Kurz zusammengefasst
- Governance verbindet Geschäftsziele, Recht, Sicherheit, Technik und Fachverantwortung.
- Der Aufwand sollte sich nach Wirkung und Risiko des Anwendungsfalls richten.
- Inventar, klare Rollen und überprüfbare Freigaben bilden die operative Grundlage.
- Governance endet nicht beim Start, sondern umfasst Änderungen, Vorfälle und Abschaltung.
Governance macht Entscheidungen wiederholbar
Ohne gemeinsamen Prozess beurteilt jedes Team Anbieter, Daten und Risiken anders. Gute Governance legt deshalb fest, welche Informationen vor einer Entscheidung vorliegen müssen, wer sie beurteilt und welche Nachweise später erhalten bleiben.
- Welche Ziele und Grenzen gelten für KI im Unternehmen?
- Welche Anwendungsfälle brauchen welche Prüftiefe?
- Wer trägt fachliche, technische und betriebliche Verantwortung?
- Wer darf freigeben, einschränken oder stoppen?
- Wie werden Wirkung, Fehler und Änderungen beobachtet?
Nicht jede KI braucht denselben Prozess
Ein Schreibassistent für öffentliche Marketingtexte hat andere Folgen als eine Anwendung, die Bewerbungen priorisiert oder Zahlungen auslöst. Ein risikobasierter Prozess hält einfache Fälle leicht und verlangt bei höherer Wirkung zusätzliche Prüfung und Aufsicht.
- Schritt 1
Einordnen
Zweck, Nutzer, Daten, betroffene Personen und mögliche Folgen beschreiben.
- Schritt 2
Prüftiefe bestimmen
Nach Risiko, Neuheit, Reichweite und Reversibilität passende Kontrollen wählen.
- Schritt 3
Belege verlangen
Tests, Datenfluss, Verantwortlichkeiten und Betriebsplan dokumentieren.
- Schritt 4
Entscheiden
Freigabe, Bedingungen, Pilot, Nacharbeit oder Stopp nachvollziehbar festhalten.
Drei interne Risikostufen machen die Prüftiefe konkret
Eine praxistaugliche interne Einstufung übersetzt abstraktes Risiko in einen klaren Prüfweg. Sie wird für den konkreten Anwendungsfall vergeben und bei Änderungen neu beurteilt; ein Werkzeug kann deshalb je nach Daten, Nutzern und Wirkung in unterschiedliche Stufen fallen.
Diese interne Unternehmensstufe ist weder eine Risikoklasse des EU AI Act noch das Ergebnis eines DSFA-Screenings nach Schweizer Datenschutzrecht. Alle drei Einordnungen beantworten andere Fragen und müssen, wenn sie relevant sind, separat dokumentiert werden.
- Standard – kurzer Freigabeweg
- Öffentliche oder unkritische interne Daten, keine Entscheidungen über Personen und keine selbstständigen Aktionen. Erforderlich sind mindestens Inventareintrag, freigegebenes Werkzeug, Zweck, verantwortliche Person und ein kurzer Qualitäts- und Datencheck.
- Erhöht – erweiterte Fachprüfung
- Vertrauliche oder personenbezogene Daten, externe Kommunikation, wichtige Empfehlungen, neue Integrationen oder begrenzte Systemaktionen. Zusätzlich werden Datenfluss, Datenschutz und Sicherheit, repräsentative Tests, menschliche Kontrolle, Betrieb und Freigabebedingungen geprüft.
- Kritisch – formelle Entscheidung
- Erhebliche Folgen für Menschen, besonders schützenswerte Daten in grossem Umfang, weitreichende autonome Aktionen, sicherheitskritische Prozesse oder schwer reversible Schäden. Nötig sind vertiefte Rechts-, Risiko- und Architekturprüfung, dokumentierte Leitungsgenehmigung, strenge Grenzen, laufendes Monitoring und ein getesteter Stop- und Vorfallplan.
Der ganze Lebenszyklus gehört in den Blick
Viele Risiken entstehen erst durch neue Datenquellen, Modellwechsel oder eine Ausweitung auf weitere Nutzer. Governance benötigt daher klare Kontrollpunkte von der Idee bis zur Stilllegung.
- Idee und Use-Case-Bewertung
- Beschaffung, Anbieter- und Architekturprüfung
- Pilot mit Messkriterien und begrenztem Umfang
- Produktionsfreigabe mit Betrieb und Verantwortlichen
- Überwachung, Änderungen und erneute Bewertung
- Abschaltung, Export und nachweisbare Löschung
Ein schlankes Governance-System beginnt mit fünf Bausteinen
Auch ein kleines Unternehmen kann wirksam steuern, ohne ein grosses Programm aufzubauen. Entscheidend sind sichtbare Zuständigkeiten und wenige konsequent gepflegte Artefakte.
- Ein aktuelles Inventar aller eingesetzten und getesteten KI-Systeme
- Eine verständliche AI Policy für Mitarbeitende
- Ein abgestufter Bewertungs- und Freigabeprozess
- Benannte fachliche, technische, Datenschutz- und Betriebsrollen
- Ein Verfahren für Monitoring, Vorfälle, Änderungen und Ausstieg
Beispiel: Zwei Wege statt eines Prüfungsmarathons
ALESO führt für einen Kunden einen Schnellweg für risikoarme Standardwerkzeuge und einen erweiterten Weg für Anwendungen mit vertraulichen Daten, Personenbezug oder Aktionen ein. Beide starten mit demselben kurzen Eintrag im AI-Inventar. Nur der erweiterte Weg verlangt zusätzliche Datenschutz-, Sicherheits- und Fachprüfungen. So bleibt Governance verhältnismässig und dennoch nachvollziehbar.
Was Sie mitnehmen sollten
Beginnen Sie mit Inventar, Risikostufen, Rollen, einer klaren Freigabe und einem Betriebscheck. Ein kleines konsequent genutztes System ist wertvoller als ein umfangreiches Regelwerk ohne Alltagspraxis.
Quellen und Vertiefung
Diese Primärquellen vertiefen Definitionen, technische Grundlagen oder verantwortlichen Einsatz.
Inhaltlich geprüft
Stand: 17. Juli 2026. Allgemeine Einordnung, keine Rechtsberatung. Die konkrete Rechtslage und der anwendbare Geltungsbereich sind für den jeweiligen Einsatz zu prüfen.