KI-Governance beginnt bei der Geschäftsführung – nicht in der IT-Abteilung

Warum ist KI-Governance keine Aufgabe, die auf die IT-Abteilung beschränkt ist?

Es scheint einfach zu sein: KI ist letztlich „auch nur Software“ und deshalb ist die IT-Abteilung zuständig. Diese Annahme ist ein zweischneidiges Schwert, denn sie vermischt operative Umsetzung und die Verantwortung dafür auf der Ebene der IT-Abteilung mit strategischer Verantwortung, die bei der Unternehmensführung angesiedelt ist.

Die IT-Abteilung kann technische Infrastruktur bereitstellen, Tools administrieren und Sicherheitsstandards umsetzen. Aber KI-Governance erfordert auch Entscheidungen, die über die Technik hinausreichen: Welche Risiken ist das Unternehmen bereit einzugehen? Welche Prozesse dürfen automatisiert werden und welche nicht? Wer kontrolliert und wer verantwortet die Ergebnisse, die von einem KI-System erzeugt werden? Das geht über den Scope von operativer Umsetzung hinaus und ist am Ende eine Führungsentscheidung.

Den Kontext dazu liefert unter anderem Kate Kellogg, ihres Zeichens Professorin am MIT Sloan, die in einer Studie zu Agentic-AI-Projekten folgende Beobachtungen machte: Bei einem KI-Projekt im klinischen Bereich entfielen 80 Prozent des Aufwands nicht etwa auf die Technologieimplementierung, sondern auf Stakeholder-Alignment, Governance und Workflow-Integration [3]. Um wieder auf die Aufgabenverteilung zurückzukommen: Die erforderlichen Nutzungsrichtlinien zu definieren, Verantwortungsstrukturen aufzubauen und Akzeptanz in der Organisation zu schaffen, sind keine IT-Aufgaben, sondern Führungsaufgaben.

Wo liegen die blinden Flecken der Unternehmensführung?

Wenn KI-Governance eine Führungsaufgabe ist, wie wird sie dann im Unternehmen umgesetzt? Hier kann es zu einem strukturellen blinden Fleck in der Aufgabenwahrnehmung kommen.

Um strategische KI-Entscheidungen treffen zu können, muss die Unternehmensführung dazu befähigt werden. Nicht durch technisches Detailwissen, sondern durch Entscheidungskompetenz: Wer KI-Governance verantworten soll, muss einordnen können, was KI-Systeme leisten können, wo ihre Grenzen liegen und welche Risiken mit ihrem Einsatz verbunden sind. Im Idealfall sollte die Unternehmensführung selbst Erfahrung in der Nutzung von KI-Systemen mitbringen, um die Tragweite ihrer Entscheidungen einschätzen zu können.

In der Praxis werden KI-bezogene Entscheidungen im Mittelstand oft bei einer Person konzentriert, häufig bei der Geschäftsführung selbst. Das ist zunächst naheliegend. Aber es wirft eine Frage auf: Hat diese Person das vollständige Bild? Weiß sie, welche KI-Systeme wo im Einsatz sind? Kennt sie die Grenzen der eingesetzten Systeme? Sieht sie, wo Mitarbeitende KI-Tools nutzen, ohne dass dies dokumentiert ist?

Hier entsteht eine Dualität, die typisch für den Mittelstand ist. Die eigene Arbeitsweise wird als pragmatisch und funktionierend wahrgenommen. Entscheidungen werden schnell getroffen, das Unternehmen läuft. Von außen betrachtet, etwa durch Kunden, Geschäftspartner oder bei einer Due-Diligence-Prüfung, kann dieselbe Herangehensweise als fehlende Governance wahrgenommen werden. Das sind zwei Seiten einer Medaille: Es funktioniert operativ, aber es fehlt die dokumentierte und dokumentierende Struktur, die das Funktionieren auch nachweisbar und übertragbar macht und damit einen verbindlichen Rahmen bildet.

Dazu kommt: Die Hemmnisse beim KI-Einsatz sind vielfältig und betreffen nicht nur die Technik. Eine Bitkom-Studie aus dem Jahr 2025 zeigt ein dementsprechend differenziertes Bild. 53 Prozent der befragten Unternehmen nennen die Verunsicherung durch rechtliche Hürden und damit verbundene Unklarheiten als größtes Hemmnis. Gleichauf liegen mit 53 Prozent fehlendes technisches Know-how. 51 Prozent beklagen fehlende personelle Ressourcen, 48 Prozent die hohen Anforderungen an den Datenschutz, und 38 Prozent die mangelnde Nachvollziehbarkeit der KI-Ergebnisse [4]. Das sind keine rein technischen Probleme mehr. Es sind Herausforderungen, die strategische Entscheidungen, Priorisierung und Ressourcenallokation erfordern. Und das rückt sie in die Verantwortungssphäre der Geschäftsführung.

Wie weit muss KI-Governance reichen?

KI-Governance betrifft nicht nur die offensichtlichen KI-Tools, die ein Unternehmen beschafft und einsetzt. Tatsächlich reicht sie oftmals viel weiter. Beispielsweise bis in die Systeme von Dienstleistern, SaaS-Anbietern und Zulieferern. Die Frage ist: Wer trägt die Verantwortung für die Auswirkungen mit, wenn ein HR-System, ein CRM oder eine Buchhaltungssoftware, die im Unternehmen verwendet wird, KI-Funktionen einsetzt?

Wenn KI-Entscheidungen im Namen des Unternehmens getroffen werden, dann bleiben es Entscheidungen des Unternehmens. Unabhängig davon, ob die Technologie intern oder extern betrieben wird. [KI-Entscheidungen im Unternehmen: Warum der Mensch die letzte Instanz bleiben muss]

Wenn öffentlich wird, dass ein Unternehmen KI-gestützte Entscheidungen trifft, die sich als fehlerhaft, diskriminierend oder auf andere Weise unethisch herausstellen, entsteht der Reputationsschaden unmittelbar. Kunden, Bewerber und Geschäftspartner sind bereits sensibilisiert.

Das illustriert der Fall Workday, bei dem offensichtlich wird, wie schnell sich ein solches Risiko konkretisieren kann. Das US-Unternehmen bietet eine KI-gestützte Bewerber-Screening-Software an, die von zahlreichen Unternehmen genutzt wird. Ein Bewerber, der über 100 Bewerbungen eingereicht hatte und jedes Mal abgelehnt wurde, teils innerhalb von Minuten, klagte wegen systematischer Altersdiskriminierung. Im Mai 2025 ließ ein US-Gericht die Klage als landesweite Sammelklage zu [5]. Die Unternehmen, die Workday nutzten, gingen davon aus, der Anbieter würde die Compliance sicherstellen. Das Gericht prüft nun, ob Workday als „Agent“ des Arbeitgebers agiert, was bedeuten würde, dass der Anbieter und die Unternehmen gemeinsam haften könnten.

Auch wenn dieser Fall im US-Rechtssystem zu verorten ist, bleibt die Grundsatzfrage gleich: Wer überwacht die KI‑Ergebnisse? Wer stellt sicher, dass die Entscheidungen konform mit dem eigenen ethischen Anspruch getroffen werden? Die Verantwortung dafür kann nicht delegiert werden.