--- title: "KI-Governance und Compliance" description: "Eine KI-Richtlinie, die im Alltag funktioniert: Regeln, die Ihr Team einhalten kann, eine Prüfung der genutzten Tools und Aufzeichnungen, mit denen Sie für KI-gestützte Arbeit geradestehen können." url: "https://gavai.io/de/services/ai-governance" locale: "de" --- # Wissen, was Ihr Team mit KI tut — und dafür geradestehen können. Die meisten kleinen Unternehmen haben KI nicht absichtlich eingeführt. Sie kam Tool für Tool, im Browser dessen, dem sie gerade nützlich war. Dieses Projekt erfasst, was tatsächlich im Einsatz ist, schreibt Regeln, die Menschen einhalten können, und richtet die Aufzeichnungen ein, die belegen, dass sie eingehalten werden — damit Sie eine Antwort haben, wenn ein Kunde, ein Versicherer oder eine Aufsichtsbehörde fragt, wie Sie KI nutzen. ## Wann sich das lohnt Nichts auf dieser Liste besagt, dass ein Schaden entstanden ist. Sie besagt, dass es niemand mit Sicherheit sagen könnte — und das ist das eigentliche Risiko. - Mitarbeiter kopieren Kundendaten in Chat-Tools, und niemand hat gesagt, welche Tools erlaubt sind und was hineindarf. - Ein Kundenvertrag, ein Versicherer oder ein Due-Diligence-Fragebogen fragt neuerdings, wie Sie KI einsetzen — und niemand weiß, was man zurückschreiben soll. - Arbeit, an der KI mitgewirkt hat, geht unter Ihrem Namen raus, und es gibt keine Aufzeichnung, wer sie geprüft hat. - KI-Abos haben sich über Monate angesammelt, und niemand könnte aufzählen, welche davon Ihre Daten halten und zu welchen Bedingungen. - Jemand im Team zieht sichtbar echten Nutzen aus KI, und Sie würden lieber Regeln dafür setzen, als es zu unterbinden. - Eine KI-Antwort hat sich vor einem Kunden als falsch erwiesen, und es gab keinen vereinbarten Umgang damit. ## Was das Projekt abdeckt Sechs Stränge, geprüft an den Tools, die Ihr Unternehmen tatsächlich nutzt, nicht an einer Vorlage. Jeder endet mit etwas Schriftlichem, für das eine benannte Person verantwortlich ist. - **Das Inventar** — Bevor eine Regel geschrieben wird, listen wir auf, was tatsächlich im Einsatz ist: die Tools, die das Unternehmen bezahlt, und die, für die sich Mitarbeiter selbst angemeldet haben. Für jedes: was es berührt — Kundendaten, Finanzen, Personaldaten, Code — und wer es wofür nutzt. Die meisten Überraschungen dieser Arbeit tauchen hier auf, und eine Richtlinie ohne diesen Schritt regelt ein erdachtes Unternehmen. - **Die Richtlinie** — Ein kurzes Dokument, das festlegt, wo KI eingesetzt werden darf, welche Daten hinein dürfen und wer was prüft. Geschrieben, um befolgt zu werden: wenige Seiten in Alltagssprache, mit der Begründung gleich dabei — denn eine Regel, die niemand versteht, hält niemand ein. Das Schwere ist nicht das Schreiben, es sind die Entscheidungen — wo die Grenze zwischen KI-Entwurf und KI-Entscheidung verläuft, welche Daten Ihre Systeme nie verlassen —, und diese Entscheidungen legen wir Ihnen vor, statt sie für Sie zu treffen. Den endgültigen Text geben Sie frei. Es ist Ihre Richtlinie, nicht unsere. - **Anbieterprüfung** — Die Bedingungen jedes Tools, genau gelesen: ob Ihre Daten deren Modelle trainieren, wie lange sie auf deren Servern bleiben, wo sie verarbeitet werden und was bei Kündigung mit ihnen passiert. Anbieter ändern diese Bedingungen, und die Bezahlstufe antwortet oft anders als die Gratisstufe — was häufig das ganze Argument fürs Upgrade ist. Das Urteil zu jedem Tool kommt klar zurück: behalten, upgraden, einschränken oder streichen. - **Aufsicht und Aufzeichnungen** — Für jede Stelle, an der KI in echte Arbeit einfließt, legen wir fest, wer die Ausgabe prüft, bevor sie zählt, und was festgehalten wird. In unseren eigenen Projekten verlässt keine kundengerichtete Ausgabe das Haus ohne die Freigabe einer benannten Person, und derselbe Maßstab gilt hier: Der Prüfschritt ist jemandem zugewiesen und wird protokolliert. Das Protokoll zählt so viel wie die Prüfung. Monate später zeigen zu können, worauf eine Entscheidung beruhte und wer sie freigegeben hat — so sieht Verantwortlichkeit in der Praxis aus. - **Datenschutz und Sicherheit** — Ein Durchgang, wie der aktuelle Aufbau mit Daten umgeht: welche Konten privat statt firmeneigen sind, wer nach dem Ausscheiden noch Zugriff hat, ob sensible Daten in Tools fließen, deren Bedingungen sie nicht abdecken, und wie die KI-Nutzung zu Pflichten passt, die Sie ohnehin tragen — Gesundheitsdaten, Kartendaten, die DSGVO, was immer für Ihre Branche gilt. Das ist eine Prüfung mit schriftlichen Befunden, kein Zertifizierungsaudit. Wo Sie eine formale Bescheinigung brauchen, sagen wir es und helfen bei der Vorbereitung, statt so zu tun, als könnten wir sie ausstellen. - **Vorfälle und Pflege** — Zwei Dinge halten die Richtlinie am Leben, nachdem wir gegangen sind. Erstens ein Vorfallsweg: was Mitarbeiter tun, wenn eine KI-Ausgabe vor einem Kunden falsch war, Daten dorthin gelangt sind, wo sie nicht hingehören, oder ein Tool still seine Bedingungen ändert — wem man es meldet, was man festhält, was man sagt. Zweitens ein Prüfrhythmus: Diese Tools ändern sich schnell genug, dass eine Richtlinie vom letzten Jahr eine andere Landschaft beschreibt. Das Dokument nennt deshalb einen Turnus und einen Verantwortlichen dafür, es aktuell zu halten — ob dieser Verantwortliche Sie sind oder wir. ## Vom Inventar zur funktionierenden Richtlinie - **Bestand aufnehmen** — Wir sprechen mit den Menschen, die die Tools nutzen, und stellen das Inventar zusammen. Ihr Beitrag: ehrliche Antworten und eine Liste der Abos. Es zählt, was die Leute Tag für Tag tatsächlich tun, nicht, was jemand angenommen hat. Jede Phase wird bepreist, bevor sie beginnt. - **Entscheiden** — Wir legen Ihnen die Befunde vor — und die Entscheidungen, die sie erzwingen: was erlauben, was einschränken, was streichen. Sie treffen die Entscheidungen mit den Abwägungen auf dem Tisch, und wir schreiben auf, was Sie entschieden haben. - **Schreiben und durchgehen** — Richtlinie, Anbieterbefunde, Aufsichtsregeln und Vorfallsweg werden entworfen und dann Zeile für Zeile mit Ihnen durchgegangen. Alles mit rechtlichem Gewicht wird für Ihren Anwalt markiert — der Entwurf ist unserer, das letzte Wort nicht. - **Verankern** — Die Richtlinie wird dem Team in einer Arbeitssitzung vorgestellt, nicht als E-Mail-Anhang: was sich ändert, warum, und was zu tun ist, wenn etwas schiefgeht. Eine Regel, deren Begründung man gehört hat, hält besser als eine, die man zugeschickt bekam. ## Was auf Ihrem Schreibtisch landet Alles Erarbeitete gehört Ihnen vollständig: Dokumente in Ihren eigenen Konten, in bearbeitbarer Form, ohne etwas, das von uns abhängt, um nützlich zu bleiben. - Eine schriftliche KI-Richtlinie, durch die Ihr Team geführt wurde, freigegeben von Ihnen. - Ein Inventar jedes genutzten KI-Tools, mit dem, was es berührt, und wer es nutzt. - Befunde je Anbieter mit einem klaren Urteil zu jedem Tool: behalten, einschränken oder streichen. - Benannte Prüfschritte und eine Aufzeichnungspraxis für KI-gestützte Arbeit. - Ein Vorfallsweg und ein Turnus, der die Richtlinie aktuell hält. Wenn KI schon im Haus ist und die Regeln noch nicht, ist das der normale Ausgangspunkt, kein Notfall. Ein kurzes Gespräch reicht, um zu sagen, was das für ein Unternehmen Ihrer Größe bedeuten würde.