← Zurück zu den Publikationen

Working Paper LR-WP-2026-01

KI-Governance im Mittelstand: Rollen, Risiken und Implementierungspfade

Lucien André Reuter

EONAR GmbH 29. Januar 2026 Version 1.0

Nicht peer-reviewtes Working Paper. Der Beitrag verbindet geprüfte EONAR-Fachbeiträge mit regulatorischen und standardisierungsnahen Quellen zu einem zitierfähigen Konzeptpapier.

Volltext als PDF öffnen

Abstract

Sobald KI im Mittelstand über einzelne Pilotprojekte hinauswächst, stellen sich Fragen, die kein Werkzeug beantwortet: Wer gibt einen Anwendungsfall frei, wer verantwortet die zugrunde liegenden Daten, und wie wird menschliche Aufsicht praktisch sichergestellt? Der Beitrag übersetzt dafür die risikobasierte Logik des EU AI Act, die Funktionen des NIST AI Risk Management Framework, die Anforderungen aus ISO/IEC 42001 und die Werteprinzipien der OECD in eine Rollen- und Umsetzungslogik, die auch ohne eigene Governance-Abteilung tragfähig bleibt. Der Rahmen gliedert sich in sechs Dimensionen: Use-Case-Inventar, Risikoklassifizierung, Daten- und Modellverantwortung, Rollen und Entscheidungsrechte, Betriebs- und Monitoringprozesse sowie Kompetenz- und Akzeptanzsicherung. Die Kontrolldichte richtet sich nach dem Risiko des einzelnen Anwendungsfalls, nicht nach der Technologie insgesamt. Leitend ist daher nicht die Frage, welches Werkzeug am meisten verspricht, sondern welcher Anwendungsfall verantwortet werden kann. Der Beitrag erhebt keine Primärdaten und ersetzt keine Rechtsberatung.

1. Ausgangslage

KI-Projekte beginnen im Mittelstand häufig mit Werkzeugtests, Pilotprompts oder isolierten Automatisierungen. Diese Experimente sind wertvoll, erzeugen aber noch keine belastbare organisatorische Fähigkeit. Eine KI-Anwendung wird erst dann steuerbar, wenn nachvollziehbar ist, welche Daten genutzt werden, welche Entscheidung das System vorbereitet, wer die fachliche Verantwortung trägt und welche Risiken für Kunden, Mitarbeitende und Geschäftsprozesse entstehen.

2. KI-Governance als Entscheidungsarchitektur

Governance sollte nicht als Kontrollschicht nach dem Projekt verstanden werden, sondern als Architektur für Entscheidungen. Im Kern stehen vier Fragen: Welche KI-Anwendungsfälle sind strategisch relevant? Welche Datenqualität ist für den jeweiligen Zweck notwendig? Welche menschliche Prüfung bleibt erforderlich? Und welche Nachweise braucht die Organisation, um Entscheidungen später erklären zu können?

Für KMU ist ein schlankes Modell ausreichend, wenn es konsequent angewendet wird. Empfehlenswert ist eine Einteilung in niedrige, mittlere und hohe Risikostufen. Niedrige Risiken betreffen etwa interne Textentwürfe oder Wissenssuche. Mittlere Risiken entstehen bei Prozessentscheidungen mit Kunden- oder Personaldaten. Hohe Risiken betreffen automatisierte Entscheidungen mit erheblichen Folgen und brauchen gesonderte Prüfung.

3. Rollen und Verantwortlichkeiten

Eine tragfähige KI-Governance trennt fachliche, technische und organisatorische Verantwortung. Die Fachverantwortung beschreibt Zweck, Nutzen und Grenzen eines Anwendungsfalls. Die Datenverantwortung klärt Datenherkunft, Qualität, Zugriffsrechte und Löschlogik. Die technische Verantwortung bewertet Anbieter, Schnittstellen, Protokollierung und Sicherheitsanforderungen. Die Managementverantwortung priorisiert Ressourcen, entscheidet Stop-Go-Punkte und sorgt für Schulung.

Gerade im Mittelstand muss diese Rollenlogik nicht zu neuen Abteilungen führen. Oft reicht ein interdisziplinäres KI-Board mit klaren Entscheidungsvorlagen. Entscheidend ist, dass niemand KI-Anwendungen produktiv setzt, ohne Zweck, Datenbasis, Freigabe und Monitoring zu dokumentieren.

4. Implementierungspfad

Ein umsetzbarer Pfad beginnt mit einer Anwendungsfall-Landkarte. Dabei werden Potenziale nicht nur nach Effizienz, sondern auch nach Risiko, Datenreife und Akzeptanz bewertet. Anschließend werden Pilotvorhaben ausgewählt, für die ein messbarer Zielzustand existiert. Erst danach folgen Toolauswahl, technische Integration und Schulung.

  • Use-Case-Register mit Zweck, Datenbasis, Nutzenhypothese und Risikostufe.
  • Freigabeprozess für produktive KI-Anwendungen.
  • Dokumentierte Prompt-, Daten- und Modellgrenzen.
  • Regelmäßige Wirksamkeitsprüfung mit fachlichen Kennzahlen.

5. Limitationen

Der Report ist konzeptionell und ersetzt keine Rechtsberatung, Datenschutzprüfung oder technische Sicherheitsanalyse. Er beschreibt einen pragmatischen Ordnungsrahmen für Organisationen, die KI nicht punktuell testen, sondern verantwortbar in Prozesse integrieren wollen.

References

  1. European Parliament and Council. (2024). Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
  2. National Institute of Standards and Technology. (2023). Artificial Intelligence Risk Management Framework (AI RMF 1.0). NIST. https://doi.org/10.6028/NIST.AI.100-1
  3. National Institute of Standards and Technology. (2024). Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile. NIST. https://doi.org/10.6028/NIST.AI.600-1
  4. ISO/IEC. (2023). ISO/IEC 42001:2023 Information technology - Artificial intelligence - Management system.
  5. OECD. (2024). OECD AI Principles overview.
  6. Reuter, L. A. (2025). Wie man einen AI Agent baut - Schritt für Schritt erklärt. EONAR GmbH.
  7. Müller, K. M., & Grzeszkowiak, J.-L. (2025). Lernen mit Künstlicher Intelligenz: Chancen, Herausforderungen und Gestaltungsperspektiven. EONAR GmbH.