KI Governance: rechtliche Pflichten, Risiken und Umsetzung im Unternehmen

KI Governance beschreibt die organisatorischen, rechtlichen und technischen Regeln, mit denen Unternehmen den Einsatz künstlicher Intelligenz steuern, kontrollieren und dokumentieren. Für Geschäftsleitungen, Rechtsabteilungen, Datenschutzbeauftragte, IT-Verantwortliche und Fachbereiche ist das Thema nicht mehr nur eine Frage guter Unternehmensorganisation. Mit der europäischen KI-Verordnung, der DSGVO, arbeitsrechtlichen Vorgaben, Urheberrecht, Vertragsrecht und branchenspezifischen Anforderungen entsteht ein mehrschichtiges Pflichtenprogramm.

Dieser Beitrag ordnet ein, was KI Governance rechtlich bedeutet, welche Systeme besonders kritisch sind und wie Unternehmen praktische Strukturen schaffen können, ohne jedes KI-Projekt zu blockieren. Im Mittelpunkt stehen typische Unternehmenssituationen: generative KI im Arbeitsalltag, automatisierte Entscheidungsprozesse, KI in HR, Vertrieb, Kundenservice, Entwicklung oder Risikomanagement. Pauschale Aussagen sind dabei nicht belastbar. Ob eine bestimmte Maßnahme ausreicht, hängt unter anderem vom KI-System, den verarbeiteten Daten, dem Einsatzzweck, der Branche, der Betroffenheit von Personen und den vertraglichen Rollen ab.

Wer KI Governance früh strukturiert, kann Risiken realistischer bewerten, Zuständigkeiten klären und Nachweise sichern. Das ersetzt keine Prüfung des Einzelfalls, schafft aber eine tragfähige Grundlage für rechtssichere Entscheidungen.

Inhaltsverzeichnis

1. Was bedeutet KI Governance rechtlich?
2. Gesetzliche Grundlagen: EU AI Act, DSGVO und weitere Vorgaben
3. Abgrenzung: KI Governance, KI Compliance, Datenschutz und IT-Sicherheit
4. Praxisrelevante Fallkonstellationen im Unternehmen
5. Risikoklassen nach der KI-Verordnung richtig einordnen
6. Risiken, Haftung und typische Fehler bei fehlender KI Governance
7. Fristen, Übergangsregeln und Verjährung: Was zeitlich zu beachten ist
8. Beweisfragen und Dokumentation: Welche Nachweise Unternehmen sichern sollten
9. Praxisschritte: Wie Unternehmen eine KI Governance belastbar aufbauen
10. Besondere Anforderungen für Beschäftigtendaten, Kunden und Geschäftsgeheimnisse
11. Verträge mit KI-Anbietern und interne Richtlinien rechtssicher gestalten
12. FAQ zu KI Governance
13. … und 1 weitere Abschnitte

Was bedeutet KI Governance rechtlich?

KI Governance ist kein einzelnes Gesetz und kein isoliertes IT-Konzept. Gemeint ist ein Steuerungsrahmen, der festlegt, wie künstliche Intelligenz im Unternehmen ausgewählt, entwickelt, beschafft, eingesetzt, überwacht und beendet wird. Rechtlich geht es darum, Pflichten aus verschiedenen Rechtsgebieten in ein handhabbares System zu übersetzen. Dazu gehören Zuständigkeiten, Freigabeprozesse, Risikoanalysen, Dokumentationspflichten, Datenschutzprüfungen, Lieferantenkontrollen, Schulungen und interne Regeln für Mitarbeitende.

Ausgangspunkt ist die Frage, ob überhaupt ein KI-System im rechtlichen Sinn vorliegt. Die europäische KI-Verordnung knüpft an Systeme an, die maschinengestützt arbeiten, aus Eingaben Ergebnisse wie Vorhersagen, Empfehlungen, Inhalte oder Entscheidungen ableiten und unterschiedliche Grade an Autonomie aufweisen können. Nicht jedes Statistiktool fällt automatisch in denselben Risikobereich. Umgekehrt kann ein scheinbar einfaches Tool rechtlich relevant sein, wenn es personenbezogene Daten bewertet, Bewerbungen vorsortiert, Bonitätsentscheidungen unterstützt oder sicherheitskritische Prozesse beeinflusst.

KI Governance unterscheidet sich von einer bloßen Nutzungsrichtlinie. Eine Richtlinie kann etwa festlegen, ob Beschäftigte Chatbots für Texte, Code oder Recherchen verwenden dürfen. Governance geht weiter: Sie regelt, wer solche Tools freigibt, welche Daten eingegeben werden dürfen, welche Ergebnisse überprüft werden müssen, welche Anbieter vertraglich geeignet sind und wie Risiken laufend überwacht werden.

Rechtlich relevant ist auch die Rollenverteilung. Ein Unternehmen kann Anbieter, Betreiber, Importeur, Händler, Nutzer im betrieblichen Sinn oder Auftragsverarbeiter sein. Die konkrete Rolle bestimmt, welche Pflichten greifen. Wer ein fremdes KI-Tool lediglich intern nutzt, hat andere Pflichten als ein Unternehmen, das ein eigenes KI-System entwickelt und an Kunden vertreibt. Allerdings entlastet der Einsatz eines Drittanbieters nicht vollständig. Auch der Betreiber muss prüfen, ob der Einsatz rechtmäßig, verhältnismäßig und hinreichend kontrolliert ist.

Eine belastbare KI Governance verbindet daher Unternehmensorganisation mit rechtlicher Compliance. Sie darf weder rein formal bleiben noch so komplex werden, dass Fachbereiche sie umgehen. Entscheidend ist ein risikobasierter Ansatz: Je stärker ein KI-System in Rechte, Sicherheit, Beschäftigungsverhältnisse oder wirtschaftlich bedeutsame Entscheidungen eingreift, desto höher sind die Anforderungen an Prüfung, Dokumentation und Kontrolle.

Gesetzliche Grundlagen: EU AI Act, DSGVO und weitere Vorgaben

Die wichtigste neue Rechtsgrundlage ist die Verordnung (EU) 2024/1689, häufig als EU AI Act oder europäische KI-Verordnung bezeichnet. Sie verfolgt einen risikobasierten Ansatz. Bestimmte KI-Praktiken sind verboten, Hochrisiko-KI-Systeme unterliegen umfangreichen Anforderungen, für bestimmte Transparenzfälle gelten Informationspflichten und für allgemeine KI-Modelle bestehen besondere Vorgaben. Die Verordnung wirkt unmittelbar in den Mitgliedstaaten, wird aber durch nationale Zuständigkeiten, Aufsichtsstrukturen und Sanktionspraxis konkretisiert.

Für die KI Governance bedeutet das: Unternehmen müssen KI-Systeme nicht nur technisch verstehen, sondern rechtlich klassifizieren. Es ist zu prüfen, ob ein System verboten, hochriskant, transparenzpflichtig oder eher gering riskant ist. Diese Einordnung muss dokumentiert werden, weil sie die Grundlage für weitere Pflichten bildet. Bei Hochrisiko-Systemen können Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit relevant werden.

Daneben bleibt die Datenschutz-Grundverordnung zentral. Viele KI-Anwendungen verarbeiten personenbezogene Daten, etwa Beschäftigtendaten, Kundendaten, Nutzungsdaten, Standortdaten, Kommunikationsinhalte oder Profilinformationen. Dann sind Rechtsgrundlage, Zweckbindung, Datenminimierung, Transparenz, Betroffenenrechte, Löschkonzepte, Auftragsverarbeitung und gegebenenfalls Datenschutz-Folgenabschätzung zu prüfen. Besonders sensibel sind automatisierte Entscheidungen im Sinne von Art. 22 DSGVO sowie KI-Anwendungen, die besondere Kategorien personenbezogener Daten betreffen.

Weitere Rechtsbereiche sind regelmäßig mitzudenken. Im Arbeitsrecht können Mitbestimmungsrechte des Betriebsrats betroffen sein, etwa bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können. Im Urheberrecht stellen sich Fragen zu Trainingsdaten, Output-Nutzung, Lizenzbedingungen und Schutzfähigkeit KI-generierter Inhalte. Das Geschäftsgeheimnisgesetz ist relevant, wenn vertrauliche Informationen in externe Tools eingegeben werden. Vertragsrechtliche Vorgaben betreffen Gewährleistung, Haftung, Service Levels, Audit-Rechte, Unterauftragnehmer und Datenverwendung durch Anbieter.

Branchenspezifisch können weitere Regelwerke hinzukommen. Finanzunternehmen müssen etwa Anforderungen an Auslagerungen, Modellrisiken, IT-Sicherheit und gegebenenfalls DORA beachten. Gesundheitswesen, Medizinprodukte, Versicherungen, Energie, kritische Infrastrukturen und öffentliche Stellen unterliegen zusätzlichen Maßstäben. Eine rechtlich tragfähige KI Governance kann diese Vorgaben nicht isoliert betrachten. Sie muss eine Schnittstelle zwischen KI-Recht, Datenschutz, IT-Sicherheit, Vertragsmanagement, Compliance und Fachbereichspraxis schaffen.

Abgrenzung: KI Governance, KI Compliance, Datenschutz und IT-Sicherheit

In der Praxis werden Begriffe wie KI Governance, KI Compliance, Data Governance, Informationssicherheit und Modellrisikomanagement häufig vermischt. Das ist nachvollziehbar, kann aber zu Lücken führen. Wer KI Governance allein als Datenschutzthema behandelt, übersieht etwa Produkthaftung, arbeitsrechtliche Mitbestimmung oder Anforderungen an Hochrisiko-Systeme. Wer sie nur technisch versteht, unterschätzt Transparenz-, Dokumentations- und Rechenschaftspflichten.

Eine klare Abgrenzung hilft, Zuständigkeiten zu verteilen und Doppelarbeit zu vermeiden. KI Governance ist der übergeordnete Ordnungsrahmen. KI Compliance beschreibt stärker die Einhaltung konkreter gesetzlicher und interner Vorgaben. Datenschutzmanagement konzentriert sich auf personenbezogene Daten. IT-Sicherheit schützt Systeme, Daten und Infrastrukturen vor technischen und organisatorischen Risiken. Data Governance befasst sich mit Datenqualität, Datenzugriffen, Datenherkunft und Datenlebenszyklus. Modellrisikomanagement bewertet, ob ein Modell fachlich zuverlässig, erklärbar und kontrollierbar ist.

Die folgende Tabelle zeigt typische Unterschiede. Sie ersetzt keine Organisationsentscheidung, macht aber deutlich, warum Unternehmen nicht nur eine einzelne Abteilung mit dem gesamten Thema belasten sollten. Je nach Größe und Branche kann ein schlanker Prozess genügen; bei regulierten Unternehmen oder kritischen Anwendungen sind formalisierte Gremien, Freigaben und Prüfpfade regelmäßig sinnvoller.

Entscheidend ist das Zusammenspiel. Ein KI-System kann datenschutzrechtlich zulässig sein, aber dennoch gegen Transparenzpflichten der KI-Verordnung oder interne Freigabevorgaben verstoßen. Umgekehrt kann ein System technisch sicher betrieben werden, aber arbeitsrechtlich problematisch sein, wenn Beschäftigte ohne ausreichende Beteiligung oder Information überwacht werden. Eine gute Governance zwingt deshalb nicht jedes Thema in denselben Prüfpfad, sondern definiert Schwellenwerte: einfache Assistenzsysteme werden schlanker geprüft, entscheidungsrelevante oder personenbezogene Anwendungen intensiver.

Für Unternehmen ist diese Abgrenzung auch haftungsrelevant. Wenn Verantwortlichkeiten unklar bleiben, werden Warnsignale häufig nicht dokumentiert oder nicht weitergeleitet. Im Streitfall zählt jedoch nicht nur, ob eine Entscheidung richtig gemeint war, sondern ob ein angemessener Prüf- und Kontrollprozess bestand. KI Governance ist daher kein Selbstzweck, sondern ein Instrument, um rechtliche Anforderungen nachweisbar in den betrieblichen Alltag zu integrieren.

Praxisrelevante Fallkonstellationen im Unternehmen

KI Governance wird besonders greifbar, wenn man typische Einsatzszenarien betrachtet. Viele Unternehmen beginnen mit generativen KI-Tools, etwa für Textentwürfe, Übersetzungen, Präsentationen, Code, Supportantworten oder Marktanalysen. Diese Nutzung wirkt zunächst risikoarm, kann aber rechtlich erheblich werden, wenn Beschäftigte personenbezogene Daten, vertrauliche Kundendokumente, Vertragsentwürfe, Quellcode oder Geschäftsgeheimnisse in externe Systeme eingeben. Governance bedeutet hier, klare Eingaberegeln, Anbieterprüfungen, Freigaben und Kontrollpflichten zu definieren.

Eine zweite Fallgruppe betrifft Personalprozesse. KI-gestützte Systeme zur Bewerberauswahl, Leistungsanalyse, Schichtplanung oder Stimmungsanalyse können Beschäftigte oder Bewerber unmittelbar betreffen. Hier sind Datenschutz, Diskriminierungsrisiken, Mitbestimmung und Transparenz besonders wichtig. Selbst wenn ein Tool nur Empfehlungen ausspricht, kann faktisch ein erheblicher Entscheidungsdruck entstehen. Unternehmen sollten daher festlegen, wer Ergebnisse überprüft, wie Fehlbewertungen korrigiert werden und welche Daten in das System einfließen dürfen.

Im Kundenservice werden Chatbots, Voicebots und automatische Ticketklassifizierungen eingesetzt. Rechtlich relevant ist, ob Kunden erkennen, dass sie mit einem KI-System interagieren, ob falsche Auskünfte vertragliche Folgen haben können und wie Beschwerden eskaliert werden. Bei regulierten Produkten, etwa Finanzdienstleistungen, Versicherungen oder Gesundheitsleistungen, sind die Anforderungen regelmäßig höher als bei allgemeinen Serviceinformationen. Eine Governance sollte definieren, welche Aussagen der Bot treffen darf und wann menschliche Prüfung erforderlich ist.

Auch Vertrieb und Marketing nutzen KI für Scoring, Personalisierung, Preisgestaltung oder Zielgruppenselektion. Dabei können Datenschutz, Wettbewerbsrecht und Diskriminierungsfragen berührt sein. Problematisch wird es insbesondere, wenn sensible Merkmale indirekt einfließen oder Kunden ohne ausreichende Transparenz unterschiedlich behandelt werden. Eine bloße Berufung auf den Anbieter genügt nicht, wenn das Unternehmen den Einsatz bestimmt und daraus Entscheidungen ableitet.

In der Produktentwicklung und Softwareerstellung entstehen weitere Risiken. KI-generierter Code kann Sicherheitslücken, Lizenzprobleme oder nicht erkannte Abhängigkeiten enthalten. KI-Outputs können urheberrechtlich unsicher sein oder fremde geschützte Inhalte reproduzieren. Unternehmen benötigen deshalb Prüfregeln für Code Reviews, Lizenzscans, Dokumentation von Prompts und Quellen sowie Vorgaben zur Nutzung von Open-Source- und KI-Ergebnissen.

Typische praxisrelevante KI-Einsatzfelder sind insbesondere:

• generative KI für Texte, Präsentationen, Übersetzungen, Bilder, Audio oder Code,
• HR-Tools für Recruiting, Personalentwicklung, Leistungsbewertung oder Einsatzplanung,
• Kundenservice-Systeme wie Chatbots, Voicebots und automatische Antwortvorschläge,
• Scoring- und Prognosesysteme im Vertrieb, Risikomanagement oder Forderungsmanagement,
• Qualitätskontrolle, Bilderkennung, Predictive Maintenance und Produktionssteuerung,
• Betrugserkennung, Compliance-Monitoring und Transaktionsanalyse,
• Dokumentenprüfung, Vertragsanalyse und Knowledge-Management-Systeme.

Je näher ein KI-System an Entscheidungen über Personen, Sicherheit, Vermögen oder Rechtspositionen rückt, desto sorgfältiger muss die Governance ausgestaltet werden. Ein interner Textassistent erfordert regelmäßig andere Kontrollen als ein System, das Kreditanträge bewertet oder medizinische Hinweise priorisiert. Der praktische Fehler besteht häufig darin, alle Tools entweder pauschal freizugeben oder pauschal zu verbieten. Beides ist selten sachgerecht. Rechtlich belastbarer ist eine abgestufte Risikoklassifizierung mit klaren Prüf- und Eskalationspunkten.

Risikoklassen nach der KI-Verordnung richtig einordnen

Die KI-Verordnung arbeitet mit unterschiedlichen Risikostufen. Für die KI Governance ist diese Einordnung ein zentraler erster Schritt, weil davon abhängt, welche Anforderungen im weiteren Prozess gelten. Unternehmen sollten nicht erst bei einem fertigen Vertrag oder kurz vor dem Go-live prüfen, ob ein KI-System kritisch ist. Sinnvoll ist eine Vorprüfung bereits bei Bedarfsmeldung, Produktidee oder Anbieterrecherche.

Verbotene KI-Praktiken sind besonders sensibel. Dazu zählen nach der KI-Verordnung bestimmte Formen manipulativer, ausbeuterischer oder grundrechtsgefährdender KI-Nutzung. Die genaue Bewertung ist einzelfallabhängig, weil Zweck, Funktionsweise, Zielgruppe und Kontext entscheidend sind. Für Unternehmen bedeutet dies: Wenn ein System Verhalten beeinflussen, Schwächen bestimmter Personengruppen ausnutzen, soziale Bewertungssysteme ermöglichen oder biometrische beziehungsweise emotionserkennende Funktionen enthalten soll, ist eine vertiefte rechtliche Prüfung erforderlich.

Hochrisiko-KI-Systeme sind nicht verboten, unterliegen aber erhöhten Anforderungen. Typische Bereiche können etwa Beschäftigung, Bildung, Zugang zu wesentlichen privaten oder öffentlichen Dienstleistungen, Strafverfolgung, Migration, kritische Infrastrukturen oder sicherheitsrelevante Produktkomponenten sein. Die Einordnung hängt nicht nur vom technischen System ab, sondern auch vom vorgesehenen Verwendungszweck. Ein und derselbe Algorithmus kann in einem unkritischen Kontext eingesetzt werden oder in einem Hochrisikobereich rechtlich deutlich strengeren Anforderungen unterliegen.

Transparenzpflichten gelten etwa, wenn Personen mit einem KI-System interagieren oder bestimmte synthetische Inhalte erzeugt werden. Unternehmen müssen prüfen, ob Nutzer informiert werden müssen, ob Inhalte als künstlich erzeugt oder manipuliert gekennzeichnet werden müssen und welche Ausnahmen greifen. Gerade bei Chatbots, Deepfakes, KI-generierten Bildern, Stimmen oder automatisierten Empfehlungen kann diese Pflicht praktisch bedeutsam sein.

Eine weitere Ebene betrifft allgemeine KI-Modelle und sogenannte General-Purpose-AI-Modelle. Unternehmen, die solche Modelle selbst bereitstellen oder wesentlich anpassen, können weitergehende Pflichten treffen als reine Anwender. Wer lediglich ein marktübliches Tool nutzt, muss dennoch prüfen, ob Anbieterinformationen, Nutzungsbedingungen und Sicherheitsmaßnahmen für den eigenen Einsatz ausreichen. Besonders kritisch sind Konstellationen, in denen ein Standardmodell mit eigenen Daten feinjustiert, in ein Produkt integriert oder Kunden als Bestandteil einer Dienstleistung angeboten wird.

Für die interne Governance empfiehlt sich eine dokumentierte Klassifizierung mit mindestens vier Stufen: unzulässige beziehungsweise rote Einsatzfälle, hochrisikonahe Anwendungen, transparenz- und datenschutzrelevante Anwendungen sowie geringe Risiken. Diese Stufen sollten nicht nur juristisch beschrieben, sondern mit Beispielen aus dem Unternehmen hinterlegt werden. So erkennen Fachbereiche früh, wann Legal, Datenschutz, IT-Sicherheit, Betriebsrat oder Geschäftsleitung einzubeziehen sind.

Wichtig ist, die Risikoklasse nicht als einmalige Etikettierung zu behandeln. Ändert sich der Einsatzzweck, werden zusätzliche Datenquellen angebunden oder wird das System auf eine neue Nutzergruppe ausgeweitet, kann eine erneute Bewertung erforderlich sein. Gerade bei lernenden Systemen, Anbieterupdates und neuen Integrationen sollte die Governance Änderungsprozesse vorsehen. Andernfalls kann ein ursprünglich vertretbarer Einsatz rechtlich in einen anderen Risikobereich hineinwachsen.

Risiken, Haftung und typische Fehler bei fehlender KI Governance

Fehlende KI Governance führt nicht automatisch zu einer Haftung in jedem Einzelfall. Sie erhöht aber die Wahrscheinlichkeit, dass gesetzliche Pflichten übersehen, falsche Rollen angenommen oder Risiken nicht rechtzeitig begrenzt werden. Rechtlich relevant wird dies insbesondere dann, wenn Betroffene Nachteile erleiden, personenbezogene Daten unzulässig verarbeitet werden, Geschäftsgeheimnisse abfließen, Kunden aufgrund falscher KI-Ausgaben handeln oder Aufsichtsbehörden Nachweise verlangen.

Die Haftungsrisiken können verschiedene Ebenen betreffen. Unternehmen können verwaltungsrechtlichen Sanktionen ausgesetzt sein, wenn Vorgaben der KI-Verordnung oder DSGVO verletzt werden. Zivilrechtlich kommen Schadensersatzansprüche in Betracht, etwa bei Datenschutzverstößen, Pflichtverletzungen gegenüber Vertragspartnern oder fehlerhaften Produkten. Arbeitsrechtlich können Unterlassungs- oder Beteiligungsfragen entstehen, wenn Betriebsratsrechte missachtet werden. Organisatorisch kann die Geschäftsleitung in den Blick geraten, wenn sie erkennbare Compliance-Risiken nicht angemessen adressiert hat.

Besonders anspruchsvoll ist die Zurechnung von Fehlern. Unternehmen neigen dazu, falsche KI-Ergebnisse als „Toolfehler“ zu behandeln. Rechtlich ist jedoch entscheidend, wer das System ausgewählt, konfiguriert, überwacht und für Entscheidungen genutzt hat. Wenn ein Unternehmen KI-Ausgaben ungeprüft in Kundenkommunikation, Bewerbungsentscheidungen oder Risikobewertungen übernimmt, kann es sich regelmäßig nicht allein auf die Autonomie des Systems berufen. Menschliche Aufsicht muss praktisch wirksam sein, nicht nur in einer Richtlinie stehen.

Typische Fehler in der KI Governance sind:

• KI-Tools werden ohne zentrale Erfassung durch einzelne Abteilungen beschafft oder genutzt.
• Der Einsatzzweck wird nicht dokumentiert und später faktisch erweitert.
• Personenbezogene Daten oder Geschäftsgeheimnisse werden in externe Systeme eingegeben, ohne Anbieterprüfung.
• Die Risikoklasse nach KI-Verordnung wird nicht oder nur oberflächlich bestimmt.
• Beschäftigte erhalten keine konkreten Vorgaben zur Nutzung generativer KI.
• KI-Ergebnisse werden ohne fachliche Plausibilitätskontrolle übernommen.
• Verträge mit Anbietern enthalten keine ausreichenden Regelungen zu Datenverwendung, Unterauftragnehmern, Audit, Haftung und Löschung.
• Mitbestimmungsrechte, Informationspflichten oder Datenschutz-Folgenabschätzungen werden zu spät geprüft.
• Modelländerungen, Updates und neue Datenquellen lösen keinen erneuten Prüfprozess aus.

Ein weiterer Risikobereich ist die Beweisführung. Wenn später streitig ist, warum ein Kunde abgelehnt, ein Bewerber aussortiert oder ein Vertrag fehlerhaft erstellt wurde, muss nachvollziehbar sein, welche Rolle das KI-System gespielt hat. Ohne Protokolle, Freigaben, Versionierungen und Verantwortlichkeiten lässt sich die Entscheidungskette oft kaum rekonstruieren. Das kann im behördlichen Verfahren, im Arbeitsrechtsstreit oder im Zivilprozess erhebliche Nachteile haben.

Zu vermeiden ist aber auch eine überzogene Risikobetrachtung. Nicht jede KI-Nutzung ist hochriskant, und nicht jede Unsicherheit rechtfertigt ein vollständiges Verbot. Eine wirksame Governance schafft Entscheidungsfähigkeit. Sie identifiziert rote Linien, definiert vertretbare Standardfälle und stellt für kritische Anwendungen vertiefte Prüfungen bereit. So wird Haftung nicht abstrakt ausgeschlossen, aber besser beherrschbar gemacht.

Fristen, Übergangsregeln und Verjährung: Was zeitlich zu beachten ist

Bei KI Governance sind Fristen auf mehreren Ebenen relevant. Zunächst gelten die zeitlich gestaffelten Anwendungsdaten der KI-Verordnung. Die Verordnung ist 2024 in Kraft getreten und wird schrittweise anwendbar. Verbote bestimmter KI-Praktiken und grundlegende Vorgaben zur KI-Kompetenz greifen früher als viele Pflichten für Hochrisiko-KI-Systeme. Weitere Regelungen, etwa zu allgemeinen KI-Modellen und Aufsichtsstrukturen, folgen zeitlich gestaffelt. Für bestimmte Hochrisiko-Systeme können längere Übergangsfristen gelten. Unternehmen sollten diese Daten nicht isoliert betrachten, sondern bezogen auf ihr konkretes Portfolio prüfen.

Praktisch bedeutet das: Wer erst kurz vor dem allgemeinen Anwendungszeitpunkt mit einer Bestandsaufnahme beginnt, wird bei umfangreichen KI-Landschaften Schwierigkeiten haben. Die rechtliche Einordnung, Vertragsprüfung, technische Dokumentation, Datenschutzbewertung, Schulung und Anpassung interner Prozesse benötigen Zeit. Besonders bei großen Organisationen, internationalen Konzernen oder regulierten Branchen kann ein KI-Inventar mehrere Monate beanspruchen, weil Schattennutzung und dezentrale Toolbeschaffung häufig erst sichtbar gemacht werden müssen.

Daneben gelten datenschutzrechtliche Fristen. Bei Datenschutzverletzungen kann eine Meldung an die Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden erforderlich sein, sofern ein Risiko für Rechte und Freiheiten natürlicher Personen besteht. Betroffenenanfragen, etwa Auskunfts- oder Löschbegehren, sind regelmäßig innerhalb eines Monats zu beantworten. Diese Fristen gelten auch, wenn die zugrunde liegende Verarbeitung durch KI unterstützt wird. Eine Governance muss daher sicherstellen, dass KI-Systeme relevante Daten auffindbar, zuordenbar und löschbar halten, soweit dies rechtlich erforderlich ist.

Arbeitsrechtlich gibt es keine einheitliche KI-Frist, aber häufig vorgelagerte Beteiligungs- und Informationspflichten. Werden technische Einrichtungen eingeführt, die Verhalten oder Leistung von Beschäftigten überwachen können, ist der Betriebsrat grundsätzlich vor Einführung einzubeziehen. Eine nachträgliche Klärung kann Projekte verzögern und bereits erhobene Daten rechtlich angreifbar machen. Auch Schulungen und interne Richtlinien sollten vor produktiver Nutzung bereitstehen, nicht erst nach ersten Vorfällen.

Verjährungsfragen hängen vom jeweiligen Anspruch ab. Vertragliche Schadensersatzansprüche unterliegen häufig der regelmäßigen Verjährung von drei Jahren ab Schluss des Jahres, in dem Anspruch und Kenntnis oder grob fahrlässige Unkenntnis vorliegen. Bei Produkthaftung, deliktischen Ansprüchen, arbeitsrechtlichen Ausschlussfristen oder vertraglich vereinbarten Rügefristen können abweichende Regeln gelten. Datenschutzrechtliche Ansprüche und behördliche Verfahren sind ebenfalls gesondert zu beurteilen.

Für Unternehmen ist daher ein Fristenkalender sinnvoll, der nicht nur gesetzliche Stichtage der KI-Verordnung enthält, sondern auch interne Prüffristen. Dazu gehören regelmäßige Re-Assessments, Vertragsverlängerungen, Löschfristen, Review-Zyklen für Hochrisiko- oder sensible Systeme, Schulungsintervalle und Fristen für Incident Response. Entscheidend ist, dass Fristen einer verantwortlichen Stelle zugeordnet werden. Ein bloßer Hinweis in einer Richtlinie genügt regelmäßig nicht, wenn niemand die Einhaltung überwacht.

Beweisfragen und Dokumentation: Welche Nachweise Unternehmen sichern sollten

Dokumentation ist ein Kernbestandteil jeder KI Governance. Sie dient nicht nur der internen Ordnung, sondern auch der rechtlichen Nachweisfähigkeit gegenüber Aufsichtsbehörden, Gerichten, Vertragspartnern, Kunden, Beschäftigten oder Versicherern. Dabei geht es nicht darum, jede technische Einzelheit ausufernd zu protokollieren. Entscheidend ist, dass wesentliche Entscheidungen nachvollziehbar bleiben: Warum wurde ein System eingeführt, welche Risiken wurden erkannt, welche Rechtsgrundlagen wurden geprüft und welche Kontrollen wurden eingerichtet?

Besonders wichtig ist die Dokumentation des Einsatzzwecks. Viele rechtliche Bewertungen hängen davon ab, wofür ein KI-System verwendet wird. Wird ein Tool zunächst nur zur Textunterstützung eingesetzt, später aber zur automatisierten Bewertung von Kundenanfragen genutzt, kann sich die rechtliche Einordnung ändern. Ohne dokumentierte Zweckbeschreibung lässt sich diese Veränderung kaum sauber bewerten. Das gilt ebenso für Datenquellen, Modellversionen, Anbieterwechsel und neue Integrationen.

Unternehmen sollten Nachweise so strukturieren, dass sie im Streitfall schnell auffindbar sind. Ein verteiltes Nebeneinander von E-Mails, Tickets, Präsentationen und Vertragsanhängen reicht oft nicht. Sinnvoll ist ein KI-Register oder zumindest ein zentraler Freigabeordner mit standardisierten Prüfbögen. Bei kritischen Systemen sollten auch Protokolle menschlicher Kontrollen, Fehlermeldungen, Incident Reports und Änderungen an Parametern oder Datenquellen gesichert werden.

Typische Nachweise für KI Governance sind:

• KI-Inventar mit Systemname, Anbieter, Fachbereich, Zweck und Verantwortlichen,
• Risikoklassifizierung nach KI-Verordnung einschließlich Begründung,
• Datenschutzprüfung, Rechtsgrundlage und gegebenenfalls Datenschutz-Folgenabschätzung,
• Verträge mit Anbietern, Auftragsverarbeitungsverträge und technische-organisatorische Maßnahmen,
• Informationen zu Trainings-, Eingabe- und Ausgabedaten, soweit verfügbar und rechtlich relevant,
• Freigabeentscheidungen, Prüfprotokolle und Versionierungen,
• Nachweise über Schulungen und KI-Kompetenz der beteiligten Beschäftigten,
• Protokolle zu menschlicher Aufsicht, Stichprobenkontrollen und Fehlerbehebungen,
• Incident-Dokumentation bei Datenschutz-, Sicherheits- oder Fehlentscheidungsfällen.

Die Beweislast ist nicht in allen Verfahren gleich verteilt. Dennoch gilt praktisch: Wer seine Prüfungen nicht belegen kann, hat es schwerer, eine sorgfältige Organisation darzustellen. Das betrifft insbesondere Situationen, in denen Betroffene Diskriminierung, Datenschutzverstöße oder fehlerhafte automatisierte Entscheidungen geltend machen. Eine gute Dokumentation kann Vorwürfe nicht automatisch entkräften, ermöglicht aber eine nachvollziehbare rechtliche und technische Verteidigung.

Dokumentation muss zugleich datenschutz- und geheimnisschutzkonform erfolgen. Protokolle sollten nicht mehr personenbezogene Daten enthalten als erforderlich. Zugriffe auf sensible Prüfunterlagen sind zu beschränken. Bei Anbieterinformationen können Geschäftsgeheimnisse betroffen sein. KI Governance bedeutet daher auch, Dokumentationspflichten mit Vertraulichkeit, Löschkonzepten und Berechtigungssystemen in Einklang zu bringen.

Praxisschritte: Wie Unternehmen eine KI Governance belastbar aufbauen

Der Aufbau einer KI Governance sollte nicht mit einer abstrakten Grundsatzdebatte beginnen, sondern mit einem realistischen Überblick über bestehende und geplante KI-Nutzungen. Viele Unternehmen stellen erst im Rahmen einer Bestandsaufnahme fest, dass Fachbereiche bereits mehrere Tools testen, Browser-Plugins einsetzen oder KI-Funktionen in Standardsoftware aktiviert haben. Ein pragmatischer Ansatz verbindet deshalb Inventarisierung, Risikobewertung und klare Freigabeprozesse.

Wichtig ist, den Prozess an Unternehmensgröße und Risikoprofil anzupassen. Ein mittelständisches Unternehmen benötigt nicht zwingend dieselbe Gremienstruktur wie ein international regulierter Konzern. Mindestanforderungen bestehen aber regelmäßig: Verantwortlichkeiten müssen feststehen, sensible Einsätze müssen geprüft werden, Beschäftigte brauchen klare Regeln, und Entscheidungen müssen dokumentiert werden. Je kritischer ein System ist, desto stärker sollten Legal, Datenschutz, IT-Sicherheit, Compliance und Fachbereich zusammenarbeiten.

Folgende Schritte haben sich für eine rechtlich belastbare Umsetzung bewährt:

1. KI-Bestandsaufnahme durchführen: Erfassen Sie bestehende Tools, Pilotprojekte, Anbieterfunktionen und informelle Nutzungen. Dokumentieren Sie Fachbereich, Zweck, Datenarten, Nutzerkreis und Ansprechpartner.
2. Risikoklassifizierung vornehmen: Prüfen Sie für jedes System, ob Verbote, Hochrisiko-Merkmale, Transparenzpflichten, Datenschutzrisiken oder besondere Branchenanforderungen betroffen sind. Halten Sie die Begründung schriftlich fest.
3. Zuständigkeiten verbindlich regeln: Legen Sie fest, wer KI-Systeme beantragen, prüfen, freigeben, überwachen und außer Betrieb nehmen darf. Unklare Verantwortung ist ein häufiger Ausgangspunkt späterer Haftungsfragen.
4. Datenschutz- und Datenprüfung integrieren: Klären Sie Rechtsgrundlagen, Datenminimierung, Auftragsverarbeitung, internationale Datentransfers, Löschfristen und gegebenenfalls die Notwendigkeit einer Datenschutz-Folgenabschätzung.
5. Anbieter und Verträge prüfen: Kontrollieren Sie Nutzungsbedingungen, Datenverwendung zu Trainingszwecken, Unterauftragnehmer, Sicherheitsmaßnahmen, Audit-Rechte, Haftung, Support, Löschung und Exit-Möglichkeiten.
6. Interne Nutzungsrichtlinie erstellen: Regeln Sie, welche Daten eingegeben werden dürfen, wann KI-Ergebnisse überprüft werden müssen, welche Tools verboten oder freigegeben sind und wie Verstöße gemeldet werden.
7. Betriebsrat und Beschäftigte rechtzeitig einbeziehen: Prüfen Sie Mitbestimmungsrechte vor Einführung überwachungsgeeigneter Systeme. Dokumentieren Sie Beteiligungsschritte und vereinbarte Grenzen der Nutzung.
8. Fristen- und Review-Kalender anlegen: Hinterlegen Sie gesetzliche Stichtage, Vertragsverlängerungen, Schulungsintervalle, Löschfristen, Re-Assessments und Fristen für Datenschutzanfragen oder Incident-Meldungen.
9. Kontrollen und menschliche Aufsicht organisieren: Definieren Sie Stichproben, Vier-Augen-Prinzipien, Eskalationswege und Kriterien, wann KI-Ergebnisse nicht verwendet werden dürfen.
10. Dokumentationspaket je System sichern: Speichern Sie Freigaben, Prüfvermerke, Risikoanalysen, Datenschutzunterlagen, Anbieterinformationen, Versionen und Änderungen zentral und nachvollziehbar.
11. Schulung und KI-Kompetenz nachweisen: Schulen Sie nicht nur allgemein, sondern rollenbezogen. Entwickler, HR, Vertrieb, Support und Führungskräfte haben unterschiedliche Risikopunkte.
12. Incident- und Exit-Prozess vorbereiten: Legen Sie fest, wie falsche Ergebnisse, Datenabflüsse, Sicherheitsvorfälle, Diskriminierungshinweise oder Anbieterwechsel behandelt werden.

Die Umsetzung sollte in Prioritäten erfolgen. Kritische und personenbezogene Anwendungen gehören zuerst geprüft, während gering riskante Assistenztools nach standardisierten Regeln freigegeben werden können. Ein häufig sinnvoller Einstieg ist eine Ampellogik: rote Anwendungen sind untersagt oder nur nach Rechtsprüfung möglich, gelbe Anwendungen benötigen Freigabe und Dokumentation, grüne Anwendungen dürfen innerhalb klarer Nutzungsregeln verwendet werden.

Für die Geschäftsleitung ist wesentlich, dass KI Governance nicht allein an eine Einzelperson delegiert wird. Datenschutzbeauftragte, IT-Leitung oder Compliance können wichtige Rollen übernehmen, ersetzen aber nicht die organisatorische Gesamtverantwortung. Praktisch bewährt sich ein kleines interdisziplinäres KI-Board oder ein klarer Freigabeprozess mit festen Ansprechpartnern. Entscheidend ist nicht der Name des Gremiums, sondern dass Anträge zeitnah entschieden, Risiken nachvollziehbar bewertet und getroffene Entscheidungen tatsächlich umgesetzt werden.

Besondere Anforderungen für Beschäftigtendaten, Kunden und Geschäftsgeheimnisse

KI Governance wird besonders anspruchsvoll, wenn sensible Daten oder rechtlich geschützte Interessen betroffen sind. Beschäftigtendaten sind ein typisches Beispiel. Arbeitgeber dürfen Daten ihrer Beschäftigten nicht beliebig auswerten, nur weil ein KI-System technisch dazu in der Lage ist. Maßgeblich sind Erforderlichkeit, Verhältnismäßigkeit, Transparenz und gegebenenfalls Mitbestimmung. Systeme, die Verhalten, Leistung, Kommunikationsmuster oder Produktivität auswerten, können erhebliche Eingriffe darstellen. Selbst aggregierte Analysen sind zu prüfen, wenn Rückschlüsse auf einzelne Personen möglich sind.

Im Recruiting ist besondere Vorsicht geboten. KI-Tools können Bewerbungsunterlagen vorsortieren, Interviews auswerten oder Eignungsprognosen erstellen. Dabei besteht das Risiko mittelbarer Diskriminierung, wenn historische Daten verzerrt sind oder scheinbar neutrale Kriterien bestimmte Gruppen benachteiligen. Unternehmen sollten daher prüfen, welche Kriterien das System berücksichtigt, ob menschliche Entscheidungsspielräume bestehen, wie Bewerber informiert werden und wie fehlerhafte Bewertungen korrigiert werden können.

Bei Kundendaten stellen sich andere Schwerpunkte. Personalisierung, Scoring, Chatbots und Empfehlungssysteme können wirtschaftlich sinnvoll sein, müssen aber transparent und datenschutzkonform gestaltet werden. Werden Kundenprofile erstellt oder automatisierte Entscheidungen getroffen, sind Rechtsgrundlage, Widerspruchsmöglichkeiten und Betroffenenrechte zu beachten. In sensiblen Bereichen, etwa Kredit, Versicherung, Gesundheit oder wesentliche Dienstleistungen, steigt das rechtliche Gewicht der Entscheidung deutlich.

Geschäftsgeheimnisse sind ein oft unterschätzter Bereich. Wenn Mitarbeitende vertrauliche Strategiepapiere, Quellcode, Kundendaten, Vertragsentwürfe oder technische Spezifikationen in externe KI-Systeme eingeben, kann der Geheimnisschutz gefährdet sein. Das Geschäftsgeheimnisgesetz setzt voraus, dass angemessene Geheimhaltungsmaßnahmen bestehen. Eine KI-Nutzungsrichtlinie, technische Sperren, Berechtigungskonzepte und Schulungen können Teil solcher Maßnahmen sein. Fehlen sie, kann es schwieriger werden, später gegen Geheimnisverletzungen vorzugehen.

Auch urheberrechtliche Fragen betreffen die Praxis. KI-generierte Inhalte sind nicht automatisch frei von Rechten Dritter. Je nach Tool, Prompt, Trainingskontext und Output können Ähnlichkeiten zu geschützten Werken entstehen. Zudem ist die eigene Schutzfähigkeit KI-generierter Inhalte nicht immer gesichert, wenn kein ausreichender menschlicher schöpferischer Beitrag vorliegt. Unternehmen sollten daher festlegen, für welche Zwecke KI-Outputs verwendet werden dürfen, wann eine rechtliche Prüfung erforderlich ist und wie Quellen oder Bearbeitungsschritte dokumentiert werden.

Eine belastbare Governance muss diese Schutzbereiche nicht in getrennten Silos verwalten. Sinnvoll ist vielmehr ein Daten- und Zweckfilter: Welche Daten werden verwendet, welche Personen sind betroffen, welche Rechte können beeinträchtigt werden und welche Folgen hätte ein Fehler? Diese Fragen erlauben eine abgestufte Prüfung, die Datenschutz, Arbeitsrecht, Geheimnisschutz und Vertragsrecht zusammenführt. Gerade bei unternehmensweiten KI-Assistenten sollte dieser Filter vor der Freigabe stehen.

Verträge mit KI-Anbietern und interne Richtlinien rechtssicher gestalten

Viele Unternehmen nutzen KI nicht durch Eigenentwicklung, sondern über Softwareanbieter, Cloud-Dienste, API-Zugänge oder in bestehende Standardsoftware integrierte Funktionen. Damit verlagert sich ein Teil der Kontrolle auf Vertrags- und Lieferantenmanagement. Das bedeutet jedoch nicht, dass rechtliche Verantwortung vollständig beim Anbieter liegt. Wer ein KI-System im eigenen Geschäftsbetrieb einsetzt, muss prüfen, ob Vertragsbedingungen, technische Schutzmaßnahmen und Anbieterinformationen zum geplanten Einsatz passen.

Ein erster Punkt ist die Datenverwendung. Unternehmen sollten klären, ob Eingaben, Prompts, Dateien, Nutzungsdaten oder Outputs vom Anbieter zu Trainings-, Produktverbesserungs- oder Analysezwecken verwendet werden. Wenn personenbezogene Daten verarbeitet werden, ist zu prüfen, ob ein Auftragsverarbeitungsvertrag erforderlich ist oder eine andere Rollenverteilung vorliegt. Internationale Datentransfers, Unterauftragnehmer und Speicherorte müssen berücksichtigt werden. Bei Geschäftsgeheimnissen können zusätzliche Vertraulichkeits- und Löschpflichten notwendig sein.

Vertraglich relevant sind außerdem Leistungsbeschreibung und Verantwortung für Fehler. Viele KI-Anbieter schließen weitreichende Gewährleistung für Richtigkeit, Vollständigkeit oder Eignung der Outputs aus. Das ist für den Anbieter nachvollziehbar, verschiebt aber das Risiko auf das nutzende Unternehmen. Deshalb sollte intern festgelegt werden, für welche Entscheidungen KI-Ausgaben verwendet werden dürfen und wann zwingend menschliche Prüfung erforderlich ist. Bei kritischen Anwendungen können Service Levels, Audit-Rechte, Transparenzinformationen, Testmöglichkeiten und Kündigungsrechte entscheidend sein.

Auch Änderungen des Systems verdienen Aufmerksamkeit. KI-Dienste werden häufig laufend aktualisiert. Modellversionen, Sicherheitsfilter, Datenverarbeitung, Schnittstellen und Funktionen können sich ändern. Verträge sollten Informationspflichten bei wesentlichen Änderungen, Möglichkeiten zur Bewertung neuer Risiken und Exit-Regeln vorsehen. Ohne solche Regelungen kann ein ursprünglich geprüfter Dienst seine rechtliche und technische Qualität verändern, ohne dass das Unternehmen rechtzeitig reagieren kann.

Interne Richtlinien ergänzen die Verträge. Sie sollten verständlich, konkret und rollenbezogen sein. Allgemeine Hinweise wie „KI verantwortungsvoll nutzen“ reichen selten aus. Beschäftigte müssen wissen, welche Tools freigegeben sind, welche Daten nicht eingegeben werden dürfen, ob KI-Output gekennzeichnet werden muss, welche Prüfungsschritte erforderlich sind und an wen sie sich bei Unsicherheit wenden können. Eine gute Richtlinie enthält Beispiele aus dem Arbeitsalltag, etwa für Kundendaten, Quellcode, Bewerbungen, Vertragsentwürfe oder Marketinginhalte.

Zu starre Richtlinien können allerdings dazu führen, dass Fachbereiche informelle Ausweichlösungen nutzen. Deshalb sollte die Governance einen einfachen Antrags- und Freigabeweg bieten. Wenn Mitarbeitende ein neues Tool testen möchten, müssen sie wissen, wie sie eine Prüfung anstoßen können. Rechtlich sinnvoll ist eine Kombination aus Positivliste freigegebener Tools, Verbot besonders riskanter Nutzungen und Prüfprozess für neue Anwendungen.

FAQ zu KI Governance

Fazit: KI Governance als rechtlicher Steuerungsrahmen ernst nehmen

KI Governance ist für Unternehmen ein zentraler Baustein, um Chancen künstlicher Intelligenz nutzbar zu machen und rechtliche Risiken kontrollierbar zu halten. Vorrangig sollten Unternehmen ihre KI-Systeme erfassen, nach Risikoklassen bewerten, Verantwortlichkeiten festlegen und klare Regeln für Daten, Anbieter, Freigaben und menschliche Aufsicht schaffen. Besonders dringlich sind Anwendungen mit personenbezogenen Daten, Beschäftigtenbezug, Kundenentscheidungen, Geschäftsgeheimnissen oder sicherheitsrelevanten Funktionen.

Die Anforderungen ergeben sich nicht nur aus dem EU AI Act, sondern auch aus DSGVO, Arbeitsrecht, Vertragsrecht, Urheberrecht, Geheimnisschutz und branchenspezifischen Vorgaben. Eine pauschale Musterlösung gibt es daher nicht. Entscheidend ist eine einzelfallbezogene, dokumentierte und praktisch umsetzbare Struktur. Wer früh prüft, Fristen im Blick behält und Nachweise sichert, schafft eine bessere Grundlage für behördliche, vertragliche und interne Auseinandersetzungen.