KI-Governance

Was KI-Governance leistet

KI-Governance umfasst die Regeln, mit denen ein Unternehmen festlegt, welche KI-Systeme eingesetzt werden dürfen, wer sie freigibt und wer für die Ergebnisse einsteht. Sie beantwortet nicht die Frage, welche Technik gut ist, sondern die Frage, wer entscheidet und woran er sich halten muss.

Ohne solche Regeln entsteht ein typisches Muster. Einzelne Abteilungen testen Werkzeuge, niemand kennt die Gesamtzahl, und bei einer Beschwerde weiß niemand, wer zuständig ist. Der Schaden entsteht nicht durch den einzelnen Versuch, sondern durch die fehlende Übersicht.

Die vier Kernelemente

• Verzeichnis: Eine Liste aller eingesetzten Systeme mit Zweck, Anbieter, Datenarten und verantwortlicher Person. Ohne dieses Verzeichnis ist keine weitere Regel prüfbar.
• Einstufung nach Risiko: Nicht jedes System braucht die gleiche Prüfung. Eine Rechtschreibkorrektur ist etwas anderes als ein System, das über Kreditvergabe oder Preise für einzelne Kunden entscheidet.
• Freigabeweg: Wer darf was einführen, und ab welcher Stufe braucht es eine Prüfung durch Datenschutz und Geschäftsführung.
• Kontrolle im Betrieb: Wer sieht sich die Ergebnisse an, in welchem Rhythmus, und bei wem landet eine Beschwerde.

Was rechtlich hineinspielt

Zwei Rechtsbereiche sind für den Handel besonders relevant. Erstens der Datenschutz: Jede Verarbeitung personenbezogener Daten braucht einen Zweck und eine Rechtsgrundlage, und das gilt auch dann, wenn die Verarbeitung durch einen Dienstleister erfolgt. Zweitens die Informationspflichten bei KI-Systemen, die mit Menschen interagieren. Ein Chatbot muss erkennbar als Maschine auftreten, und wer Inhalte erzeugt, die täuschend echt wirken, muss die Kennzeichnung mitdenken.

Für Systeme, die in sensiblen Bereichen eingesetzt werden, etwa bei Personalauswahl oder Kreditentscheidungen, steigen die Anforderungen deutlich. Ein Händler ist davon in der Regel nicht betroffen. Betroffen ist er, sobald ein System über Preis, Verfügbarkeit oder Zahlungsart für einzelne Kunden entscheidet, und genau dort werden die Anforderungen oft übersehen.

Wie eine Einführung ohne Großprojekt aussieht

Der Einstieg ist klein und besteht aus drei Schritten. Erstens das Verzeichnis anlegen, ohne Anspruch auf Vollständigkeit, aber mit einer benannten Pflegeperson. Zweitens drei Risikostufen definieren, also niedrig, mittel und hoch, mit einer kurzen Beschreibung, was in welche Stufe fällt. Drittens einen Freigabeweg festlegen, der für niedrige Stufen eine Selbstauskunft erlaubt und für hohe Stufen eine Prüfung verlangt.

Dazu gehören zwei Regeln, die im Alltag am meisten bewirken. Erstens: Kein System ohne benannte verantwortliche Person. Auch die Aussage, niemand sei zuständig, muss jemand verantworten. Zweitens: Kein automatisches Handeln ohne Abschaltmöglichkeit. Die Regel klingt technisch, ist aber eine Governance-Regel, weil sie die Frage aufwirft, wer im Ernstfall entscheidet. Wer diese beiden Punkte einhält, hat den größten Teil des Nutzens bereits erreicht, ohne ein umfangreiches Regelwerk zu betreiben.