Was ist AI Governance?

AI Governance ist der Satz an Richtlinien, Prozessen, Standards und organisatorischen Strukturen, der festlegt, wie eine Organisation Systeme künstlicher Intelligenz entwickelt, einsetzt, überwacht und außer Betrieb nimmt. Sie reicht von der Risikobewertung von Modellen und der Überwachung auf Verzerrungen bis zu regulatorischer Compliance, Rechenschaft und den Datengrundlagen, von denen KI-Systeme abhängen.

Das Feld entwickelt sich in einem beispiellosen Tempo. Seit der Digital Omnibus der EU zur KI (Verordnung (EU) 2026/1744) am 27. Juli 2026 in Kraft getreten ist, zeichnen sich weltweit drei konkurrierende Governance-Modelle ab: die rechtebasierte Regulierung der EU, der US-Vorstoß zu einer Deregulierung mit Innovationsvorrang und Chinas staatszentrierte Aufsicht. Daraus entsteht eine zersplitterte Landschaft, durch die Unternehmen sorgfältig navigieren müssen.

Was ist AI Governance?

AI Governance wirkt auf zwei Ebenen. Auf der organisatorischen Ebene legt sie interne Richtlinien dafür fest, wie KI-Modelle gebaut, getestet, eingesetzt und überwacht werden: wer ein Modell für den Produktivbetrieb freigibt, wie Verzerrungen erkannt und gemindert werden, was geschieht, wenn ein Modell schädliche Ausgaben erzeugt, und wie die Herkunft der Trainingsdaten nachverfolgt wird. Auf der regulatorischen Ebene umfasst sie die Gesetze und Standards, die Staaten der Entwicklung und Nutzung von KI auferlegen.

Anders als klassische Software-Governance muss AI Governance Herausforderungen begegnen, die dem maschinellen Lernen eigen sind: Modelle, die sich mit neuen Daten verändern, Ausgaben, die probabilistisch statt deterministisch sind, Entscheidungswege, die sich einer einfachen Erklärung entziehen, und Trainingsdaten, die historische Verzerrungen einkodieren können. Diese Eigenschaften verlangen Zugänge, die über übliche IT-Kontrollen hinausgehen.

Ein praxistaugliches Programm für AI Governance beantwortet fünf Fragen: Welche KI-Systeme haben wir? (Inventar und Registrierung), Welche Risiken bergen sie? (Risikoeinstufung), Wie mindern wir diese Risiken? (Kontrollen und Tests), Wer steht dafür ein? (Verantwortung und Aufsicht) und Wie belegen wir Compliance? (Dokumentation und Prüfpfade).

Warum AI Governance zählt

KI-Fehler haben Folgen in der Wirklichkeit

Wenn ein KI-System einen Kredit ablehnt, eine Patientin für eine Erkrankung markiert oder Bewerbungen filtert, sind die Folgen von Fehlern nicht abstrakt. Verzerrte Modelle schreiben Diskriminierung fort, in großem Maßstab und mit hohem Tempo. Halluzinierende Sprachmodelle geben erfundene Informationen als Tatsachen aus. Autonome Systeme treffen Entscheidungen, die kein Mensch geprüft hat. Ohne Governance werden diese Fehler erst entdeckt, wenn der Schaden angerichtet ist, und die Organisation trägt die Kosten für Reputation und Recht.

Der regulatorische Druck steigt

Der EU AI Act sieht für verbotene Praktiken Geldbußen bis zu 35 Millionen € oder 7 % des weltweiten Jahresumsatzes vor, für die meisten anderen Verstöße bis zu 3 % (Art. 99). China schreibt die Kennzeichnung KI-erzeugter Inhalte vor. Selbst im deregulierenden Umfeld der USA schaffen Vorschriften der Bundesstaaten Compliance-Pflichten, etwa die Regeln Colorados und Kaliforniens zu automatisierten Entscheidungen und das Gesetz von Illinois zum Schutz biometrischer Daten (BIPA). Weltweit tätige Organisationen stehen vor einem Flickenteppich an Anforderungen, den nur strukturierte Governance beherrschbar macht.

KI ohne Governance untergräbt Vertrauen

Die Einführung von KI im Unternehmen hängt an Vertrauen, dem von Kunden, Beschäftigten, Aufsichtsbehörden und Geschäftspartnern. Wenn Organisationen nicht erklären können, wie ihre KI-Systeme zu Entscheidungen kommen, die Daten hinter diesen Entscheidungen nicht nachverfolgen können und nicht belegen können, dass auf Verzerrungen geprüft wurde, schwindet das Vertrauen. Governance ist der Mechanismus, der KI vertrauenswürdig genug macht, um zu skalieren.

Das globale regulatorische Umfeld (Stand Oktober 2026)

Der globale Zugang zur KI-Regulierung driftet entlang dreier grundlegend verschiedener Philosophien auseinander. Diese Divergenz schafft für Unternehmen zugleich Komplexität in der Compliance und strategische Chancen.

Europäische Union: rechtebasierte Regulierung, verschoben

Der EU AI Act bleibt die umfassendste KI-Regulierung der Welt, aber sein Zeitplan hat sich verschoben. Die Verordnung (EU) 2026/1744, der Digital Omnibus zur KI, ist am 27. Juli 2026 in Kraft getreten und verschiebt zentrale Fristen für die Compliance:

• Hochrisiko-KI-Systeme nach Anhang III (Biometrie, kritische Infrastruktur, Strafverfolgung): verschoben auf 2. Dezember 2027
• Branchenspezifische KI-Systeme in Produkten nach Anhang I (Medizinprodukte, Funkanlagen): verschoben auf 2. August 2028
• Kennzeichnung KI-erzeugter Inhalte (Art. 50 Abs. 2): gilt ab dem 2. August 2026; generative Systeme, die vor diesem Datum in Verkehr gebracht wurden, haben Zeit bis zum 2. Dezember 2026

Über die Fristen hinaus hat die Verordnung mehrere Anforderungen abgeschwächt und neue hinzugefügt. KI-Kompetenz: Art. 4 verlangt nun von Anbietern und Betreibern, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen, ohne ein bestimmtes Niveau zu garantieren; die Kommission und die Mitgliedstaaten unterstützen sie dabei. Die Unterstützung für KMU wurde auf kleine Unternehmen mittlerer Kapitalisierung ausgeweitet. Maschinen wurden in Anhang I Abschnitt B verschoben, ein sektoraler Ansatz, der Doppelregulierung vermeidet. Art. 5 erhielt neue Verbote: KI, die nicht einvernehmliche intime Inhalte oder Darstellungen sexuellen Kindesmissbrauchs erzeugt, ist ab dem 2. Dezember 2026 verboten.

Vereinigte Staaten: Innovation zuerst, Vorrang des Bundes

Die Regierung Trump hat einen grundlegend anderen Weg eingeschlagen und rahmt AI Governance vor allem als geopolitischen Wettbewerb mit China. Am 23. Juli 2025 unterzeichnete der Präsident drei Executive Orders (EOs 14318, 14319 und 14320): „Accelerating Federal Permitting of Data Center Infrastructure“, „Preventing Woke AI in the Federal Government“ und „Promoting the Export of the American AI Technology Stack“. EO 14319 verpflichtet Bundesbehörden, nur große Sprachmodelle zu beschaffen, die zwei „Unbiased AI Principles“ erfüllen. Zusammen mit dem am selben Tag vorgelegten AI Action Plan setzen diese Anordnungen die Schwerpunkte der Regierung: Abbau regulatorischer Hürden, beschleunigter Bau von Rechenzentren und Ausbau von KI-Exporten.

Den Vorstoß, KI-Gesetze der Bundesstaaten zu verdrängen, brachte EO 14365, „Ensuring a National Policy Framework for Artificial Intelligence“ (11. Dezember 2025). Sie richtete eine AI Litigation Task Force ein, die KI-Gesetze der Bundesstaaten anfechten soll, und knüpfte Bedingungen an BEAD-Fördermittel für den Breitbandausbau, mit der Begründung, eine Regulierung Staat für Staat schaffe „per Definition einen Flickenteppich aus 50 verschiedenen Regulierungsregimen“. Am 20. März 2026 folgte das Weiße Haus mit einem National Policy Framework for AI, einer Reihe unverbindlicher Gesetzgebungsempfehlungen an den Kongress. Im Mittelpunkt steht der Vorrang des Bundesrechts vor KI-Gesetzen der Bundesstaaten, daneben Kinderschutz, Gemeinden und Energie, geistiges Eigentum, Meinungsfreiheit, Innovation und Arbeitskräfte.

Für Unternehmen bedeutet der US-Weg weniger Vorgaben auf Bundesebene, aber wachsende Unsicherheit. Gesetze der Bundesstaaten gelten weiter: Illinois regelt biometrische Daten mit dem BIPA; Colorado hat sein Gesetz gegen algorithmische Diskriminierung aufgehoben und als SB 26-189, „Automated Decision-Making Technology“, neu erlassen, unterzeichnet am 14. Mai 2026, mit Pflichten ab dem 1. Januar 2027; und in Kalifornien gelten seit dem 1. Januar 2026 die Vorschriften der CPPA zu automatisierten Entscheidungstechnologien; Unternehmen, die ADMT bereits für erhebliche Entscheidungen einsetzen, müssen sie bis zum 1. Januar 2027 erfüllen. Der Vorrang des Bundes ist umstritten. Verantwortungsbewusste Organisationen übernehmen Governance-Rahmenwerke freiwillig, weil sie erkennen, dass die Abwesenheit von Regulierung nicht die Abwesenheit von Risiko ist.

China: staatszentriert, früh bei generativer KI

China hat verbindliche Regeln für generative KI seit seinen vorläufigen Maßnahmen für Dienste generativer KI (Interim Measures), erlassen im Juli 2023 und in Kraft seit dem 15. August 2023, und baut weiterhin den detailliertesten regulatorischen Rahmen. Wesentliche Entwicklungen bis 2026:

• KI-Änderungen des Cybersicherheitsgesetzes (wirksam Januar 2026): fügen dem Gesetz seine erste KI-Bestimmung hinzu, die die KI-Entwicklung fördert und zugleich Ethikregeln sowie Risikoüberwachung und Risikobewertung vorsieht
• Kennzeichnung KI-erzeugter Inhalte (wirksam ab 1. September 2025): implizite Kennzeichnung über Metadaten gilt für alle erzeugten Inhalte; explizite Kennzeichnung gilt in festgelegten Fällen der Deep Synthesis
• AI Safety Governance Framework 2.0 (TC260, September 2025): unverbindliche Leitlinie, die eine Risikoabstufung anhand dreier Faktoren einführte: Anwendungsszenario, Intelligenzgrad und Einsatzumfang
• Drei nationale KI-Sicherheitsstandards (wirksam November 2025): empfohlene (freiwillige) GB/T-Normen mit Sicherheitsanforderungen an Dienste generativer KI

Chinas Zugang verbindet detaillierte technische Anforderungen mit zentraler staatlicher Aufsicht. Für global tätige Unternehmen heißt das, dass in China eingesetzte KI-Systeme eigenen Pflichten zu Kennzeichnung, Risikobewertung und Inhaltsmoderation unterliegen, die sich von den Anforderungen der EU wie der USA deutlich unterscheiden.

Die Divergenz: was sie für Unternehmen bedeutet

Die drei Modelle bewegen sich auseinander, nicht aufeinander zu. Die EU reguliert, um Rechte zu schützen. Die USA deregulieren, um ein geopolitisches Rennen zu gewinnen. China reguliert, um staatliche Kontrolle zu wahren und zugleich den Einsatz zu beschleunigen. Für multinationale Unternehmen heißt das:

• Kein einzelner Compliance-Rahmen deckt alle Märkte ab
• Freiwillige Rahmenwerke (NIST, ISO) werden zur praktischen Grundlinie für den globalen Betrieb
• AI Governance muss modular sein: ein gemeinsamer interner Standard mit Compliance-Schichten je Rechtsraum
• Data Governance unter der AI Governance ist unverhandelbar, unabhängig vom Rechtsraum

Rahmenwerke für AI Governance im Unternehmen

Während sich die Vorschriften je Rechtsraum unterscheiden, bieten freiwillige Rahmenwerke für Unternehmen eine gemeinsame Grundlage für den verantwortungsvollen Umgang mit KI.

NIST AI Risk Management Framework (AI RMF)

Das NIST AI RMF (AI RMF 1.0, Januar 2023) ist ein verbreitetes freiwilliges Rahmenwerk. Es gliedert das Management von KI-Risiken in vier Kernfunktionen:

• Govern - organisatorische Richtlinien, Rollen und Rechenschaftsstrukturen für die KI-Aufsicht schaffen
• Map - KI-Risiken im Kontext erkennen und einordnen und verstehen, wo und wie KI-Systeme genutzt werden
• Measure - erkannte Risiken mit quantitativen und qualitativen Methoden bewerten, einschließlich Verzerrungstests, Leistungsüberwachung und Sicherheitsbewertung
• Manage - Kontrollen, Minderungsstrategien und Reaktionspläne für erkannte Risiken umsetzen

NIST überarbeitet das AI RMF 1.0 im Rahmen des AI Action Plan des Weißen Hauses. Das Rahmenwerk selbst bleibt freiwillig.

ISO/IEC 42001: zertifizierbares KI-Management

ISO/IEC 42001, veröffentlicht 2023, ist der erste internationale Standard, für den sich Organisationen zertifizieren lassen können, und zwar für Managementsysteme für KI (AIMS). Anders als das NIST AI RMF, für das es kein Zertifizierungssystem gibt, erlaubt ISO 42001 eine Zertifizierung durch Dritte und liefert damit überprüfbare Nachweise verantwortungsvoller KI-Praxis gegenüber Kunden, Aufsichtsbehörden und Partnern.

Der Standard verlangt von Organisationen, eine KI-Richtlinie aufzustellen, Risikobewertungen durchzuführen, Kontrollen umzusetzen und Prozesse zur kontinuierlichen Verbesserung zu unterhalten. Ein begleitender Standard, ISO/IEC 42006:2025, legt Anforderungen an die Stellen fest, die AIMS nach ISO/IEC 42001 auditieren und zertifizieren.

In der Praxis kombinieren viele Organisationen die Rahmenwerke von NIST und ISO: Sie nutzen NIST AI RMF für Erkennung und Messung von Risiken und ISO 42001 als zertifizierbares Managementsystem, das sich darum legt. Das AI Resource Center von NIST führt genau für diese Kombination einen Crosswalk vom AI RMF zu ISO/IEC 42001, daneben Crosswalks zur OECD-Empfehlung zu KI, zu ISO/IEC 23894 und zu ISO/IEC 42005.

Interne AI Governance aufbauen

Rahmenwerke geben Struktur, aber die Umsetzung braucht interne Fähigkeiten:

• KI-Modellregister - Verzeichnis aller KI-Systeme mit Risikoeinstufung, Verantwortung, Datenquellen des Trainings und Einsatzstatus
• Prozess zur Risikobewertung - strukturierte Bewertung vor dem Einsatz, über die Dimensionen Verzerrung, Sicherheit, Datenschutz und IT-Sicherheit
• Überwachung und Observability - fortlaufende Verfolgung von Modellleistung, Drift, Fairness-Kennzahlen und Fehlermodi im Betrieb
• Reaktion auf Vorfälle - festgelegte Abläufe für den Fall, dass KI-Systeme schädliche, verzerrte oder falsche Ausgaben erzeugen
• Dokumentation und Prüfpfad - Nachweise getroffener Entscheidungen, durchgeführter Tests und erteilter Freigaben über den gesamten Lebenszyklus der KI

AI Governance und Data Governance

AI Governance und Data Governance sind keine getrennten Disziplinen, sondern zwei Schichten derselben Vertrauensinfrastruktur. KI-Systeme sind nur so verlässlich wie die Daten, mit denen sie trainiert wurden, und der Kontext, auf den sie zugreifen. Ein Modell, das auf undokumentierten, ungesteuerten Daten unbekannter Qualität trainiert wurde, erzeugt Ausgaben, die keine noch so gute Governance des Modells vertrauenswürdig machen kann.

Herkunft der Trainingsdaten

Responsible AI setzt voraus zu wissen, woher die Trainingsdaten stammen, wie sie erhoben wurden, welche Transformationen sie durchlaufen haben und ob sie Verzerrungen oder datenschutzsensible Informationen enthalten. Data Lineage, die diese Herkunft verfolgt, ist eine Voraussetzung für sinnvolle AI Governance und keine optionale Ergänzung.

Metadaten als Vertrauensgrundlage

KI-Agenten und Sprachmodelle brauchen fachlichen Kontext, um verlässliche Ausgaben zu erzeugen, also nicht nur Zugriff auf Rohdaten, sondern ein Verständnis davon, was Felder bedeuten, welche Definitionen maßgeblich sind, welche Qualitätsstandards gelten und wer für welchen Datensatz einsteht. Ein Datenkatalog mit reichhaltigen Metadaten liefert diesen Kontext. Ohne ihn arbeiten KI-Systeme in einem semantischen Vakuum, in dem technisch korrekte Ausgaben fachlich falsch sind.

Modell-Lineage und Reproduzierbarkeit

So wie Data Lineage Datenflüsse verfolgt, verfolgt Modell-Lineage die Entscheidungen und Artefakte hinter einem KI-System: welche Daten zum Training genutzt wurden, welche Hyperparameter gewählt wurden, welche Bewertungskennzahlen angewendet wurden und welche Version im Betrieb läuft. Diese Nachvollziehbarkeit ist für regulatorische Compliance, die Untersuchung von Vorfällen und kontinuierliche Verbesserung unverzichtbar.

Wie Dawiso AI Governance stützt

Dawiso liefert das Fundament aus Data Governance, das AI Governance braucht. Dawiso ist keine Plattform für das Management von KI-Modellen, löst aber die Herausforderungen auf der Datenebene, an denen Programme für AI Governance stehen oder fallen:

• Datenkatalog mit automatisiertem Scannen gibt Organisationen Sicht darauf, welche Daten es gibt, wo sie liegen und wer für sie einsteht, also die Grundlage jedes KI-Modellregisters
• Data Lineage verfolgt, wie Daten sich über Systeme bewegen und transformieren, und ermöglicht damit die Herkunft der Trainingsdaten und eine Auswirkungsanalyse bei Datenänderungen
• Business Glossary sorgt dafür, dass KI-Systeme und die Menschen, die sie betreiben, dasselbe Verständnis von Fachbegriffen teilen, und senkt so das Risiko semantisch falscher KI-Ausgaben
• Datenqualität: Definitionen, Prüfungen und SLAs, die an jedem Datenprodukt hinterlegt und mit Werkzeugen wie Soda oder Great Expectations gemessen werden, liefern die Vertrauenssignale, die Programme für AI Governance brauchen, um zu beurteilen, ob Trainings- und Inferenzdaten den geforderten Standards genügen
• MCP-Anbindung erlaubt KI-Agenten, den Katalog zu durchsuchen, Definitionen und Attribute zu lesen und vor- und nachgelagerte Abhängigkeiten zu verfolgen, bevor sie entscheiden, statt auf ungesteuerten Daten zu arbeiten

Indem Dawiso KI-Systeme über eine einzige Plattform mit gesteuerten, dokumentierten Daten verbindet, hilft es, AI Governance in der Datenwirklichkeit zu verankern statt in aspirativen Richtlinienpapieren.

Fazit

AI Governance steht an einem Wendepunkt. Das regulatorische Umfeld zersplittert: Die EU verschiebt ihren rechtebasierten Rahmen und vertieft ihn zugleich, die USA deregulieren, um mit China mitzuhalten, und China baut die detailliertesten Vorgaben. Für Unternehmen ist Warten auf regulatorische Klarheit keine Strategie. Erfolgreich durch dieses Umfeld kommen die Organisationen, die modulare Governance-Programme bauen: ein starkes internes Fundament auf Basis von Rahmenwerken wie NIST AI RMF und ISO 42001, Compliance-Schichten je Rechtsraum und, entscheidend, eine belastbare Data Governance unter allem. AI Governance ohne Data Governance ist eine Compliance-Übung. AI Governance mit Data Governance ist ein Wettbewerbsvorteil.

Quellen

• Amt für Veröffentlichungen der EU (EUR-Lex), Verordnung (EU) 2026/1744, Digital Omnibus on AI (in Kraft seit dem 27. Juli 2026).
• Amt für Veröffentlichungen der EU (EUR-Lex), Verordnung (EU) 2024/1689, EU AI Act (Sanktionen in Art. 99).
• Federal Register, Executive Order 14365, Ensuring a National Policy Framework for Artificial Intelligence (11. Dezember 2025).
• Federal Register, Executive Order 14319, Preventing Woke AI in the Federal Government (23. Juli 2025).
• The White House, A National Policy Framework for Artificial Intelligence: Legislative Recommendations (März 2026).
• Colorado General Assembly, SB26-189, Automated Decision-Making Technology.
• California Privacy Protection Agency, CCPA updates, einschließlich der Vorschriften zu automatisierten Entscheidungstechnologien; genehmigter Verordnungstext (Frist für ADMT in § 7200(b)).
• Cyberspace Administration of China, Interim Measures for the Management of Generative AI Services (auf Chinesisch).
• Cyberspace Administration of China, Measures for Labeling AI-Generated Synthetic Content (auf Chinesisch).
• NIST, AI Risk Management Framework (AI RMF 1.0, Januar 2023).
• NIST AI Resource Center, AI RMF crosswalks.
• ISO, ISO/IEC 42001:2023, AI management systems.
• ISO, ISO/IEC 42006:2025, Anforderungen an Stellen, die Managementsysteme für KI auditieren und zertifizieren.
• Dawiso Help, Dawiso Model Context Protocol (MCP).
• Dawiso Help, Data product quality and SLAs.