KI-Governance muss nicht mit einem Großprojekt beginnen. Sie beginnt mit klaren Zuständigkeiten, einem verlässlichen Überblick über die eingesetzten Systeme und wenigen Regeln, die tatsächlich eingehalten werden. Diese Checkliste deckt die Grundlagen ab. Arbeiten Sie sie der Reihe nach ab, passen Sie den Umfang an Ihre Unternehmensgröße an und dokumentieren Sie Ihre Entscheidungen.
Die Checkliste stützt sich auf die KI-Verordnung (EU AI Act), die DSGVO und etablierte Rahmenwerke wie ISO/IEC 42001:2023 und das NIST AI Risk Management Framework. Eine rechtliche Prüfung einzelner Anwendungsfälle ersetzt sie nicht.
1. Verantwortung und Richtlinie
- Eine verantwortliche Person für KI auf Ebene der Geschäftsführung benennen
- Ein kleines, bereichsübergreifendes Gremium einrichten: Fachbereiche, IT, Informationssicherheit, Datenschutz, Recht und Personal
- Festlegen, wer neue KI-Anwendungen freigibt und wer Ausnahmen genehmigen darf
- Eine kurze KI-Richtlinie verfassen: zugelassene Tools, verbotene Nutzungen, Datenregeln und Freigabeweg
- Die Richtlinie dort veröffentlichen, wo Beschäftigte sie finden, und mindestens jährlich überprüfen
2. Inventar
Das Inventar ist die Grundlage für alle weiteren Schritte. Zuerst zählt Vollständigkeit, dann der Detailgrad.
- Alle eingesetzten KI-Systeme erfassen, auch KI-Funktionen in bestehenden SaaS-Produkten
- Schatten-KI aufdecken, etwa anhand von Proxy-, Identitäts- oder Endpunktdaten
- Je System Verantwortliche, Anbieter, Zweck, Nutzende, betroffene Personen und Datenkategorien festhalten
- Je System Ihre Rolle nach der KI-Verordnung dokumentieren: Anbieter oder Betreiber
- Agents und Automatisierungen einbeziehen, nicht nur Chat-Tools
3. Intake und Freigabe
Ein klarer Eingangsweg verhindert, dass neue KI-Anwendungen an der Prüfung vorbeilaufen, und gibt Beschäftigten einen schnellen Weg zur Freigabe.
- Einen zentralen Eingang für neue KI-Anfragen schaffen
- Ein kurzes Intake-Formular nutzen: Zweck, Daten, Nutzende, Anbieter, zu erwartende Entscheidungen
- Anfragen je nach Risiko an Datenschutz und Informationssicherheit zur Prüfung weiterleiten
- Freigaben, Auflagen und akzeptierte Risiken mit Ablaufdatum dokumentieren
- Bei Änderungen an Zweck, Daten oder Modell neu bewerten
4. Risikoeinstufung
Die Einstufung bestimmt, wie gründlich ein Anwendungsfall geprüft wird. Halten Sie die Methode so einfach, dass sie einheitlich angewendet wird.
- Jeden Anwendungsfall mit den verbotenen Praktiken nach Artikel 5 der KI-Verordnung abgleichen
- Mögliche Hochrisiko-Anwendungen kennzeichnen, etwa im Personalwesen, bei der Kreditvergabe oder beim Zugang zu wesentlichen Dienstleistungen
- Transparenzpflichten erkennen, etwa bei Deepfakes und Emotionserkennung
- Geschäfts-, Datenschutz- und Sicherheitsrisiken auf einer einfachen, einheitlichen Skala bewerten
- Überprüfungsintervalle nach Risikostufe festlegen
5. Datenschutz
Die meisten KI-Anwendungen verarbeiten früher oder später personenbezogene Daten. Behandeln Sie sie wie jede andere Verarbeitungstätigkeit nach der DSGVO.
- Rechtsgrundlage nach Artikel 6 DSGVO bestätigen, bei besonderen Kategorien zusätzlich eine Ausnahme nach Artikel 9
- Bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung (Artikel 35) durchführen
- Verträge zur Auftragsverarbeitung nach Artikel 28 abschließen und prüfen, ob Anbieter mit Ihren Daten trainieren
- Drittlandübermittlungen und Unterauftragsverarbeiter bewerten
- Das Verzeichnis von Verarbeitungstätigkeiten (Artikel 30) aktualisieren
6. Sicherheitsmaßnahmen
KI eröffnet neue Angriffswege wie Prompt Injection. Die meisten Maßnahmen bauen aber auf bestehenden Sicherheitsgrundlagen auf.
- Single Sign-on, mehrstufige Authentifizierung und minimale Rechte für KI-Tools durchsetzen
- Oversharing beheben, bevor KI an Dokumentenablagen angebunden wird
- Guardrails gegen Prompt Injection und Datenabfluss einsetzen, orientiert an den OWASP Top 10 for LLM Applications
- Personenbezogene Daten schwärzen oder pseudonymisieren, bevor sie externe Modelle erreichen
- KI-Aktivitäten protokollieren und relevante Ereignisse in Ihr Sicherheitsmonitoring einspeisen
7. Nachweise und Schulung
Governance zählt nur, wenn Sie sie belegen können. Planen Sie Nachweise von Anfang an ein und machen Sie Schulungen zum festen Bestandteil jeder Einführung.
- Inventar, Bewertungen, Freigaben und Ausnahmen an einem Ort mit Versionshistorie führen
- Nachweise laufend sammeln statt erst vor Audits
- Rollenbezogene Schulungen zur KI-Kompetenz nach Artikel 4 der KI-Verordnung anbieten und die Teilnahme dokumentieren
- Der Geschäftsführung regelmäßig über den Stand der KI-Risiken berichten
- Fidempli unterstützt Sie dabei mit Beratung, Professional Services und Managed Services, ab Dezember 2026 ergänzt durch die Fidempli-Plattform