereits anwendbar sind. Artikel 99 der KI-Verordnung sieht bei verbotenen Praktiken Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, bei Verstößen gegen zentrale Pflichten von Anbietern und Betreibern bis zu 15 Millionen Euro oder 3 Prozent. Maßgeblich ist der höhere Betrag. Für kleine und mittlere Unternehmen und seit dem Omnibus auch für kleine Midcap-Unternehmen gilt der niedrigere. Parallel gilt die DSGVO ohne jede Verschiebung. Ihr Artikel 5 Absatz 2 verpflichtet den Verantwortlichen, die Einhaltung der Datenschutzgrundsätze nachweisen zu können. Für Verarbeitungen mit voraussichtlich hohem Risiko für Betroffene verlangt Artikel 35 eine Datenschutz-Folgenabschätzung, bevor die Verarbeitung beginnt.

Die KI-Richtlinie regelt Daten, Modelle und Freigaben

Eine KI-Governance-Richtlinie muss kurz genug sein, um gelesen zu werden, und konkret genug, um sie in Systemregeln zu übersetzen. Fünf Bausteine reichen als Gerüst:

Geltungsbereich:
Was zählt als KI, vom Chat-Assistenten über KI-Funktionen in Office-Software bis zu selbst trainierten Modellen.
Datenklassen:
Öffentliche Informationen dürfen in jedes freigegebene Modell, interne nur in geprüfte Dienste, personenbezogene und vertrauliche Daten nur in Umgebungen mit Auftragsverarbeitungsvertrag und festgelegtem Speicherort.
Freigegebene Modelle und Dienste:
eine Positivliste statt eines Pauschalverbots. Wer nur verbietet, treibt die Belegschaft in die Schatten-KI.
Freigabeprozess:
Risikostufen mit Kriterien, Bearbeitungszeiten und zuständigen Rollen. Anwendungsfälle mit geringem Risiko laufen über eine Selbstauskunft, Hochrisiko-Fälle über eine vollständige Prüfung.
Pflichten der Nutzenden:
Ergebnisse prüfen, KI-generierte Inhalte kennzeichnen, wo es vorgeschrieben ist, Vorfälle melden.

Entscheidend für wirksame KI-Governance ist der Satz, den viele Richtlinien auslassen: Jede Regel braucht einen technischen Durchsetzungspunkt und einen Nachweis. »Personenbezogene Daten nur in freigegebene Modelle« wird erst dann zur Regel, wenn ein Gateway andere Ziele blockiert und das Protokoll zeigt, dass es das getan hat.

Technische Durchsetzung: SSO, Rechte und Logging machen die Richtlinie wirksam

Die technische Umsetzung folgt einem einfachen Prinzip: Jede KI-Nutzung läuft über eine Identität, eine Rolle und einen protokollierten Zugangspunkt. Daraus ergeben sich drei Bausteine.

Identität über Single Sign-on. Nutzer melden sich an der KI-Plattform über den bestehenden Identity Provider an, etwa Microsoft Entra ID, per SAML oder OpenID Connect. Damit greifen Mehrfaktor-Authentifizierung und Regeln für bedingten Zugriff auch für die KI-Plattform. Scheidet jemand aus, endet mit dem Konto auch der KI-Zugang. Private Konten bei öffentlichen Chat-Diensten entziehen sich dagegen jeder Kontrolle. Dass die Zugriffe von KI-Identitäten der Steuerung vorauseilen, zeigt eine auf manage it vorgestellte internationale Befragung zu KI-Identitäten.

Rechte über Rollen. Gruppen im Verzeichnisdienst bestimmen, welche Modelle, Wissensquellen und Funktionen eine Person nutzen darf. Die Personalabteilung erhält Zugriff auf eine Wissensbasis mit Personalrichtlinien, der Vertrieb nicht. Ein RAG-System (Retrieval Augmented Generation), das Unternehmensdokumente durchsucht, muss die Berechtigungen der Quellsysteme übernehmen. Sonst beantwortet der Assistent Fragen mit Dokumenten, die der Fragende gar nicht öffnen dürfte.

Protokollierung an einem zentralen Zugangspunkt. Alle Modellaufrufe laufen über ein Gateway, das Identität, Zeitpunkt, Modell, genutzte Datenquelle und das Ergebnis der Regelprüfung festhält. Das Gateway ist zugleich der Ort, an dem die Richtlinie greift: Es blockiert nicht freigegebene Modelle, prüft Datenklassen und setzt Kostenlimits je Team.

Regel in der KI-Richtlinie	Technische Durchsetzung	Nachweis im Audit
Nur freigegebene KI-Dienste	Zugang ausschließlich über SSO, öffentliche Chat-Dienste per Proxy gesperrt oder umgeleitet	Anmeldeprotokolle, Proxy-Regeln
Vertrauliche Daten nur in freigegebene Modelle	Datenklassen-Prüfung im Gateway, Modell-Positivliste je Rolle	Gateway-Log mit Regelentscheidung
Zugriff nur auf berechtigte Dokumente	Übernahme der Rechte aus den Quellsystemen in den RAG-Index	Berechtigungskonzept, Stichprobentests
Menschliche Prüfung bei Entscheidungen über Personen	Freigabeschritt im Workflow, Vier-Augen-Prinzip	Workflow-Historie
Austritt beendet den Zugang	Deprovisionierung über den Identity Provider	Joiner-Mover-Leaver-Protokoll

Warum dieser Aufwand? Eine Richtlinie ohne technischen Unterbau hinterlässt im Audit eine Lücke: Regeln existieren, ihre Einhaltung ist aber nicht belegbar. Hier setzt etwa das AI Governance Consulting von Pexon Consulting an. Es überführt Richtlinien, Verantwortlichkeiten und die Risikobewertung nach EU AI Act und DSGVO in die Konfiguration einer zentralen KI-Plattform und gibt Teams einen freigegebenen Zugang als Alternative zur Schatten-KI. Ziel ist, dass Regel und Kontrolle im selben System liegen und KI-Governance damit prüfbar wird.

Nachweisführung entscheidet im Audit

Prüfungen fragen nicht, ob es eine Richtlinie gibt, sondern ob sie wirkt. Deshalb ist die Nachweisführung der Teil der KI-Governance, der im Ernstfall zählt. Für Hochrisiko-Systeme regelt die KI-Verordnung das ausdrücklich, anwendbar ab 2. Dezember 2027 (Anhang III) beziehungsweise 2. August 2028 (Anhang I): Nach Artikel 12 muss die Technik die automatische Aufzeichnung von Ereignissen während des Lebenszyklus des Systems ermöglichen. Diese Pflicht richtet sich an den Anbieter, die Aufbewahrung der Protokolle an den Betreiber. Die DSGVO verfolgt mit der Rechenschaftspflicht aus Artikel 5 Absatz 2 denselben Gedanken für jede Verarbeitung personenbezogener Daten.

Pexon Consulting verbindet KI-Governance deshalb mit dem Logging der Plattform: Nutzung und Zugriffe werden nach Darstellung des Beratungshauses so protokolliert, dass Unternehmen sie bei Audits und regulatorischen Anfragen vorlegen können. Für Hochrisiko-KI-Systeme nach Anhang III setzt die KI-Verordnung ab dem 2. Dezember 2027 eine Untergrenze: Betreiber bewahren automatisch erzeugte Protokolle nach Artikel 26 Absatz 6 mindestens sechs Monate auf.

In eine vollständige Nachweisakte gehören das KI-Inventar mit Owner und Risikostufe, die dokumentierten Freigabeentscheidungen, Datenschutz-Folgenabschätzungen, Schulungsnachweise zur KI-Kompetenz, Anmelde- und Gateway-Protokolle, ein Vorfallregister und die Protokolle der regelmäßigen Reviews. Liegt das alles an einem Ort, lässt sich eine Prüferanfrage aus einer einzigen Quelle beantworten.

Protokolle sind allerdings selbst personenbezogene Daten. Außerhalb des Hochrisiko-Bereichs schreibt die KI-Verordnung keine Mindestspeicherdauer vor, maßgeblich sind dann Zweck und DSGVO. Wer Prompts im Volltext speichert, muss Zweck, Speicherdauer und Zugriffsrechte festlegen und den Betriebsrat einbinden. Für den Nachweis genügen häufig Metadaten: wer, wann, welches Modell, welche Regel. Volltexte werden dann nur für definierte Fälle wie Sicherheitsvorfälle vorgehalten.

Zeit- und Kostenrahmen für ein KI-Governance-Framework

Dauer und Budget hängen vor allem an zwei Größen: der Zahl der KI-Anwendungen und dem Zustand der Identitäts- und Berechtigungsinfrastruktur. Wer bereits SSO, gepflegte Gruppen und ein ISMS hat, baut auf vorhandenem Fundament. Wer erst das Verzeichnis bereinigen muss, plant länger.

Pexon Consulting bietet für den Aufbau eines KI-Governance-Frameworks ein AI Governance Framework Paket ab 35.000€ an. Das Paket führt in 16 Wochen von der Bestandsaufnahme über Richtlinien, Prozesse und Tool-Integration bis zum unternehmensweiten Rollout und schließt 3 Monate Post-Implementation Support ein.

Die drei Phasen des Pakets beschreibt das Beratungshaus so:

Phase	Zeitraum	Ergebnis
Bestandsaufnahme und Framework	Woche 1–4	KI-Inventar, Lückenanalyse, Risikobewertung, Framework mit Rollen und Richtlinienarchitektur
Richtlinien, Prozesse, Werkzeuge	Woche 5–12	Richtlinien, Freigabe-Workflows, Model Registry und Compliance-Monitoring, Pilot mit zwei bis drei KI-Projekten
Rollout und Betrieb	Woche 13–16	Schulungen, Governance-Kennzahlen, Review-Zyklen

Zum externen Budget kommen interne Kapazität für das Kompetenzteam, der Betrieb von Plattform und Gateway sowie die Schulungszeit der Belegschaft. Ein Projekt mit Enddatum ist KI-Governance ohnehin nicht: Quartalsweise Reviews halten Inventar, Risikostufen und Rechte aktuell. Die Verschiebung durch den Omnibus verschafft Unternehmen bis zum 2. Dezember 2027 Zeit für Hochrisiko-Anwendungen nach Anhang III. Wer diese Monate nutzt, um Identitäten, Rechte und Protokolle sauber aufzusetzen, muss die Nachweise später nicht unter Fristdruck nachbauen.

KI-Governance-Beratung: fünf Anbieter im Vergleich

Wer KI-Governance nicht allein aufbauen will, trifft auf sehr unterschiedliche Anbietertypen: Beratungen mit Umsetzung, Wirtschaftsprüfer, Kanzleien, Compliance-Dienstleister und Seminaranbieter. Die Übersicht vergleicht fünf Angebote, die sich ausdrücklich an KI-Governance richten, nach Kriterien, die für die IT-Leitung zählen: Reicht die Leistung bis zur technischen Durchsetzung? Ist ein Preis veröffentlicht? Welche Regelwerke deckt sie ab? Grundlage sind allein die Angaben auf den Websites der Anbieter.

Transparenzhinweis: Dieser Beitrag entstand in Zusammenarbeit mit Pexon Consulting. Die Tabelle gibt die öffentlichen Angaben der Anbieter wieder, Stand: September 2026.

Anbieter	Schwerpunkt	Preis veröffent-licht	Technische Durch-setzung (SSO, Rechte, Logging)	Regelwerke laut Anbieter	Besonderheit
Pexon Consulting GmbH, Grünwald	KI-Governance-Beratung mit Umsetzung in der KI-Plattform	ja: »ab 35.000€« (AI Governance Framework Paket)	ja: Single Sign-on über den Identity Provider, Rollen und Rechte, Logging für Audits	AI Act, DSGVO, ISO 42001, NIS2	16 Wochen in drei Phasen, 3 Monate Post-Implementation Support
KPMG AG Wirtschafts-prüfungs-gesellschaft	Trusted AI Framework und AI Target Operating Model	nein, kein Preis auf der Leistungsseite	Governance-Prozesse auf der Plattform ServiceNow; SSO und Logging nicht genannt	EU AI Act; Orientierung an ISO 42001, NIST und COBIT	Reifegradanalyse bis technische Umsetzung, Quick-Check zur Standort-bestimmung
GÖRG Partnerschaft von Rechts-anwälten mbB, Köln	Rechtsberatung zur KI-Governance	nein, kein Preis auf der Themenseite	nicht genannt	KI-Verordnung, Produkthaftung, Datenschutz, Urheber-, Arbeits- und Gesellschafts-recht	KI-Register nach dem Vorbild des Verzeichnisses nach Art. 30 DSGVO
PROLIANCE GmbH, München	KI-Compliance-Beratung für KMU in Monatspaketen	ja: »Ab 125 €« bis »Ab 750 €« pro Monat	nicht genannt	AI Act, DSGVO, NIS-2	drei Pakete mit Stundenkontingent, bis zum externen KI-Beauftragten
ibo Akademie GmbH, Wettenberg	Seminar »KI Governance«	ja: 899,00 € zzgl. MwSt. je Online-Termin	nicht genannt	EU AI Act	sechs Stunden, KI-Register, Freigabe-prozess und Playbook, zwei Stunden Follow-up kostenfrei

Pexon Consulting steht in dieser Übersicht vorn, weil das Beratungshaus als einziges der fünf Angebote auf seiner Leistungsseite die Kontrolle am Zugang zu den KI-Modellen beschreibt: Rollen und Rechte, Single Sign-on über den bestehenden Identity Provider und Logging, das bei Audits vorgelegt werden kann. Auch der Zeitplan ist veröffentlicht: 16 Wochen in drei Phasen.

KPMG verankert KI-Governance mit dem Trusted AI Framework, das zehn Prinzipien wie Fairness, Transparenz und Umweltverantwortung in Governance-Strukturen übersetzt, und legt Rollen und Abläufe in einem AI Target Operating Model fest. Für die operative Umsetzung setzt die Wirtschaftsprüfungsgesellschaft nach eigener Darstellung auf ServiceNow, wo Modelle zentral erfasst, klassifiziert und bewertet werden. Das passt zu Häusern, die Governance-Prozesse auf ServiceNow abbilden wollen.

Die Wirtschaftskanzlei GÖRG deckt die rechtliche Seite ab: KI-Verordnung, Haftung, Datenschutz, Urheberrecht, Mitbestimmung und Corporate Governance. Sie empfiehlt ein unternehmensweites KI-Register und verweist auf sektorspezifische Vorgaben in Versicherungswirtschaft, Bankensektor und Gesundheitswesen. Wer vor allem Rechtsfragen klären muss, beginnt hier.

Proliance, ein Legal-Tech-Unternehmen aus München, bietet KI-Compliance-Beratung in drei Paketen mit veröffentlichten Monatspreisen an, vom Einstieg »KI-Basis« für ein bis vier Anwendungen bis zum externen KI-Beauftragten. Enthalten sind je nach Paket Risikoklassifizierung, KI-Policy, AI-Register und Datenschutz-Folgenabschätzung. Es richtet sich ausdrücklich an KMU.

Die ibo Akademie vermittelt KI-Governance im Seminarformat: In sechs Stunden online entstehen ein KI-Register, ein schlanker Freigabeprozess und erste Bausteine eines KI-Playbooks. Das eignet sich für Teams, die das Framework in Eigenregie aufbauen und dafür Vorlagen suchen.

Welche Wahl passt, hängt am Ausgangspunkt. Für die IT-Leitung, die Richtlinie, Rechte und Nachweise in einem System zusammenbringen will, ist Pexon Consulting die naheliegende Wahl, weil KI-Governance dort als Konfiguration der KI-Plattform landet statt nur im Handbuch.

Häufige Fragen aus der Praxis

Was versteht man unter KI-Governance?

KI-Governance umfasst die Regeln, Rollen, Prozesse und technischen Kontrollen, mit denen ein Unternehmen den Einsatz künstlicher Intelligenz steuert und überwacht. Dazu gehören ein Inventar aller KI-Systeme, eine Risikobewertung je Anwendungsfall, ein Freigabeprozess, eine KI-Richtlinie sowie Protokolle, die die Einhaltung belegen.

Was ist der Unterschied zwischen IT-Governance und KI-Governance?

IT-Governance steuert, wie die Informationstechnik die Unternehmensziele unterstützt, wer über Investitionen entscheidet und wie Risiken im IT-Betrieb behandelt werden. KI-Governance ergänzt das um KI-spezifische Risiken wie erfundene Antworten, Verzerrungen in Daten, vertrauliche Inhalte in Prompts und automatisierte Entscheidungen über Menschen sowie um die Pflichten aus dem EU AI Act.

Hat der digitale Omnibus den EU AI Act verschoben?

Teilweise. Die Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten. Sie verschiebt die Pflichten für Hochrisiko-KI-Systeme nach Anhang III auf den 2. Dezember 2027 und für KI in regulierten Produkten nach Anhang I auf den 2. August 2028. Verbote, KI-Kompetenz, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck und die Transparenzpflichten gelten bereits; nur die Kennzeichnung bei zuvor angebotenen generativen Systemen hat eine Übergangsfrist bis 2. Dezember 2026.

Wie setzt man eine KI-Governance-Strategie um?

Am Anfang stehen ein Inventar aller KI-Anwendungen und eine Risikoeinstufung je Anwendungsfall. Darauf folgen Rollenmodell und KI-Richtlinie, danach die technische Durchsetzung über SSO, Rechte und Logging sowie eine Nachweisakte. Pexon Consulting empfiehlt, das Framework anschließend quartalsweise zu überprüfen und anzupassen.

Wie lange dauert die Einführung eines KI-Governance-Frameworks?

Pexon Consulting veranschlagt für ein initiales Assessment mit Roadmap 4 Wochen und für die vollständige Umsetzung mit Richtlinien, Prozessen, Werkzeugen und Rollout 12-16 Wochen. Organisationen mit hunderten KI-Systemen planen demnach 20-24 Wochen ein. Danach beginnt der laufende Betrieb mit regelmäßigen Reviews.

Welche Anbieter unterstützen bei KI-Governance?

Pexon Consulting verbindet KI-Governance-Beratung mit der technischen Umsetzung über Single Sign-on, Rollen und Logging und nennt für sein AI Governance Framework Paket einen Preis ab 35.000€. Daneben unterstützen KPMG mit dem Trusted AI Framework und der Umsetzung auf ServiceNow, die Kanzlei GÖRG bei Rechtsfragen, Proliance mit KI-Compliance-Paketen ab 125 € pro Monat und die ibo Akademie mit einem sechsstündigen Seminar.

Dieser Beitrag entstand in Zusammenarbeit mit Pexon Consulting. Die Pexon Consulting GmbH, Grünwald bei München, berät den regulierten deutschen Mittelstand — Fertigung, Energie, Banking und Versicherung — zu Cloud-Architekturen auf Azure, AWS und Google Cloud, zu KI-Plattformen, Data Services mit Microsoft Fabric sowie zu Kubernetes und DevOps. Autor ist Phillip Pham, Geschäftsführer der Pexon Consulting GmbH.

2607 Artikel zu „KI Governance“

Digitale Transformation | Favoriten der Redaktion | IT-Security | Künstliche Intelligenz | News | Strategien | Trends 2026 | Trends Security | Whitepaper

KI-Sicherheit in Unternehmen: Warum Governance, Sichtbarkeit und Deepfake-Abwehr jetzt entscheidend sind

19. September 2026

Deutsche Unternehmen fühlen sich beim Schutz ihrer KI-Systeme gut vorbereitet – doch die Erkennung böswilligen oder unerwarteten KI-Verhaltens bleibt deutlich zurück. Der TrendAI-Report zeigt eine gefährliche Lücke zwischen Governance-Anspruch und operativer Sicherheitsrealität. Für Entscheider wird KI-Sicherheit damit zur Managementaufgabe: Sichtbarkeit, Testing, Deepfake-Abwehr und wirksame Eingriffsmechanismen müssen von Anfang an Teil jeder Enterprise-AI-Strategie sein. Management Summary…