AI GOVERNANCE & AI COMPLIANCE

KI scheitert selten an Modellen.

Sie scheitert an Verantwortung.

Nicht spektakulär, sondern leise.

In schlecht definierten Zuständigkeiten.

In fehlender Dokumentation.

In Systemen, die funktionieren, aber niemandem gehören.

AI Governance ist deshalb kein Regelwerk.

Sie ist Architektur für Verantwortung.

WARUM DAS JETZT KEIN THEMA MEHR FÜR SPÄTER IST

Der EU AI Act wird ab August 2026 faktisch scharf geschaltet. Ja, ich weiß, dass die harte Lobbyarbeit der Big Tech Früchte getragen hat. Es gibt verlängerte Schonfristen (Stand: 2025-12-27 - 20:01).

Aber ab August wird es sehr ernst. Trotz gestaffelter Übergangsfristen – wie etwa für verbotene Praktiken (ab Februar 2025) oder GPAI-Modelle (ab August 2025) – greifen ab diesem Datum echte, rechtlich bindende Pflichten, deren Missachtung Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes nach sich ziehen kann. Diese neue Ära bringt eine echte persönliche Verantwortung für Entscheider:innen mit sich, da Führungskräfte (wie CEOs) im Rahmen der geforderten KI-Governance ausdrücklich für die Implementierung von Risikomanagementsystemen und die Einhaltung der Compliance-Strukturen verantwortlich gemacht werden.

Wer Compliance heute noch als optionalen Zusatz betrachtet, baut Systeme, die morgen weder genehmigungs- noch betriebsfähig sind, da Hochrisiko-KI-Anwendungen zwingend ein Konformitätsbewertungsverfahren durchlaufen und eine CE-Kennzeichnung erhalten müssen, bevor sie in Verkehr gebracht oder in Betrieb genommen werden dürfen

Ich arbeite seit 2023 in realen KI-Projekten unter genau diesen Bedingungen.

Nicht in Schulungen.

Nicht in Strategiepapieren ohne Anschluss.

Sondern in real Life.

MEIN VERSTÄNDNIS VON AI GOVERNANCE

AI Governance ist kein Kontrollapparat.

Und auch kein Ethik-Feigenblatt.

Sie beantwortet drei simple Fragen, die nur selten sauber gestellt werden:

Wer darf KI einsetzen?

Wofür genau?

Und wer trägt die Verantwortung, wenn es schiefgeht?

Alles andere folgt daraus.

Governance heißt für mich, regulatorische Anforderungen so in Prozesse, Architekturen und Entscheidungswege einzubauen, dass sie im Alltag wirksam sind. Und das Ganze möglichst minimalinvasiv.

Siehe auch mein Whitepaper dazu (mein Promotionsthema “Minimal Viable Compliance”):

Whitepaper herunterladen (PDF)

COMPLIANCE BY DESIGN STATT COMPLIANCE BY PANIK

Als Jurist sehe ich Paragraphen.

Als Informatiker sehe ich Systeme.

Als Architekt sehe ich die Bruchstellen dazwischen.

Der EU AI Act verlangt unter anderem:

• ein durchgängiges Risikomanagementsystem
• ein dokumentiertes Qualitätsmanagement
• klare Betreiberpflichten
• Grundrechte-Folgenabschätzungen bei Hochrisiko-Systemen
• laufendes Monitoring über den gesamten Lebenszyklus

Das liest sich abstrakt.

Bleibt es aber nur so lange, bis man es operationalisiert.

Genau das ist meine Arbeit.

MINIMUM VIABLE COMPLIANCE

Ich habe dafür einen eigenen Ansatz entwickelt: Minimum Viable Compliance.

Nicht als Ausrede.

Sondern als Gegenentwurf zu überdimensionierten Compliance-Monstern.

Die Idee ist einfach:

So viel Regulierung wie nötig.

So wenig Overhead wie möglich.

So früh wie sinnvoll.

MVC übersetzt regulatorische Pflichten in konkrete Artefakte, Rollen und Prozesse.

Anschlussfähig an reale Entwicklungs- und Entscheidungsabläufe.

Nicht perfekt.

Aber tragfähig.

Das Konzept ist Teil meiner laufenden wissenschaftlichen Arbeit und Grundlage meiner praktischen Projekte.

Whitepaper herunterladen (PDF)

GOVERNANCE IN DER PRAXIS

Ich habe unter anderem für eine große öffentliche Institution mit mehreren tausend Mitarbeitenden (Gesetzliche Unfallversicherung) eine KI-Strategie und Governance-Struktur mitentwickelt.

Ausgangspunkt war kein leeres Blatt, sondern ein bereits vorhandenes Kapitel zu Governance und Verantwortung.

Eine solide Grundlage.

Meine Aufgabe war es unter anderem, diese Struktur so zu schärfen, dass sie:

• die Anforderungen des EU AI Acts explizit adressiert
• klare Rollen über den gesamten KI-Lebenszyklus definiert
• Risiken früh sichtbar macht
• und für Nicht-Techniker verständlich bleibt

Dazu gehörten unter anderem:

• die Einbettung des Risikomanagements nach Artikel 9
• die Operationalisierung des Qualitätsmanagements nach Artikel 17
• klare Dokumentationspflichten entlang realer Use Cases
• die Abgrenzung zwischen unterstützender und automatisierter Entscheidungsfindung
• der Aufbau einer strukturierten Use Case Pipeline statt eines Ideenfriedhofs
• und die bewusste Förderung von KI-Literacy in der Organisation

Governance funktioniert nur, wenn Menschen verstehen, was sie tun.

Nicht, wenn sie Angst haben, etwas falsch zu machen.

USE CASES STATT KI-ZOO

Ein typisches Problem großer Organisationen ist nicht KI-Mangel, sondern KI-Überfluss.

Unstrukturierte Ideen.

Unklare Prioritäten.

Kein gemeinsames Bewertungsraster.

Ich etabliere deshalb systematische Use Case Prozesse:

• Ideen sammeln
• früh rechtlich und strategisch vorbewerten (High-Risk oder nicht ist die mit Riesenabstand wichtigste Weiche)
• wirtschaftlich priorisieren
• pilotieren
• erst dann skalieren
• und kontinuierlich überwachen

KI wird dadurch nicht langsamer.

Sondern zielgerichteter.

Und compliant zu sein, kann auch ein Riesenvorteil sein. Lesen Sie das hier und staunen Sie: https://www.sgs.com/en-it/news/2025/06/xayn-is-the-first-german-company-to-receive-iso-iec-42001-certification. Eine ISO/IEC‑42001-Zertifizierung ist im Grunde das öffentlich geprüfte Proof-of-Concept dafür, dass Ihre KI-Use-Cases nicht als bunter Ideen-Jungle, sondern als beherrschtes, risikobasiertes System laufen: saubere Governance, klar dokumentierte Risiken und Kontrollen, AI-Act-ready Strukturen und damit schnellere Konformitätsbewertungen, weniger Reibungsverluste mit Legal/Compliance und ein sehr sichtbares Vertrauenssignal für Enterprise- und Public-Sector-Kunden, die keinen Bock mehr auf „Move fast and break things“, sondern auf skalierbare, auditierbare KI-Landschaften haben.

Also, was meinen Sie: Lohnt sich das? Ich meine: Ja!

FÜR WEN DAS PASST

Meine Arbeit richtet sich an Organisationen,

• die KI ernsthaft einsetzen wollen
• die regulatorische Realität akzeptieren
• und die verstanden haben, dass Governance kein Innovationskiller ist, sondern ein Stabilitätsfaktor

Ich helfe dabei, KI-Systeme zu bauen und zu betreiben, die technisch funktionieren, rechtlich halten und organisatorisch verantwortbar bleiben.

Was bin ich nicht?

Ich bin kein Anbieter von Angstfolien.

Und erst recht keiner für Buzzword-Programme. Meine Website enthält bewusst kaum Grafiken, obwohl ich auch als Musiker unterwegs bin und dort alle Grafiken für unsere Songcover selbt gestalte. Ich beherrsche Adobe Photoshop und Illustrator seit 20 Jahren, ebenso Corel Draw und die KI-Kollegen: Midjourney und Googles Nachwuchstalent “Banana”.

Plain Text ist kein Verzicht, sondern eine Positionierung. In Zeiten von KI-Stockbildern, Midjourney-Tapeten und „Hero Sections“ mit bedeutungsschwangeren Gesichtern wirkt Text wie ein Skalpell.

KURZ GESAGT

AI Governance ist kein Zusatzmodul.

Sie ist Teil der Architektur.

Wer sie ignoriert, spart heute Zeit und zahlt morgen doppelt.

Wer sie sauber integriert, gewinnt Handlungsspielraum.

Wenn Sie jemanden suchen, der Ihnen sagt, was wirklich nötig ist und was Sie sich sparen können, dann lohnt sich ein Gespräch.