Sechs Seiten. Mehr war nicht nötig, weniger hätte nicht getragen. Das ist die KI-Governance eines Mittelständlers mit 800 Mitarbeitenden, die ich vor einem Jahr mit dem Geschäftsführer, der Datenschutzbeauftragten und dem Betriebsratsvorsitzenden in drei Sitzungen geschrieben habe. Kein Rahmenwerk, kein Handbuch, keine 60 Folien von einer Kanzlei. Sechs Seiten, die jeder im Haus in zwanzig Minuten lesen kann.
Feld 8 des KI-Zielbilds ist Governance. Es ist das Feld mit dem schlechtesten Ruf und der besten Wirkung.
Der Ruf der Handbremse
Governance hat den Ruf einer Handbremse. Wenn ich das Wort in einem Workshop sage, sehe ich, wie die Fachbereiche die Augen verdrehen und die IT die Arme verschränkt. Beide haben Erfahrungen gemacht: Compliance-Prozesse, die jede Idee um Monate verzögern, und Richtlinien, die so allgemein sind, dass niemand weiss, ob der eigene Use Case erlaubt ist.
In der Praxis ist das Gegenteil der Fall. Ohne Regeln landet jede KI-Frage einzeln bei Datenschutz, Betriebsrat oder Geschäftsführung. Darf ich Kundendaten in das Tool geben? Darf ich damit Bewerbungen vorsortieren? Wer zahlt die Lizenz für meinen Bereich? Jede dieser Fragen dauert drei Wochen, weil sie jedes Mal neu entschieden wird, von Menschen, die eigentlich etwas anderes zu tun haben. Und weil das jeder weiss, stellt irgendwann niemand mehr die Frage. Die Leute nutzen die Tools dann trotzdem, nur eben privat, auf dem eigenen Handy, ohne dass es jemand sieht.
Mit Regeln entscheidet das Team selbst, weil die Grenze bekannt ist. Das ist der ganze Trick. Governance ist nicht das Verfahren, das eine Freigabe erteilt. Governance ist das Dokument, das die Freigabe überflüssig macht, weil die Antwort schon drinsteht.
Drei Dinge reichen für den Anfang
Erstens: Compliance und Risiken, schriftlich. Was darf rein und was nicht. Bei dem Mittelständler sind das zwei Seiten mit drei Kategorien. Grün: darf ohne Rückfrage in freigegebene Tools, zum Beispiel interne Prozessbeschreibungen, öffentliche Produktdaten, anonymisierte Texte. Gelb: darf mit Freigabe der Bereichsleitung, zum Beispiel Angebote mit Kundennamen in das eigene, im Haus betriebene System. Rot: darf nicht, zum Beispiel Gesundheitsdaten, Gehaltsdaten, alles zu einzelnen Mitarbeitenden. Wer das gelesen hat, braucht in 90 Prozent der Fälle niemanden mehr zu fragen.
Zweitens: Rollen und Verantwortung, mit Namen. Nicht „die IT“ oder „das Management“, sondern Personen. Wer entscheidet über neue Use Cases, mit welcher Frist. Wer betreibt die Systeme. Wer ist Ansprechpartner, wenn etwas schiefgeht. Das sind die drei Rollen aus Tag 3, hier noch einmal festgeschrieben, damit sie den nächsten Personalwechsel überleben. Eine Seite.
Drittens: Budget und Kosten, pro Use Case. Was kostet ein Use Case im Betrieb, Lizenzen plus Betreuung, und wer zahlt: der Bereich, der ihn nutzt, oder ein zentrales Budget. Diese Frage entscheidet darüber, ob Use Cases nach Wert oder nach Lautstärke priorisiert werden. Beim Mittelständler zahlt der Bereich ab dem Betrieb, das zentrale Budget zahlt den Aufbau. Seitdem beantragt niemand mehr einen Use Case, den er nicht wirklich braucht. Zwei Seiten, inklusive einer Tabelle.
Das sind sechs Seiten. Seitdem laufen Freigaben in Tagen statt in Wochen, und die meisten Fragen kommen gar nicht mehr an, weil sie sich mit dem Dokument beantworten lassen.
Warum das Vorstandssache ist
Als digitaler Beirat sehe ich Governance als eine der wenigen KI-Fragen, die wirklich auf die Vorstandsebene gehören. Nicht weil sie kompliziert ist, sondern weil sie ohne Mandat von oben nicht hält. Die sechs Seiten funktionieren, weil der Geschäftsführer sie unterschrieben hat und der Betriebsrat sie mitgeschrieben hat. Ohne beides wären es sechs Seiten Empfehlung, und Empfehlungen bremsen genauso wie fehlende Regeln.
Drei Fragen für das eigene Unternehmen: Wie lange dauert bei euch heute die Freigabe eines neuen Use Cases, und wer entscheidet? Gibt es ein Dokument, das ein Mitarbeitender lesen kann, um selbst zu wissen, was erlaubt ist? Und wer zahlt einen Use Case im Betrieb?
Stück 8 von 10. Morgen geht es um Feld 9: Messung, und warum ich lieber zehn Zahlen monatlich messe als hundert einmal im Jahr.
Mehr zu KI-Governance auf Vorstandsebene bei den Deutschen Digitalen Beiräten: deutsche-digitale-beiraete.de
