Welches KI-Governance-Rollenkonzept für KMU wirklich funktioniert
KMU brauchen kein 20-Köpfe-AI-Ethics-Board — sie brauchen klare Entscheidungsrechte: Wer darf einen Use Case starten? Wer stoppt? Wer pflegt Policies? Steve Baka empfiehlt ein schlankes Vier-Rollen-Modell: KI-Owner (Business), Delivery Lead (Umsetzung), Legal/Privacy (Beratung, nicht Flaschenhals), Tech/Security (Betrieb, Logs, Zugriff).
Das NIST AI RMF (öffnet in neuem Tab) und ISO/IEC 42001 (öffnet in neuem Tab) geben den Rahmen — in KMU reicht ein AIMS-light: dokumentierte Policies, Reviews, Incident-Pfad.
Ohne Rollenmodell landet KI bei „IT oder Marketing“ — und niemand ist accountable, wenn etwas schiefgeht.
Entscheidungsrechte und Eskalation
KI-Owner genehmigt Use-Case-Start und KPI-Ziele. Delivery Lead verantwortet Pilot und Betrieb. Legal/Privacy macht Screening (DSFA, AVV/TIA) innerhalb fester SLAs (z. B. 5 Werktage). Tech/Security setzt TOMs um und überwacht Logs.
Eskalation: Risiko hoch oder Vorfall → gemeinsames Review innerhalb 48h. Kein „E-Mail an alle“, sondern definierte Queue.
Verknüpfe mit Human-in-the-Loop — Freigaben sind Rollenentscheidungen, keine Gruppenchat-Mehrheit.
Policy-Zyklus und Change-Management
Policies: Prompt-Regeln, erlaubte Daten, Modell-Wechsel, Kundenkommunikation bei KI. Review: quartalsweise oder bei jedem neuen Vendor/Use Case. Änderungen versionieren — wie Code.
Parallel EU AI Act und DSGVO-Checkliste in einem Policy-Set, nicht in drei konkurrierenden Ordnern.
Limit: Policies ohne Durchsetzung in Tools (Queues, Blocks) bleiben Papier.
Incident-Handling bei KI-Vorfällen
Vorfall = z. B. Datenleck in Logs, falsche Auto-Mail, diskriminierender Output, Modell-Ausfall mit falscher Fallback-Aktion. Ablauf: stoppen → bewerten (Daten? Kunden?) → melden (intern/legal) → beheben → Post-Mortem mit Regel-Update.
Incident-Log ist Teil eures Audit-Trails — wichtig für Kunden und Versicherungen.
Trainiere einmal jährlich einen Tischübung-Tag — 90 Minuten reichen.
Einführung in 30 Tagen im KMU
Woche 1: Rollen benennen, RACI eine Seite. Woche 2: Policy-Entwurf + Use-Case-Inventar. Woche 3: Tooling (Freigabe-Queue, Logging). Woche 4: Pilot mit Review-Rhythmus.
Skaliert mit 90-Tage-Roadmap und Use-Case-Priorisierung.
Erfolg = jeder weiß, wer „Ja“ sagt — nicht dass alle dürfen.
