Ein praktikabler KI-Governance-Rahmen für kleine Unternehmen

Was ist ein Rahmenwerk zur KI-Governance?

Ein KI-Governance-Rahmen ist das Steuerungssystem hinter Ihrer KI-Richtlinie: Er legt fest, wer ein KI-Werkzeug oder eine Nutzung genehmigen darf, was dokumentiert werden muss, wie Risiken geprüft und wann Entscheidungen erneut betrachtet werden. Die Richtlinie zur zulässigen Nutzung sagt Beschäftigten, was sie tun sollen; die Governance bestimmt, was in dieser Richtlinie steht, und hält sie aktuell.

Die meisten veröffentlichten Rahmenwerke richten sich an große Organisationen, die KI-Systeme entwickeln. Ein Unternehmen mit 5 bis 200 Mitarbeitenden, das fertige Assistenten nutzt, braucht dieselbe Logik in deutlich kleinerem Maßstab. Ziel ist, dass es für jede genehmigte Nutzung eine verantwortliche Person, eine Begründung und einen Überprüfungstermin gibt und niemand raten muss, wer entscheidet.

Diese Seite bietet allgemeine Informationen und keine Rechtsberatung. Wenn Sie KI in Produkte integrieren, Entscheidungen über Menschen automatisieren oder in einer regulierten Branche arbeiten, benötigen Sie eine fachliche Prüfung, die über das hier Beschriebene hinausgeht.

Wie lässt sich der NIST-Rahmen für das KI-Risikomanagement auf ein kleines Unternehmen anwenden?

Das NIST-Rahmenwerk für das KI-Risikomanagement ist ein freiwilliges Rahmenwerk, veröffentlicht am 26 January 2023. Es gliedert die Arbeit an KI-Risiken in vier Funktionen: Steuern, Einordnen, Messen und Managen. Laut NIST ist es für die freiwillige Nutzung vorgesehen, weder branchen- noch anwendungsfallspezifisch und bietet damit Organisationen jeder Größe Flexibilität. NIST erklärt außerdem, dass Nutzer entsprechend ihren Ressourcen und Fähigkeiten aus den Kategorien auswählen können. Genau das sollte ein kleines Team tun.

Steuern ist eine Querschnittsaufgabe: Kultur, Richtlinien, Rollen und Verantwortlichkeit. Einordnen erfasst den Kontext, in dem ein System eingesetzt wird, und die damit verbundenen Risiken. Messen analysiert und überwacht diese Risiken mit qualitativen oder quantitativen Methoden. Managen weist den ermittelten Risiken Ressourcen zu und umfasst Pläne zur Reaktion auf Vorfälle und zur Wiederherstellung des Betriebs. Die Seite von NIST weist darauf hin, dass das Rahmenwerk überarbeitet wird. Prüfen Sie daher die aktuelle Fassung, bevor Sie daraus zitieren.

Die folgende Tabelle ist unsere Anpassung für kleine Teams. Sie ist kein offizielles NIST-Profil, und ihre Nutzung macht ein Unternehmen nicht mit irgendwelchen Vorgaben konform.

Wer sollte in einem kleinen Unternehmen für die Steuerung und Kontrolle der KI-Nutzung verantwortlich sein?

Eine namentlich benannte Person sollte für die KI-Governance verantwortlich sein. Für Entscheidungen, die sie nicht allein treffen kann, müssen klare Freigabewege bestehen. In Unternehmen mit unter 50 Beschäftigten ist dies in der Praxis häufig die Gründerin, der Gründer oder die operative Geschäftsleitung. In größeren Unternehmen ist es oft eine direkt an die Geschäftsleitung berichtende Führungskraft aus dem operativen Bereich oder der IT. Die Govern-Leitlinien von NIST sehen vor, dass die Geschäftsleitung Verantwortung für Entscheidungen über KI-Risiken übernimmt und Rollen sowie Kommunikationswege klar festgelegt sind.

Eine praktikable Aufgabenverteilung für das fiktive Softwareunternehmen Kestrel Systems mit 60 Beschäftigten: Die operative Leitung ist für das Verzeichnis verantwortlich und genehmigt neue Werkzeuge; die für den Datenschutz zuständige Person gibt jede Nutzung frei, bei der personenbezogene Daten verarbeitet werden; jede Abteilungsleitung genehmigt Arbeitsabläufe und prüft Ergebnisse in ihrem Bereich; die Geschäftsführung gibt die jährliche Überprüfung frei. Vier Namen decken alles ab, und jede Person weiß, für welche Frage sie zuständig ist.

Was sollte ein KI-Register erfassen?

Ein KI-Verzeichnis sollte jedes genehmigte Werkzeug und jede genehmigte Nutzung erfassen, einschließlich Tarif, erlaubter Aufgabe, zulässiger Informationen, verantwortlicher Person, prüfender Person und Prüftermin. Die Governance-Leitlinien von NIST sehen Verfahren zur Bestandsaufnahme von KI-Systemen vor, deren Ressourcenausstattung sich nach den Risikoprioritäten richtet. Für ein kleines Unternehmen genügt eine gemeinsam genutzte Tabelle.

Erfassen Sie auch Angaben zu Drittanbietern, denn fast jedes KI-System, das ein kleines Unternehmen nutzt, gehört einem Anbieter. Die NIST-Unterlagen zum Bereich Govern behandeln Richtlinien für KI-Risiken durch Drittanbieter und Notfallprozesse beim Ausfall ihrer Systeme. Für das Verzeichnis bedeutet das: Was sagen die Anbieterbedingungen zu Modelltraining, Speicherung und Löschung, wann haben Sie sie zuletzt geprüft und was würden Sie tun, wenn das Tool nicht mehr verfügbar wäre oder seine Bedingungen änderte?

Beispieleintrag für Kestrel: "Werkzeug: geschäftlicher Arbeitsbereich von [Assistent]. Nutzung: interne Dokumente entwerfen und öffentlich zugängliche Rechercheergebnisse zusammenfassen. Informationen: nur öffentliche und interne Informationen. Verantwortlich: Leitung des operativen Bereichs. Prüfung: bei allen externen Inhalten durch die direkte Führungskraft der verfassenden Person. Anbieterbedingungen geprüft: [Datum]. Ausweichlösung: Entwürfe ohne KI erstellen. Nächste Überprüfung: [Datum]."

Wie sollte ein neuer KI-Anwendungsfall genehmigt werden?

Ein neuer KI-Anwendungsfall sollte über einen kurzen schriftlichen Antrag genehmigt werden, der fünf Fragen beantwortet. So kann die verantwortliche Person schnell entscheiden, und die Entscheidung wird dokumentiert. Die meisten Anträge in einem kleinen Unternehmen sind risikoarm und sollten innerhalb eines Tages bearbeitet werden, statt eine Ausschusssitzung zu erfordern. Ein langsames Verfahren verleitet dazu, es zu umgehen.

Das Antragsformular von Kestrel ist fünf Zeilen lang. Sobald eine Antwort personenbezogene Daten oder eine Entscheidung über eine Person betrifft, wird der Antrag vor der Genehmigung zur datenschutzrechtlichen Freigabe weitergeleitet.

Auf welchen Grundsätzen sollte eine Richtlinie zur KI-Governance beruhen?

Es gibt keine allgemein anerkannte Liste von Grundsätzen für die KI-Governance. Verschiedene Rahmenwerke verwenden unterschiedliche Grundsätze. Wählen Sie deshalb eine überschaubare Auswahl, die Ihr Team anwenden kann. NIST nennt folgende Eigenschaften vertrauenswürdiger KI: valide und zuverlässig, sicher, gegen Angriffe geschützt und widerstandsfähig, rechenschaftspflichtig und transparent, erklärbar und interpretierbar, datenschutzfördernd sowie fair und mit einem geregelten Umgang mit schädlichen Verzerrungen. Der im Februar 2025 veröffentlichte KI-Praxisleitfaden der britischen Regierung für den öffentlichen Dienst legt zehn Grundsätze fest. Am Anfang steht das Verständnis dafür, was KI ist und wo ihre Grenzen liegen. Dazu gehört auch eine wirksame menschliche Kontrolle an den richtigen Stellen.

Für ein kleines Unternehmen reichen meist drei Arbeitsgrundsätze aus: Für jede Nutzung gibt es eine namentlich benannte verantwortliche Person; Informationen gelangen nur dorthin, wo sie verwendet werden dürfen; und ein Mensch prüft jedes verwendete Ergebnis und übernimmt dafür die Verantwortung. Erfüllt eine vorgeschlagene Nutzung nicht alle drei Bedingungen, ist sie noch nicht freigabereif.

Manchmal wird nach den drei Säulen der KI-Governance gefragt. Dafür gibt es keine einheitliche Definition. Eine praktische Einteilung ist: Menschen (wer entscheidet und wer geschult wird), Prozesse (wie Anwendungen genehmigt und überprüft werden) und Dokumentation (das Verzeichnis und die darin festgehaltenen Entscheidungen).

Wie oft sollten Entscheidungen zur KI-Governance überprüft werden?

Überprüfen Sie das gesamte Verzeichnis mindestens einmal jährlich und einzelne Einträge immer dann, wenn ein Anbieter seine Bedingungen ändert, sich ein Tarif ändert, ein Kundenvertrag um KI-Klauseln ergänzt wird oder ein gemeldetes Problem zeigt, dass ein Arbeitsablauf nicht funktioniert. Die Leitlinien von NIST zur Steuerung behandeln die laufende Überwachung und regelmäßige Überprüfung des Risikomanagementprozesses.

Für ein kleines Unternehmen reicht oft eine halbe Stunde pro Quartal: Die verantwortliche Person liest das Problemprotokoll, prüft zwei oder drei Anbieterbedingungen, fragt die Abteilungsleitungen, ob sich eine Nutzung geändert hat, und nimmt alles außer Betrieb, was niemand nutzt. Ungenutzte Tools abzuschaffen gehört zur verantwortungsvollen Steuerung. Die NIST-Leitlinien zur Steuerung enthalten Verfahren für die sichere Außerbetriebnahme von KI-Systemen.

Welche Rolle spielen Schulungen bei der Steuerung und Kontrolle des KI-Einsatzes?

Schulung ist der Teil der Governance, der die Regeln anwendbar macht. Die Govern-Leitlinien von NIST sehen Schulungen für Beschäftigte zum KI-Risikomanagement vor. Für die EU erläutert die Europäische Kommission in ihren Fragen und Antworten zur KI-Kompetenz zu Artikel 4 der KI-Verordnung, dass es keinen einheitlichen Ansatz für alle gibt, Zertifikate nicht vorgeschrieben sind und eine interne Dokumentation der Schulungen ausreicht.

Dokumentieren Sie, wer zu welchen Themen geschult wurde, und richten Sie die Schulung auf die Aufgaben aus, die die Mitarbeitenden tatsächlich erledigen. Tosheo.ai wird derzeit entwickelt, um rollenbezogene Übungen und eine Übersicht für Führungskräfte über Kompetenzfortschritte und Abschlüsse bereitzustellen; es ist keine Governance-Plattform und führt Ihr Verzeichnis nicht.

Wann braucht ein kleines Unternehmen mehr als das?

Sie benötigen mehr als einen schlanken Rahmen, wenn Sie KI-Systeme entwickeln, KI in ein Produkt integrieren, KI für wesentliche Entscheidungen über Menschen einsetzen oder solche Entscheidungen damit unterstützen, besondere Kategorien personenbezogener Daten in großem Umfang verarbeiten oder in einer regulierten Branche tätig sind. In diesen Fällen können formelle Risiko- oder Folgenabschätzungen, zertifizierbare Managementsysteme und eine rechtliche Prüfung erforderlich sein.

Es gibt spezielle Software für KI-Governance, die sich überwiegend an größere Organisationen richtet. Für ein Team, das nur wenige Assistenten nutzt, reichen meist ein Register in einer Tabellenkalkulation, eine kurze Richtlinie und ein Überprüfungstermin. Diese lassen sich auch leichter aktuell halten.

Quellen und Geltungsbereich

NIST, Rahmenwerk für das KI-Risikomanagement 1.0 (NIST KI 100-1), Januar 2023 ↗

NIST, Übersichtsseite zum Rahmenwerk für das KI-Risikomanagement, geprüft am 16. Oktober 2026 ↗

NIST KI-RMF-Praxisleitfaden: Governance, geprüft am 16. Oktober 2026 ↗

GOV.UK, KI-Leitfaden für die britische Regierung, 10 February 2025 ↗

Europäische Kommission, KI-Kompetenz – Fragen und Antworten, zuletzt aktualisiert am 27 July 2026 ↗