Technische und organisatorische Orientierung

KI-Governance für KMU: Kontrolle vor Automatisierung

KI-Governance für KMU bedeutet, jeden KI-Einsatz mit Zweck, Verantwortlichen, Datenquellen, Anbietern, Freigaben, Protokollierung und Fehlerweg zu dokumentieren. DSGVO und EU AI Act werden nicht durch ein Tool oder einen Auftragsverarbeitungsvertrag pauschal erfüllt. Die technische Gestaltung kann eine fallbezogene rechtliche Prüfung vorbereiten, ersetzt sie aber nicht. Strukturierte Governance schafft eine nachvollziehbare Grundlage für Audits und Weiterentwicklung; ob konkrete Compliance-Anforderungen erfüllt sind, muss qualifiziert und fallbezogen bewertet werden.

Mit einem KI-Inventar anfangen

Governance beginnt mit Sichtbarkeit. Für jeden Einsatz werden Zweck, fachlicher Prozesseigner, technischer Betreiber, Modell oder Dienst, Datenkategorien, Quellen, Empfänger, Aktionen und Nutzergruppen erfasst. Erst dann lässt sich beurteilen, welche Datenschutz-, Sicherheits-, Transparenz- oder AI-Act-Fragen tatsächlich relevant sind. Viele Unternehmen unterschätzen diesen Schritt, weil er keine sofort sichtbare technische Leistung bringt – aber ohne Inventar und Dokumentation bleibt jede spätere Prüfung, Skalierung oder Übergabe ein Ratespiel.

  • Geschäftszweck und betroffener Arbeitsprozess
  • Anbieter, Modell, Hosting, Schnittstellen und Unterauftragnehmer
  • Datenkategorien, Quellen, Speicherorte und Empfänger
  • Automatisierte Ausgaben, Aktionen und mögliche Betroffenengruppen
  • Fachliche, technische und rechtliche Verantwortlichkeit

DSGVO-Prüfung entlang des realen Datenflusses

Wenn personenbezogene Daten verarbeitet werden, müssen unter anderem Zweck, Rechtsgrundlage, Datenminimierung, Speicherfristen, Betroffenenrechte, Rollen und Schutzmaßnahmen fallbezogen geprüft werden. Ein EU-Serverstandort oder ein Auftragsverarbeitungsvertrag allein beweist keine vollständige Rechtmäßigkeit. DAB dokumentiert den technischen Datenfluss; die rechtliche Bewertung erfolgt getrennt. Diese Trennung ist wichtig: DAB kann technische Sachverhalte objektiv beschreiben, aber keine Rechtsberatung ersetzen. Unternehmen sollten deshalb immer eine qualifizierte Rechtsprüfung einholen, wenn personenbezogene Daten im KI-Kontext verarbeitet werden.

  • Zweck und Daten – Zweck, Kategorien, Quellen, Notwendigkeit – Welche Daten dürfen überhaupt in den Ablauf?
  • Rollen und Anbieter – Verantwortlicher, Auftragsverarbeiter, Unterauftragnehmer – Welche Verträge und Prüfungen sind erforderlich?
  • Zugriff und Schutz – Berechtigungen, Verschlüsselung, Protokollierung – Wer darf welche Eingabe und Ausgabe sehen?
  • Aufbewahrung – Speicherorte, Fristen, Lösch- und Exportweg – Wann werden Eingaben, Ausgaben und Logs entfernt?
  • Betroffene – Auswirkung, Information, Korrektur- und Widerspruchsweg – Wie kann ein Ergebnis geprüft oder korrigiert werden?

EU AI Act: Rolle und Risikokontext zuerst bestimmen

Der EU AI Act arbeitet risikobasiert und gilt stufenweise. Ob ein Unternehmen Anbieter, Betreiber oder in einer anderen Rolle handelt und welche Pflichten greifen, hängt vom konkreten System, seinem Zweck und Einsatzkontext ab. Eine interne Klassifizierung ist deshalb nur ein Startpunkt; aktuelle Kommissionshinweise und bei Bedarf qualifizierte Rechtsberatung bleiben erforderlich.

  • Rolle des Unternehmens und Zweck des Systems dokumentieren
  • Betroffene Personen, Einsatzbereich und mögliche Folgen beschreiben
  • Verbotene, transparente, allgemeine oder potenziell hochriskante Nutzung prüfen lassen
  • Änderungen an Modell, Zweck oder Datenfluss erneut bewerten

Menschliche Kontrolle als konkreten Prozess bauen

Ein Hinweis wie ‚Human in the loop‘ reicht nicht. Governance benennt, welche Ausgabe geprüft wird, welche Information die prüfende Person sieht, welche Befugnis sie hat und was bei Ablehnung oder Unsicherheit passiert. Je schwerer eine Aktion rückgängig zu machen ist, desto klarer müssen Freigabe und Fehlerweg sein.

  • Entwurf, Empfehlung und autonome Aktion deutlich unterscheiden
  • Freigabe vor externen, finanziellen oder personenbezogenen Folgen
  • Abbruch, Wiederholung und manuelle Ersatzbearbeitung dokumentieren
  • Relevante Quelle, Modellversion und Freigabestatus nachvollziehbar halten

Informationssicherheit und laufender Betrieb

KI-Sicherheit betrifft nicht nur das Modell. Zugänge, Geheimnisse, Prompt-Injection, manipulierte Quellen, ungewollte Datenausgabe, Abhängigkeit von Anbietern und fehlende Wiederanlaufwege gehören in Architektur und Betrieb. Testfälle, minimale Rechte, Monitoring, Updates, Vorfallprozess und Rückfalloption werden vor der Produktivstufe festgelegt. Ein System, das sicher aussieht, aber keine Protokollierung von Zugriffen und Änderungen bietet, lässt bei einem Vorfall keine Nachverfolgung zu. Deshalb werden Sicherheitsmaßnahmen nicht als optionale Erweiterung betrachtet, sondern als Voraussetzung für den produktiven Betrieb.

KI-Kompetenz passend zur Aufgabe organisieren

Die Europäische Kommission beschreibt KI-Kompetenz als relevante Pflicht für Anbieter und Betreiber von KI-Systemen. Ein pauschaler Vortrag reicht nicht für jeden Einsatz. Schulung und Anleitung sollten Rolle, technisches Vorwissen, konkrete Aufgaben, mögliche Betroffene, erlaubte Daten, typische Fehler und Eskalationswege berücksichtigen. Der rechtlich erforderliche Umfang ist fallbezogen zu prüfen. Praxisnah bedeutet dies: Ein Mitarbeitender, der KI-generierte Entwürfe prüft, braucht andere Schulung als ein Administrator, der das System konfiguriert.

Wie kleine Unternehmen Governance praxisnah umsetzen

Für KMU mit begrenzten Ressourcen darf Governance kein bürokratisches Monster werden. Der Schlüssel liegt in der schrittweisen Einführung: Zuerst wird ein einfaches Inventar für den ersten oder wichtigsten KI-Einsatz erstellt. Dieses wird bei jeder Änderung aktualisiert. Erst wenn mehrere Einsätze parallel laufen, werden formale Rollen, regelmäßige Reviews und standardisierte Vorlagen eingeführt. Wichtig ist, dass von Anfang an klar ist, wer für welche Entscheidung zuständig ist – auch wenn es sich um eine einzelne Person handelt. DAB unterstützt bei dieser pragmatischen Herangehensweise mit dem Ziel, unnötigen Overhead zu begrenzen, ohne notwendige Schutzanforderungen auszublenden.

  • Start klein: Inventar für den ersten KI-Einsatz, schrittweise Erweiterung
  • Klare Verantwortung: Benenne eine Person, die für Governance-Entscheidungen zuständig ist
  • Regelmäßige Mini-Reviews: Quartalsweise Prüfung, nicht monatlicher Papierkrieg
  • Vorlagen nutzen: Wiederverwendbare Dokumente statt jedes Mal bei Null anfangen

Dokumentationspflichten im Überblick

Der EU AI Act und die DSGVO verlangen an verschiedenen Stellen Nachweis über Zweck, Daten, Risiken, Entscheidungen und Schutzmaßnahmen. Ein strukturiertes KI-Inventar ist der Ausgangspunkt; darauf aufbauend werden pro Einsatz Dokumentationen geführt, die den jeweiligen Anforderungen entsprechen. Das bedeutet nicht, dass jedes KMU einen vollständigen Konformitätsbericht erstellen muss – aber es bedeutet, dass die relevanten Fragen schriftlich beantwortet und bei Änderungen aktualisiert werden. DAB unterstützt bei der Strukturierung dieser Unterlagen, erteilt aber keine Rechtsberatung.

  • KI-Inventar: Zweck, Rollen, Daten, Anbieter, Nutzer und aktueller Status
  • Prozessdokumentation: Ablauf, Entscheidungswege, Freigaben und Fehlerfälle
  • Risikobewertung: Einsatzkontext, Betroffene, mögliche Folgen und Gegenmaßnahmen
  • Änderungsprotokoll: Was wurde wann geändert und wer hat es freigegeben?
  • Prüfstatus: Welche externe rechtliche Prüfung wurde durchgeführt und wann fällt die nächste an?

Wie Änderungen an KI-Systemen nachverfolgbar bleiben

Ein KI-System ist nicht statisch. Modelle werden aktualisiert, Prompts angepasst, Datenquellen gewechselt und Schnittstellen erweitert. Governance muss deshalb einen Änderungsprozess vorsehen: Was darf wer unter welchen Bedingungen ändern? Welche Tests sind erforderlich, bevor eine Änderung produktiv wird? Wer wird informiert und wer gibt die Freigabe? Änderungen ohne Protokoll und Prüfung erhöhen das Risiko von Fehlfunktionen, Compliance-Verstößen und verlorenem Wissen.

  • Änderungsarten unterscheiden: Konfiguration, Prompt, Modell, Datenquelle, Schnittstelle
  • Teststufen definieren: Entwicklung, Staging, Abnahme, Produktion
  • Freigaberegeln: Wer darf welche Änderung in welcher Stufe freigeben?
  • Informationspflicht: Wer muss vor und nach einer Änderung informiert werden?
  • Rollback-Plan: Wie wird eine Änderung rückgängig gemacht, wenn sie Probleme verursacht?

Wie Governance mit Wachstum skaliert

Ein KMU, das seine erste KI-Automatisierung einführt, hat andere Governance-Anforderungen als ein Unternehmen mit fünfzehn aktiven KI-Prozessen. Die Struktur muss deshalb skalierbar sein: Für den ersten Einsatz genügt ein einfaches Inventar mit den zentralen Fragen. Bei mehreren parallelen Einsätzen werden Rollen, Verantwortlichkeiten und Prüfrhythmen formalisiert. In der dritten Stufe werden Standards für wiederkehrende Prüfungen, Schulungen und Audits etabliert. Wichtig ist, dass die Governance von Anfang an so aufgebaut wird, dass sie erweitert werden kann, ohne bei jedem neuen Prozess bei Null anzufangen. DAB unterstützt bei der Strukturierung für jede dieser Stufen.

  • Stufe 1 – Erster Einsatz: Einfaches Inventar mit Zweck, Daten, Verantwortung, Risiko
  • Stufe 2 – Mehrere Einsätze: Formale Rollen, regelmäßige Reviews, standardisierte Dokumentation
  • Stufe 3 – Organisation: Wiederkehrende Audits, Schulungspläne, Eskalationsprozesse
  • Wachstum: Governance-Struktur von Anfang an erweiterbar aufbauen

Was DAB im Agentensystem-Test vorbereitet – und was nicht

DAB kann KI-Inventar, Prozess-, Daten-, Rollen-, Freigabe- und Risikokarte sowie technische Schutz- und Testanforderungen strukturieren. Das schafft eine prüfbare Grundlage für Umsetzung und externe Fachprüfung. DAB erteilt keine Rechtsberatung, führt keine Konformitätsbewertung als benannte Stelle durch und gibt keine pauschale DSGVO- oder AI-Act-Garantie.

Häufige Fragen

Antworten auf die wichtigsten Fragen zur Entscheidung und zum nächsten sicheren Schritt.

  • Gilt der EU AI Act für jedes KMU mit ChatGPT? – Die konkrete Einordnung hängt von Rolle, System, Zweck und Nutzung ab. Der AI Act enthält unterschiedliche Regeln und Anwendungstermine. Ein KI-Inventar schafft die Grundlage; die rechtliche Bewertung muss anhand des aktuellen Falls erfolgen. Unternehmen sollten deshalb nicht pauschal von einer Nicht-Betroffenheit ausgehen, sondern jeden KI-Einsatz individuell einordnen und dokumentieren.
  • Reicht ein Auftragsverarbeitungsvertrag für DSGVO-Konformität? – Nein. Ein Vertrag kann ein notwendiger Baustein sein, ersetzt aber nicht die Prüfung von Zweck, Rechtsgrundlage, Datenminimierung, Rollen, Drittlandtransfers, Schutzmaßnahmen, Aufbewahrung und Betroffenenrechten.
  • Muss jede KI-Ausgabe von einem Menschen freigegeben werden? – Nicht pauschal. Die Kontrollstufe sollte sich nach Fehlerfolgen, Reversibilität, Datenrisiko und rechtlicher Einordnung richten. Kritische oder externe Aktionen brauchen meist strengere Gates als interne, klar erkennbare Entwürfe. Ein Entwurf für einen internen Bericht benötigt andere Freigabestufen als eine automatisierte Kundenanschrift oder eine finanzielle Transaktion. Die Governance muss diese Unterschiede explizit benennen und dokumentieren.
  • Was gehört in ein KI-Inventar? – Mindestens Zweck, Prozesseigner, technischer Betreiber, Anbieter und Modell, Datenquellen und -kategorien, Empfänger, Aktionen, Nutzergruppen, Schutzmaßnahmen, Freigaben, Protokollierung und aktueller Prüfstatus. Ein vollständiges Inventar ist keine einmalige Aufgabe, sondern muss bei jeder Änderung des Systems aktualisiert werden, um seine Aussagekraft zu behalten.
  • Kann DAB DSGVO- oder AI-Act-Konformität garantieren? – Nein. DAB strukturiert technische und organisatorische Anforderungen und dokumentiert den Systemweg. Eine verbindliche rechtliche Bewertung oder formale Konformitätsprüfung muss durch die dafür qualifizierte Stelle erfolgen.
  • Wie oft muss KI-Governance aktualisiert werden? – Bei Änderungen an Zweck, Modell, Anbieter, Datenquellen, Aktionen oder Betroffenengruppen sollte neu geprüft werden. Zusätzlich ist ein regelmäßiger Review sinnvoll, weil Systeme, Leitlinien und Rechtslage fortentwickelt werden. Ein halbjährlicher oder jährlicher Governance-Review hilft, Anpassungen rechtzeitig zu identifizieren, be regulatorische oder sicherheitstechnische Änderungen das System überholen.

Offizielle Orientierung und Prüfgrenzen

Fachlich geprüft von Jan Sommershoff, Automatisierungsberater und Geschäftsführer. Stand: 2026-09-17. Die Quellen beweisen weder den Nutzen eines einzelnen Projekts noch die rechtliche Konformität eines konkreten Systems. Rechtsberatung ist nicht Teil der Leistung.

Agentensystem kostenlos testen