KI wird in Unternehmen nicht erst dann relevant, wenn ein großes KI-Projekt offiziell startet. Sie steckt bereits in Software, wird von Mitarbeitenden eigeninitiativ genutzt oder verändert bestehende Prozesse. Damit wächst nicht nur das Potenzial, sondern auch der Bedarf an klaren Regeln, Zuständigkeiten und Prüfungen.
Datenschutz und Compliance stehen dabei nicht nachträglich neben eurer KI-Nutzung, sondern sind von Beginn an eingeplant. Dafür bauen wir mit euch ein KI-Governance-System auf: von der Erfassung und Bewertung eurer Anwendungsfälle über Freigaben und Verantwortlichkeiten bis zur laufenden Kontrolle und Dokumentation.
Viele Unternehmen stehen nicht vor der Frage, ob sie KI einsetzen wollen. Sie stehen vor der Frage, wo KI bereits eingesetzt wird, welche Daten dabei verarbeitet werden und wer die Verantwortung für die Ergebnisse trägt.
Ein Mitarbeitender nutzt ein generatives Tool.
Eine bestehende Software erhält ein KI-Modul.
Ein Fachbereich testet eine automatisierte Bewertung.
Jede einzelne Entscheidung kann Auswirkungen auf Datenschutz, Vertraulichkeit, Transparenz, Diskriminierung, Informationssicherheit und Geschäftsprozesse haben.
Eine einzelne KI-Richtlinie fängt das nicht auf. Was es braucht, ist ein verlässlicher Prozess, der neue KI-Anwendungen erkennt, Risiken einordnet, Verantwortlichkeiten festlegt und den Betrieb regelmäßig prüft.
Denn die entscheidenden Fragen entstehen im konkreten Use Case.
„Dürfen personenbezogene Daten, vertrauliche Informationen oder Kundendaten in ein KI-System eingegeben werden?“
„Wer bewertet, ob ein KI-Anwendungsfall datenschutzrechtlich, organisatorisch oder regulatorisch kritisch ist?“
„Wie unterscheiden wir zwischen einer unkritischen Produktivitätsunterstützung und einem Use Case mit Auswirkungen auf Menschen?“
„Wie verhindern wir, dass ein einmal freigegebenes Tool unbemerkt neue Risiken erzeugt?“
„Wie schaffen wir Sicherheit, ohne Innovation durch pauschale Verbote zu blockieren?“
Diese Fragen gehören in ein gemeinsames Steuerungsmodell – genau das leistet KI-Governance. Und Datenschutz ist darin keine nachgelagerte Prüfstelle, sondern eine Perspektive, die schon bei Auswahl, Gestaltung und Nutzung mitwirkt.
Wir betrachten KI nicht isoliert als Technologie. Wir betrachten sie als Teil eines soziotechnischen Systems aus Anwendungsfall, Daten, dem Anbieter, Prozess – und den Menschen, die damit arbeiten oder von den Ergebnissen betroffen sind. Gute KI-Governance denkt all das zusammen und verbindet die rechtlichen Anforderungen mit der Realität eurer Organisation.
Unser Vorgehen: von der unübersichtlichen Nutzung zur steuerbaren KI-Landschaft.
KI-Nutzung sichtbar machen
Wir identifizieren bestehende und geplante KI-Anwendungen, relevante Anbieter, Datenflüsse und betroffene Geschäftsprozesse. Dabei betrachten wir auch Schattennutzung und KI-Funktionen, die bereits in Standardsoftware enthalten sind.
Use Cases risikobasiert bewerten
Wir ordnen jeden Use Case nach seiner tatsächlichen Tragweite ein und verbinden dabei die Perspektiven, die zusammengehören: KI-Verordnung, Datenschutz, Informationssicherheit, Vertraulichkeit und die Auswirkungen auf Menschen.
Steuerungsmodell und Entscheidungswege festlegen
Wir legen Rollen, Zuständigkeiten, Freigabestufen und Eskalationswege fest. So wird klar, welche Anwendungen schnell freigegeben werden können, welche eine vertiefte Prüfung benötigen und welche nicht eingesetzt werden sollten.
Belastbare Prozesse, Richtlinien und Nachweise
Wir entwickeln die für euch passenden Richtlinien und Abläufe: Use-Case-Steckbrief, Risikobewertung, Freigabeprozess, Anbieterprüfung, Policies, Kontrollplan und Umgang mit Vorfällen.
Betrieb und Weiterentwicklung
KI verändert sich: neue Modelle, neue Daten, neue Tools. Wir legen fest, wie ihr Änderungen erkennt, neu bewertet und dokumentiert – damit die Governance mitwächst, statt zu veralten.
Am Ende steht kein abstraktes Regelwerk, das im Alltag umgangen wird, sondern eine Governance, die Entscheidungen dort stützt, wo sie getroffen werden.
Transparenz: Ihr wisst, welche KI-Anwendungen bei euch genutzt werden – und dass Datenflüsse und Anbieter vor dem Einsatz geprüft sind.
Verantwortung: Zuständigkeiten, Freigaben und Entscheidungswege sind eindeutig geregelt.
Datenschutz by design: Datenschutz ist von Anfang an Teil von Auswahl und Gestaltung – nicht die Prüfstelle am Ende.
Nachweisfähigkeit: Bewertungen, Entscheidungen und Kontrollen sind nachvollziehbar dokumentiert.
Handlungsfähigkeit: Eure Teams bekommen klare Wege für sichere Nutzung statt pauschaler Verbote.
Skalierbarkeit: Neue Anwendungsfälle ordnet ihr in einen bestehenden Prozess ein, statt jedes Mal neu zu diskutieren.
Hier findet ihr Antworten auf typische Fragen rund um KI-Governance in kleinen und mittleren Unternehmen.
Nein. Eine Richtlinie beschreibt Regeln. Ein KI-Governance-System verbindet diese Regeln mit Rollen, Prozessen, Bewertungen, Freigaben, Kontrollen und Nachweisen. Die Richtlinie ist ein Bestandteil davon – aber sie ersetzt kein funktionierendes Steuerungsmodell.
KI-Anwendungen verarbeiten häufig personenbezogene oder vertrauliche Daten und können Entscheidungen oder Interaktionen mit Menschen beeinflussen. Datenschutz muss deshalb bereits bei Use-Case-Definition, Toolauswahl, Datenverarbeitung und Prozessgestaltung berücksichtigt werden. Die konkreten Anforderungen hängen vom jeweiligen Anwendungsfall ab. Wenn ihr dafür eine dauerhafte Struktur braucht, unterstützen wir euch auch als externer Datenschutzbeauftragter.
Nein, auch der Einsatz fertiger KI-Tools und KI-Funktionen in Standardsoftware kann organisatorische, datenschutzrechtliche und regulatorische Fragen auslösen. Entscheidend ist nicht nur, wer ein System entwickelt, sondern auch, wie und wofür es im Unternehmen eingesetzt wird.
Im Gegenteil – richtig aufgesetzt macht sie Innovation schneller. Ohne Steuerung bleibt meist nur eins von beidem: unkontrollierter Wildwuchs oder das pauschale Verbot. Beides bremst. Eine gute Governance schafft klare, schnelle Wege für unkritische Anwendungen und reserviert die vertiefte Prüfung für die wenigen Fälle, die wirklich Risiko tragen. Eure Teams wissen dann, was erlaubt ist, statt bei jeder Idee zu warten oder heimlich Tools zu nutzen. Leitplanken bremsen nicht – sie lassen euch schneller fahren.
Der AI Act verfolgt einen risikobasierten Ansatz und unterscheidet unter anderem zwischen verbotenen Praktiken, Hochrisiko-Anwendungen und Transparenzanforderungen. Die konkreten Pflichten hängen von Rolle, System, Anwendungsfall und Zeitplan ab. Wir unterstützen euch dabei, die für eure Organisation relevanten Anforderungen in Prozesse und Nachweise zu übersetzen.
Kristina Bunkowski
Ich freue mich über ein unverbindliches Erstgespräch.
Kristina Bunkowski
Compliance Consulting