AI Governance als Führungsaufgabe

Executive Briefing mit Dr. Alexander Deicke, MBA, LL.M. — Rechtsanwalt, Betriebswirt und KI-Governance-Experte, K11 Consulting GmbH

Die KI-Einführung ist längst kein isoliertes Technologieprojekt mehr. Sie verändert Entscheidungen, Prozesse, Produkte, Kommunikation und damit die Risikolage des gesamten Unternehmens. Der EU AI Act zwingt Organisationen deshalb nicht nur zu technischer Kontrolle, sondern zu klaren Verantwortlichkeiten, nachvollziehbaren Entscheidungen und belastbarer Dokumentation. Genau hier beginnt AI Governance.

Die zentrale Frage für Führungskräfte lautet nicht mehr, ob KI im Unternehmen genutzt wird, sondern ob ihre Nutzung bekannt, gesteuert und nachweisbar beherrscht wird.

1. Regulatorik und Risiko

Der EU AI Act teilt KI-Systeme in strikte Risikoklassen ein. Wo sehen Sie im Mittelstand aktuell die größte Gefahr, dass Unternehmen unbewusst in regulatorische Haftungsfallen tappen?

Die größte Gefahr ist derzeit nicht das spektakuläre Hochrisiko-System, sondern die unsichtbare Alltagsnutzung.

In vielen mittelständischen Unternehmen werden ChatGPT, Copilot, DeepL, Bildgeneratoren, Recruiting-Tools oder Analysefunktionen bereits dezentral eingesetzt, ohne dass ein vollständiges KI-Inventar existiert. Damit fehlt die Grundlage, um überhaupt zu erkennen, welche Rolle das Unternehmen einnimmt, welche Daten verarbeitet werden und welche Transparenz-, Dokumentations- oder Kontrollpflichten greifen.

Besonders kritisch sind drei Konstellationen: Erstens werden personenbezogene, vertrauliche oder geschäftskritische Daten in nicht freigegebene Systeme eingegeben. Zweitens verändert sich ein ursprünglich harmloser Anwendungsfall durch seinen konkreten Einsatzkontext – etwa wenn KI Bewerber vorsortiert, Kreditwürdigkeit beeinflusst oder Beschäftigte bewertet. Drittens verlassen sich Mitarbeitende auf KI-Ausgaben, ohne deren Grenzen zu kennen oder eine menschliche Kontrolle vorzusehen.

Die regulatorische Falle entsteht also häufig vor der eigentlichen Risikoklassifizierung: Das Unternehmen weiß nicht vollständig, welche KI es nutzt. Ohne Inventar, Verantwortliche und Freigabeprozess bleibt Compliance zwangsläufig lückenhaft. Hinzu kommen ab 2. August 2026 neue Transparenzpflichten, etwa bei bestimmten Chatbots und KI-generierten oder manipulierten Inhalten.

2. Corporate Governance

Viele Vorstände und Geschäftsführer delegieren das Thema KI komplett an die IT-Abteilung. Warum ist KI-Compliance keine reine IT-Aufgabe, sondern eine fundamentale Pflicht für die oberste Führungsebene?

Weil KI nicht nur Systeme betreibt, sondern Entscheidungen und Verantwortlichkeiten verändert.

Die IT kann technische Sicherheit, Zugriffe, Schnittstellen und Systembetrieb organisieren. Sie kann aber nicht allein entscheiden, welche Geschäftsprozesse automatisiert werden dürfen, welche Risiken für Kunden oder Beschäftigte akzeptabel sind, wie viel menschliche Aufsicht erforderlich ist oder welche strategischen Leitplanken gelten sollen.

AI Governance berührt gleichzeitig Recht, Datenschutz, Informationssicherheit, Personal, Einkauf, Compliance, Fachbereiche und Unternehmensstrategie. Sobald KI Einfluss auf Personalentscheidungen, Kundenkommunikation, Produkte, Preise, Beratung oder Risikobewertungen nimmt, ist das eine Leitungs- und Organisationsfrage. Die Geschäftsführung muss dafür sorgen, dass Zuständigkeiten, Freigaben, Kontrollen und Berichtslinien funktionieren.

Delegierbar sind einzelne Aufgaben – nicht die Gesamtverantwortung für eine angemessene Organisation. Aus Governance-Sicht braucht die Chefetage deshalb mindestens ein klares Zielbild, eine verbindliche KI-Richtlinie, ein aktuelles KI-Inventar, definierte Risikoeigner und einen regelmäßigen Management-Report. Die IT ist dabei ein unverzichtbarer Partner, aber nicht der alleinige Eigentümer des Themas.

3. Der externe AI Officer

Sie fokussieren sich stark auf die Rolle des externen AI Officers. Welche strategischen und operativen Aufgaben übernimmt dieser Akteur, um die Chefetage wirksam vor Haftungsrisiken und Bußgeldern zu schützen?

Der externe AI Officer schafft aus vielen Einzelaktivitäten ein steuerbares System.

Die Bezeichnung „AI Officer“ ist im EU AI Act nicht für jedes Unternehmen als formaler Pflichtposten vorgeschrieben. Praktisch benötigen Unternehmen jedoch eine verantwortliche Stelle, die KI-Kompetenz, Inventar, Risiken, Richtlinien, Dokumentation und laufende Überwachung zusammenführt.

Strategisch unterstützt der AI Officer die Geschäftsleitung bei Zielbild, Risikobereitschaft, Governance-Struktur, Rollen- und Berechtigungskonzept sowie bei der Priorisierung sinnvoller KI-Anwendungen. Operativ führt oder pflegt er das zentrale KI-Repository, klassifiziert Anwendungsfälle, koordiniert Freigaben, prüft Anbieter und Datenflüsse, organisiert Schulungs- und Kompetenznachweise und überwacht regulatorische Änderungen.

Hinzu kommen technische und rechtliche Dokumentation, Vorbereitung von Konformitäts- und Folgenabschätzungen, Schnittstellen zu Datenschutz und Informationssicherheit sowie die Kommunikation mit Behörden oder Prüfern. Entscheidend ist die Übersetzungsleistung: Der AI Officer verbindet Geschäftsführung, IT, Datenschutz, Einkauf und Fachbereiche und sorgt dafür, dass Entscheidungen dokumentiert, Maßnahmen verfolgt und Abweichungen eskaliert werden.

Damit schützt er die Leitung nicht durch ein bloßes „Compliance-Siegel“, sondern durch nachweisbare Organisation: Wer entscheidet was, auf welcher Grundlage, mit welcher Kontrolle und mit welchem Ergebnis?

4. Validierung und Audit

Eine Kernkompetenz im modernen Leadership ist die Evaluierungsfähigkeit. Wie sieht ein pragmatisches Risiko-Audit aus, mit dem ein Geschäftsführer die im Unternehmen bereits genutzten KI-Tools sofort rechtlich absichern kann?

Ein wirksames Sofort-Audit muss nicht mit einem hundertseitigen Handbuch beginnen. Es braucht zunächst Transparenz und klare Prioritäten.

Ich empfehle ein kompaktes Audit in sechs Schritten:

Nutzung erfassen: Welche KI-Tools und eingebetteten KI-Funktionen werden tatsächlich genutzt – offiziell und inoffiziell?

Zweck und Daten klären: Wofür wird das Tool eingesetzt, welche Daten fließen hinein, welche Personen oder Entscheidungen sind betroffen?

Rolle und Risiko einordnen: Ist das Unternehmen Anbieter oder Betreiber? Handelt es sich um minimale, Transparenz-, Hochrisiko- oder möglicherweise verbotene Nutzung?

Anbieter und Vertrag prüfen: Datenschutz, Datenstandort, Training mit Eingaben, Unterauftragnehmer, Löschkonzept, Sicherheitsnachweise und Nutzungsbedingungen.

Kontrollen festlegen: Freigabestatus, menschliche Aufsicht, Vier-Augen-Prinzip, Kennzeichnung, Zugriffsbeschränkung, Protokollierung und Eskalation.

Nachweise schließen: Eintrag ins KI-Inventar, Risikobewertung, Verantwortlicher, Schulungsstand, offene Maßnahmen und Termin zur erneuten Prüfung.

Als Ergebnis sollte die Geschäftsführung keine abstrakte Rechtsmeinung erhalten, sondern eine Ampelübersicht: freigegeben, nur unter Auflagen zulässig oder bis zur Klärung gesperrt. Für die ersten Tage genügen oft eine Sofortrichtlinie, eine Allow-/Deny-Liste, ein einfacher Meldeweg für neue Tools und ein priorisiertes Maßnahmenregister. Danach wird das System schrittweise vertieft.

Pragmatisches Audit-Ergebnis: KI-Inventar + Ampelentscheidung + Maßnahmenregister + eindeutiger Verantwortlicher.

5. Zukunftsfähigkeit versus Angst

Strenge Regulierung wird oft als Innovationsbremse verstanden. Wie können Führungskräfte in der Abwägung von KI-Chancen und -Risiken den EU AI Act stattdessen als strategischen Wettbewerbsvorteil nutzen, um Vertrauen bei Kunden und Investoren aufzubauen?

Regulierung bremst vor allem dort, wo Unternehmen erst spät beginnen und dann unter Zeitdruck reagieren.

Früh aufgebaute AI Governance schafft dagegen Geschwindigkeit: Freigegebene Tools, klare Datenregeln und definierte Prüfwege verkürzen Diskussionen und machen Pilotprojekte skalierbar. Mitarbeitende wissen, was erlaubt ist. Kunden wissen, wie ihre Daten und Entscheidungen geschützt werden. Investoren und Geschäftspartner erkennen, dass das Unternehmen technologische Chancen nicht auf Zuruf, sondern kontrolliert und reproduzierbar nutzt.

Vertrauenswürdige KI wird damit zu einem Qualitätsmerkmal. Unternehmen können nachweisen, welche Systeme sie einsetzen, wie Ergebnisse validiert werden, wo menschliche Verantwortung verbleibt und wie Vorfälle behandelt werden. Das verbessert nicht nur die regulatorische Position, sondern auch Ausschreibungsfähigkeit, Due-Diligence-Reife und Kooperationschancen in regulierten Lieferketten.

Der EU AI Act kann deshalb als Managementrahmen verstanden werden: Er zwingt zu Transparenz, Verantwortlichkeit und Qualität – genau den Eigenschaften, die nachhaltige Innovation von kurzfristigem Experimentieren unterscheiden. Wer diese Anforderungen früh in seine Prozesse einbaut, kann neue KI-Anwendungen schneller, glaubwürdiger und mit geringerem Reputationsrisiko ausrollen.

Kernaussage für Vorstände und Geschäftsführer: Gute AI Governance verhindert nicht Innovation. Sie verhindert, dass Innovation ungesteuert, nicht nachvollziehbar und im Ernstfall nicht verteidigungsfähig stattfindet.

Kurzprofil

Dr. Alexander Deicke ist Rechtsanwalt und Betriebswirt mit mehr als 20 Jahren Erfahrung im Wirtschaftsrecht und über 40 Einsätzen als Interim Manager in Legal- und Compliance-Funktionen. Er ist Buchautor zu KI-Regulatorik, Datenschutz, Informationssicherheit und Governance und berät Unternehmen beim Aufbau praxistauglicher AI-Governance-Strukturen. K11 Consulting übernimmt unter anderem externe AI-Officer-Funktionen, KI-Inventarisierung, Risikobewertung, Richtlinienmanagement, Schulung, Dokumentation und laufendes Monitoring.

Redaktionelle Quellenhinweise

Verordnung (EU) 2024/1689 (EU AI Act), insbesondere Art. 4, 5, 13, 14, 26, 27 und 50.

Europäische Kommission: AI Act – risikobasierter Ansatz und Transparenzpflichten; Stand Juli 2026.

K11 Consulting: Leistungsbeschreibung „Externer AI Officer“, KI-Inventar, Risikobewertung, Richtlinienmanagement, Dokumentation, Schulung und Behördenkommunikation.

K11-Seminarunterlagen 2026: „Regulatorik & AI Compliance“, „BWA auf Autopilot“ und „Akademie für Beiräte und Aufsichtsräte“.

Deicke/Hieynke/Deuerling: „KI-Regulatorik – leicht gemacht“.

Strategische Einordnung von Murat Ham

Die Impulse von Dr. Alexander Deicke verdeutlichen, dass AI Governance weit mehr ist als eine regulatorische Pflichtübung – sie ist ein zentrales Instrument der Corporate Governance und jeder erfolgreichen KI-Transformation. Erst durch ein gezieltes Management-Audit und die Etablierung klarer Kontrolllinien verwandelt die Chefetage ungesteuerte Haftungsrisiken in messbare Geschwindigkeit, operative Effizienz und nachhaltige Zukunftssicherung.