KI-Governance
Die meisten kleinen Unternehmen haben KI nicht absichtlich eingeführt. Sie kam Tool für Tool, im Browser dessen, dem sie gerade nützlich war. Dieses Projekt erfasst, was tatsächlich im Einsatz ist, schreibt Regeln, die Menschen einhalten können, und richtet die Aufzeichnungen ein, die belegen, dass sie eingehalten werden — damit Sie eine Antwort haben, wenn ein Kunde, ein Versicherer oder eine Aufsichtsbehörde fragt, wie Sie KI nutzen.
Die Anzeichen
Nichts auf dieser Liste besagt, dass ein Schaden entstanden ist. Sie besagt, dass es niemand mit Sicherheit sagen könnte — und das ist das eigentliche Risiko.
Die Arbeit
Sechs Stränge, geprüft an den Tools, die Ihr Unternehmen tatsächlich nutzt, nicht an einer Vorlage. Jeder endet mit etwas Schriftlichem, für das eine benannte Person verantwortlich ist.
Bevor eine Regel geschrieben wird, listen wir auf, was tatsächlich im Einsatz ist: die Tools, die das Unternehmen bezahlt, und die, für die sich Mitarbeiter selbst angemeldet haben. Für jedes: was es berührt — Kundendaten, Finanzen, Personaldaten, Code — und wer es wofür nutzt. Die meisten Überraschungen dieser Arbeit tauchen hier auf, und eine Richtlinie ohne diesen Schritt regelt ein erdachtes Unternehmen.
Ein kurzes Dokument, das festlegt, wo KI eingesetzt werden darf, welche Daten hinein dürfen und wer was prüft. Geschrieben, um befolgt zu werden: wenige Seiten in Alltagssprache, mit der Begründung gleich dabei — denn eine Regel, die niemand versteht, hält niemand ein. Das Schwere ist nicht das Schreiben, es sind die Entscheidungen — wo die Grenze zwischen KI-Entwurf und KI-Entscheidung verläuft, welche Daten Ihre Systeme nie verlassen —, und diese Entscheidungen legen wir Ihnen vor, statt sie für Sie zu treffen. Den endgültigen Text geben Sie frei. Es ist Ihre Richtlinie, nicht unsere.
Die Bedingungen jedes Tools, genau gelesen: ob Ihre Daten deren Modelle trainieren, wie lange sie auf deren Servern bleiben, wo sie verarbeitet werden und was bei Kündigung mit ihnen passiert. Anbieter ändern diese Bedingungen, und die Bezahlstufe antwortet oft anders als die Gratisstufe — was häufig das ganze Argument fürs Upgrade ist. Das Urteil zu jedem Tool kommt klar zurück: behalten, upgraden, einschränken oder streichen.
Für jede Stelle, an der KI in echte Arbeit einfließt, legen wir fest, wer die Ausgabe prüft, bevor sie zählt, und was festgehalten wird. In unseren eigenen Projekten verlässt keine kundengerichtete Ausgabe das Haus ohne die Freigabe einer benannten Person, und derselbe Maßstab gilt hier: Der Prüfschritt ist jemandem zugewiesen und wird protokolliert. Das Protokoll zählt so viel wie die Prüfung. Monate später zeigen zu können, worauf eine Entscheidung beruhte und wer sie freigegeben hat — so sieht Verantwortlichkeit in der Praxis aus.
Ein Durchgang, wie der aktuelle Aufbau mit Daten umgeht: welche Konten privat statt firmeneigen sind, wer nach dem Ausscheiden noch Zugriff hat, ob sensible Daten in Tools fließen, deren Bedingungen sie nicht abdecken, und wie die KI-Nutzung zu Pflichten passt, die Sie ohnehin tragen — Gesundheitsdaten, Kartendaten, die DSGVO, was immer für Ihre Branche gilt. Das ist eine Prüfung mit schriftlichen Befunden, kein Zertifizierungsaudit. Wo Sie eine formale Bescheinigung brauchen, sagen wir es und helfen bei der Vorbereitung, statt so zu tun, als könnten wir sie ausstellen.
Zwei Dinge halten die Richtlinie am Leben, nachdem wir gegangen sind. Erstens ein Vorfallsweg: was Mitarbeiter tun, wenn eine KI-Ausgabe vor einem Kunden falsch war, Daten dorthin gelangt sind, wo sie nicht hingehören, oder ein Tool still seine Bedingungen ändert — wem man es meldet, was man festhält, was man sagt. Zweitens ein Prüfrhythmus: Diese Tools ändern sich schnell genug, dass eine Richtlinie vom letzten Jahr eine andere Landschaft beschreibt. Das Dokument nennt deshalb einen Turnus und einen Verantwortlichen dafür, es aktuell zu halten — ob dieser Verantwortliche Sie sind oder wir.
Der Ablauf
Wir sprechen mit den Menschen, die die Tools nutzen, und stellen das Inventar zusammen. Ihr Beitrag: ehrliche Antworten und eine Liste der Abos. Es zählt, was die Leute Tag für Tag tatsächlich tun, nicht, was jemand angenommen hat. Jede Phase wird bepreist, bevor sie beginnt.
Wir legen Ihnen die Befunde vor — und die Entscheidungen, die sie erzwingen: was erlauben, was einschränken, was streichen. Sie treffen die Entscheidungen mit den Abwägungen auf dem Tisch, und wir schreiben auf, was Sie entschieden haben.
Richtlinie, Anbieterbefunde, Aufsichtsregeln und Vorfallsweg werden entworfen und dann Zeile für Zeile mit Ihnen durchgegangen. Alles mit rechtlichem Gewicht wird für Ihren Anwalt markiert — der Entwurf ist unserer, das letzte Wort nicht.
Die Richtlinie wird dem Team in einer Arbeitssitzung vorgestellt, nicht als E-Mail-Anhang: was sich ändert, warum, und was zu tun ist, wenn etwas schiefgeht. Eine Regel, deren Begründung man gehört hat, hält besser als eine, die man zugeschickt bekam.
Was Sie behalten
Alles Erarbeitete gehört Ihnen vollständig: Dokumente in Ihren eigenen Konten, in bearbeitbarer Form, ohne etwas, das von uns abhängt, um nützlich zu bleiben.
Nächster Schritt
Wenn KI schon im Haus ist und die Regeln noch nicht, ist das der normale Ausgangspunkt, kein Notfall. Ein kurzes Gespräch reicht, um zu sagen, was das für ein Unternehmen Ihrer Größe bedeuten würde.
Gespräch vereinbarenEbenfalls im Katalog