KI-Governance-Dokumente: Welche Richtlinien ein Unternehmen wirklich braucht

Beim Thema KI-Regeln pendeln Unternehmen zwischen zwei Extremen. Auf der einen Seite die stillschweigende Duldung: Irgendwer hat irgendwann ein Tool freigegeben, dokumentiert ist nichts, und jeder Bereich improvisiert. Auf der anderen Seite das Regelwerk mit achtzig Seiten, das ein externer Berater geliefert hat und das seither ungelesen im Laufwerk liegt. Beide Zustände haben denselben Effekt: Im Alltag entscheidet der Zufall.

Der Sweet Spot der KI-Governance liegt dazwischen: wenige, kurze Dokumente, die tatsächlich gelesen und befolgt werden. Für ein kleines oder mittleres Unternehmen sind das im Kern vier Stück. Mehr braucht es am Anfang nicht, und weniger geht nicht, ohne Lücken zu lassen. Dieser Artikel sortiert, welche Dokumente das sind, was in jedes gehört und wie sie zusammenspielen.

Der Kernbestand: vier Dokumente

Bevor man einzelne Texte schreibt, lohnt der Blick auf das Gesamtbild. Jedes Dokument beantwortet eine eigene Frage, und zusammen decken sie den Lebenszyklus einer KI-Anwendung ab: von der Idee über die Freigabe bis zur täglichen Nutzung.

Dokument	Beantwortet die Frage	Umfang
Nutzungsrichtlinie	Was dürfen Mitarbeiter mit freigegebenen Tools tun	2 bis 4 Seiten
Freigabeprozess	Wie kommt ein neues Tool in den erlaubten Bestand	1 bis 2 Seiten
Rollenzuordnung	Wer entscheidet, wer prüft, wer meldet	1 Seite
Ausnahmeregelung	Was passiert bei Sonderfällen und Verstößen	1 Seite

Auffällig ist der Umfang: unter zehn Seiten für das gesamte Paket. Das ist Absicht. Jede Seite mehr senkt die Wahrscheinlichkeit, dass das Dokument im entscheidenden Moment gelesen wird.

Die Nutzungsrichtlinie: das Dokument für alle

Die Nutzungsrichtlinie ist das einzige Dokument, das wirklich jeder Mitarbeiter kennen muss. Sie beantwortet die Fragen des Alltags, und zwar konkret genug, dass niemand interpretieren muss. Hinein gehören:

• Die Liste der freigegebenen Tools mit dem jeweiligen Zweck, oder ein Verweis auf den Ort, an dem diese Liste aktuell gepflegt wird.
• Die Datenregeln: welche Kategorien von Informationen eingegeben werden dürfen, welche nur mit Freigabe und welche nie. Drei Stufen reichen, mit je zwei oder drei greifbaren Beispielen aus dem eigenen Unternehmen.
• Die Prüfpflicht: KI-Ergebnisse werden vor der Weiterverwendung fachlich geprüft, und die Verantwortung für das Arbeitsprodukt bleibt bei der Person, die es abgibt.
• Die Kennzeichnungsfrage: in welchen Fällen KI-Unterstützung intern oder gegenüber Kunden offengelegt wird.
• Der Meldeweg: an wen man sich wendet, wenn man ein neues Tool nutzen will oder einen Vorfall bemerkt.

Was nicht hineingehört: technische Details, rechtliche Herleitungen, Anbieterbewertungen. All das hat seinen Platz, aber nicht in dem Dokument, das eine Sachbearbeiterin in fünf Minuten verstehen soll.

Der Freigabeprozess: das Ventil gegen Schatten-Nutzung

Ohne geregelten Weg für neue Tools entsteht zwangsläufig Wildwuchs, denn der Bedarf verschwindet nicht, nur weil es kein Verfahren gibt. Der Freigabeprozess beschreibt deshalb einen bewusst niederschwelligen Ablauf: Wer ein Tool nutzen möchte, meldet es mit wenigen Angaben an, etwa Zweck, Anbieter und geplante Datenarten. Eine benannte Stelle prüft nach festen Kriterien, unter anderem Vertragslage, Datenverarbeitung, Anbieter-Einstellungen und Risikoklasse, und entscheidet innerhalb einer zugesagten Frist.

Zwei Punkte entscheiden über die Wirksamkeit. Erstens die Geschwindigkeit: Dauert die Freigabe sechs Wochen, nutzen die Leute das Tool längst privat. Eine Antwort binnen weniger Arbeitstage, notfalls als vorläufige Freigabe mit Auflagen, hält den offiziellen Weg attraktiv. Zweitens die Verhältnismäßigkeit: Ein Diktier-Tool ohne sensible Daten braucht keine Prüfung in derselben Tiefe wie ein System, das Kundenanfragen beantwortet. Der Prozess sollte deshalb eine Schnellspur für einfache Fälle vorsehen.

Rollenzuordnung: eine Seite, die Streit erspart

Governance scheitert selten an fehlenden Regeln und oft an unklarer Zuständigkeit. Die Rollenzuordnung hält deshalb auf einer Seite fest, wer was verantwortet: Wer pflegt das KI-Inventar und die Tool-Liste. Wer prüft Freigabeanträge und mit welchem Vetorecht. Wer verantwortet Schulungen. Wer entscheidet bei Ausnahmen und Eskalationen. Und wer beobachtet die regulatorische Entwicklung und stößt Anpassungen an.

In kleinen Unternehmen tragen einzelne Personen mehrere dieser Hüte, und das ist unproblematisch, solange es ausgesprochen ist. Wichtig ist nur, dass jede Rolle einen Namen hat und eine Vertretung. Ein Gremium braucht es in dieser Größenordnung meist nicht, ein fester Termin pro Quartal zwischen den Rollenträgern genügt.

Ausnahmen regeln, bevor sie passieren

Jedes Regelwerk trifft irgendwann auf einen Fall, den es nicht vorgesehen hat: ein Pilotprojekt, das ein noch nicht freigegebenes Tool testen will, ein Kunde, der eine bestimmte KI-Nutzung vertraglich ausschließt, ein dringender Fall außerhalb der Geschäftszeiten. Ohne definierten Umgang entsteht dann genau das Verhalten, das man vermeiden wollte: stille Alleingänge.

Die Ausnahmeregelung beschreibt deshalb einen kurzen Weg: Wer eine Abweichung braucht, beantragt sie bei der zuständigen Rolle, die Ausnahme wird befristet und dokumentiert, und sie fließt in die nächste Überarbeitung der Regeln ein, denn wiederkehrende Ausnahmen sind ein Hinweis, dass die Regel nicht passt. Zum selben Dokument gehört der Umgang mit Verstößen: gestuft, mit dem Fokus auf Lernen statt Bestrafen beim ersten Mal, und mit klarer Konsequenz bei Wiederholung oder Vorsatz.

Schlank halten: die Pflege entscheidet

Dokumente, die einmal geschrieben und nie angefasst werden, verlieren binnen eines Jahres den Bezug zur Realität, weil sich Tools, Anbieter und Rechtslage laufend ändern. Drei Gewohnheiten halten das Paket lebendig. Erstens die Trennung von Regel und Bestand: Die Richtlinie nennt Prinzipien, die konkrete Tool-Liste lebt an einem eigenen, leicht änderbaren Ort. So erzwingt nicht jede neue Freigabe eine Dokumentenrevision. Zweitens ein fester Überarbeitungstermin, etwa halbjährlich, an dem Ausnahmen, Vorfälle und Rückfragen aus der Belegschaft in die Texte eingearbeitet werden. Drittens die Lesbarkeitsprobe: Wer ein neues Kapitel ergänzen will, muss begründen, welches Alltagsproblem es löst. Was keinen Fall aus der Praxis hat, bleibt draußen.

Fazit

Ein KMU braucht für den Start keine Bibliothek, sondern vier kurze Dokumente: eine Nutzungsrichtlinie, die jeder versteht, einen Freigabeprozess, der schneller ist als der Umweg über private Konten, eine Rollenzuordnung auf einer Seite und eine geregelte Ausnahme. Zusammen decken sie den Weg von der Tool-Idee bis zur täglichen Nutzung ab. Die eigentliche Kunst liegt nicht im Schreiben, sondern im Weglassen und im Pflegen: Regeln, die kurz genug sind, um gelesen zu werden, und aktuell genug, um ernst genommen zu werden, sind das Gegenteil von Bürokratie. Sie sind die Voraussetzung dafür, dass KI im Unternehmen ohne ständige Einzelfalldiskussion genutzt werden kann.