Governance ist kein Bremsklotz. Sie ist die Voraussetzung dafür, KI ernsthaft einzuführen, ohne sich rechtlich, finanziell oder bei der eigenen Belegschaft zu verbrennen. Wir bauen die Regeln, Rollen und Nachweise, mit denen Ihr Haus die Anforderungen aus AI Act und DSGVO nachvollziehbar erfüllen kann, gemeinsam mit Ihrem Datenschutzbeauftragten und Rechtspartnern. Governance is not a brake. It is the precondition for introducing AI seriously without getting burned legally, financially or with your own workforce. We build the rules, roles and records that make your company AI Act compliant and GDPR-safe.
KI-Governance ist die Summe der Regeln, Rollen und Nachweise, die festlegen, wie ein Unternehmen KI nutzt: was eingesetzt werden darf, wer entscheidet, wer haftet und wie das dokumentiert wird. Sie ist nicht das Ordnerregal, das nach einem Audit verstaubt, sondern der Rahmen, in dem KI im Tagesgeschäft sicher funktioniert. AI governance is the sum of the rules, roles and records that define how a company uses AI: what may be deployed, who decides, who is accountable and how that is documented. It is not the shelf of binders that gathers dust after an audit, but the framework in which AI works safely in day-to-day operations.
Im Mittelstand fehlt dieser Rahmen meist nicht aus Nachlässigkeit, sondern weil KI schneller eingezogen ist als die Struktur dahinter. Mitarbeitende nutzen Tools, bevor jemand entschieden hat, welche erlaubt sind. Governance holt diese Praxis ein, ohne sie abzuwürgen. In mid-sized companies this framework is usually missing not out of negligence, but because AI arrived faster than the structure behind it. Employees use tools before anyone has decided which are allowed. Governance catches up with that practice without strangling it.
Ein guter Chief AI Officer sagt öfter nein als ja. Governance ist das Werkzeug, mit dem dieses Nein nachvollziehbar wird: nicht als Bauchgefühl, sondern als dokumentierte Entscheidung, die vor Geschäftsführung, Betriebsrat und Aufsicht Bestand hat. A good Chief AI Officer says no more often than yes. Governance is the tool that makes this no traceable: not as a gut feeling, but as a documented decision that holds up before leadership, works council and supervisory authorities.
Der häufigste Einwand lautet: Governance kostet Tempo. Das Gegenteil ist der Fall. Fehlende Governance kostet Tempo, später und teurer. Diese vier Risiken fangen wir ab, bevor sie zum Problem werden. The most common objection is that governance costs speed. The opposite is true. Missing governance costs speed, later and more expensively. We catch these four risks before they become a problem.
Wenn eine KI-Anwendung eine falsche Entscheidung stützt und niemand die menschliche Aufsicht dokumentiert hat, steht die Geschäftsführung allein da. Governance legt vorher fest, wer prüft und wer verantwortet. Das ist kein Papier, das ist Schutz. If an AI application supports a wrong decision and no one has documented human oversight, leadership stands alone. Governance defines in advance who reviews and who is accountable. That is not paperwork, that is protection.
Private Accounts, in die Firmendaten fließen, sind ein DSGVO-Problem mit Ansage. Governance ersetzt das Verbot durch eine kontrollierte Alternative, die Mitarbeitende freiwillig nutzen.Private accounts fed with company data are a GDPR problem waiting to happen. Governance replaces the ban with a controlled alternative that employees use voluntarily.
Ohne Regeln kauft jede Abteilung ihre eigenen Tools. Governance bündelt, vergleicht und schafft eine bewusste Tool-Landschaft statt einer gewachsenen.Without rules, every department buys its own tools. Governance bundles, compares and creates a deliberate tool landscape instead of an accidental one.
KI-Einführung ohne frühe Einbindung des Betriebsrats wird operativ und juristisch teuer. Governance macht die Mitbestimmung zum Teil des Prozesses, nicht zum nachträglichen Konflikt.Introducing AI without early works council involvement becomes operationally and legally expensive. Governance makes co-determination part of the process, not a later conflict.
Eine belastbare KI-Governance besteht nicht aus einem Dokument, sondern aus sechs Bausteinen, die ineinandergreifen. Wir bauen sie auf, halten sie aktuell und verankern sie in Ihrer Geschäftsführung. A robust AI governance is not one document but six interlocking building blocks. We build them, keep them current and anchor them in your leadership.
Ein schriftliches Dokument: was Sie nutzen, was nicht, warum. Abgestimmt mit Geschäftsführung, Datenschutz und Betriebsrat. Die Grundlage für jede weitere Entscheidung.A written document: what you use, what you do not, why. Aligned with leadership, data protection and works council. The basis for every further decision.
Wer entscheidet über neue Anwendungen, wer prüft Risiken, wer hält die menschliche Aufsicht. Benannt, nicht implizit, bei Bedarf als schlankes KI-Governance-Board. Damit im Ernstfall klar ist, wer verantwortet.Who decides on new applications, who reviews risks, who holds human oversight. Named, not implied, as a lean AI governance board where needed. So that in an emergency it is clear who is accountable.
Jede Anwendung wird nach Risikoklasse eingeordnet. Verbotene Praktiken ausgeschlossen, Hochrisiko-Anwendungen mit dokumentierter Aufsicht, der Rest nach Transparenzpflichten geordnet.Every application is classified by risk level. Prohibited practices excluded, high-risk applications with documented oversight, the rest ordered by transparency obligations.
Wir prüfen je Anwendung, ob die Verarbeitung voraussichtlich ein hohes Risiko birgt und damit eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Wo ja, bereiten wir sie mit Ihrem Datenschutzbeauftragten vor. Das Verarbeitungsverzeichnis halten wir aktuell.For each application we check whether processing is likely to result in a high risk and therefore requires a data protection impact assessment under Art. 35 GDPR. Where it does, we prepare it with your data protection officer. We keep the processing register up to date.
Welche Anbieter, unter welchen Verträgen, mit welchen Datenflüssen. Keine Vendor-Locks, dokumentierte Schnittstellen, eine bewusste statt gewachsene Tool-Landschaft.Which vendors, under which contracts, with which data flows. No vendor lock-in, documented interfaces, a deliberate rather than accidental tool landscape.
Governance ist kein Zustand, sondern ein Rhythmus. Ein monatlicher Steuerungstermin hält die Position aktuell, sobald neue Tools, Risiken oder Regeln auftauchen.Governance is not a state but a rhythm. A monthly steering meeting keeps the position current whenever new tools, risks or rules appear.
Der EU AI Act ist kein Papiertiger und keine Panikquelle. Manche Pflichten gelten bereits, andere greifen gestaffelt: Hochrisiko-Pflichten nach der Änderung vom Juli 2026 ab Dezember 2027. Wir ordnen ein, was für Ihr Haus gilt, und bereiten die Umsetzung vor. Rechtliche Bewertungen stimmen wir mit Ihrem Datenschutzbeauftragten oder qualifizierten Rechtspartnern ab. The EU AI Act is neither a paper tiger nor a source of panic. Some obligations already apply, others phase in: after the July 2026 amendment, high-risk obligations apply from December 2027. We sort out what applies to your company and prepare implementation. Legal assessments are coordinated with your data protection officer or qualified legal partners.
Schon in Kraft.Already in force.
Wer KI einsetzt, muss Maßnahmen ergreifen, die die KI-Kompetenz der Mitarbeitenden fördern, passend zu Aufgabe, Vorwissen und Einsatzkontext. Ein bestimmtes Kompetenzniveau schreibt das Gesetz seit Juli 2026 nicht mehr vor. Ein dokumentiertes Schulungskonzept ist der sauberste Weg.Anyone deploying AI must take measures that support their staff’s AI literacy, suited to role, prior knowledge and context of use. Since July 2026 the law no longer prescribes a specific level. A documented training concept is the cleanest route.
Pro Anwendung.Per application.
Jede Anwendung gehört einer Risikoklasse zu. Hochrisiko bedeutet strenge Pflichten, verbotene Praktiken sind tabu. Die Einordnung sollte vorliegen, bevor produktiv geschaltet wird.Every application belongs to a risk class. High-risk means strict obligations, prohibited practices are off limits. The classification should exist before going live.
Bei Hochrisiko, ab Dezember 2027.For high-risk, from December 2027.
Hochrisiko-Anwendungen brauchen künftig dokumentierte menschliche Aufsicht. Es muss klar sein, wer Ergebnisse prüft und eingreifen kann, bevor eine Entscheidung wirksam wird.High-risk applications will need documented human oversight. It must be clear who checks results and can intervene before a decision takes effect.
Parallel zum AI Act.Alongside the AI Act.
Wo KI personenbezogene Daten verarbeitet, gehört die Verarbeitung ins Verzeichnis. Eine Folgenabschätzung ist Pflicht, wenn voraussichtlich ein hohes Risiko besteht. Beides muss auf Anfrage vorlegbar sein.Where AI processes personal data, the processing belongs in the register. An impact assessment is mandatory where a high risk is likely. Both must be producible on request.
Am Ende einer Governance-Begleitung liegt kein Foliensatz vor, sondern ein gelebter Rahmen mit nachweisbarem Output. Das bekommen Sie konkret. At the end of a governance engagement there is no slide deck, but a lived framework with demonstrable output. This is what you concretely get.
Mit Datenschutz abgestimmt, vom Betriebsrat zur Kenntnis genommen. Die Grundlage für jede KI-Entscheidung.Aligned with data protection, acknowledged by the works council. The basis for every AI decision.
Jede Anwendung erfasst und nach Risikoklasse eingeordnet, Maßnahmen zur KI-Kompetenz nach Artikel 4 dokumentiert.Every application recorded and classified by risk level, AI literacy measures under Article 4 documented.
Inventur der tatsächlichen Nutzung, freigegebener Tool-Katalog, klarer Weg für neue Anfragen. Offizielle Tools, weil sie die besseren sind.An inventory of actual use, an approved tool catalogue, a clear route for new requests. Official tools, because they are the better ones.
Verarbeitungsverzeichnis gepflegt, Folgenabschätzung wo erforderlich, auf Anfrage vorlegbar.Processing register maintained, impact assessment where required, producible on request.
Monatliche Steuerung hält die Governance aktuell, sobald neue Tools oder Regeln auftauchen.Monthly steering keeps governance current whenever new tools or rules appear.
Ihr Führungskreis kann Risiken einschätzen und Entscheidungen treffen. Auch ohne uns im Raum.Your leadership can assess risks and take decisions. Even without us in the room.
Ja. Artikel 4 verpflichtet jedes Unternehmen, das KI einsetzt, zu Maßnahmen, die die KI-Kompetenz der Mitarbeitenden fördern, unabhängig von der Größe. Transparenzpflichten nach Artikel 50 gelten seit August 2026 für bestimmte Einsatzfälle, Hochrisiko-Pflichten ab Dezember 2027. Wer bis dahin wartet, hat den günstigen Zeitpunkt verpasst.Yes. Article 4 requires every company deploying AI to take measures supporting its staff’s AI literacy, regardless of size. Transparency duties under Article 50 apply to specific use cases since August 2026, high-risk obligations from December 2027. Whoever waits until then has missed the cheap moment.
Nein. Fehlende Governance bremst, später und teurer, etwa wenn der Betriebsrat blockiert oder eine Anwendung wegen Datenschutzmängeln gestoppt werden muss. Governance schafft die Klarheit, in der KI überhaupt erst tragfähig läuft.No. Missing governance slows you down, later and more expensively, for instance when the works council blocks or an application must be stopped over data protection flaws. Governance creates the clarity in which AI runs durably in the first place.
Eine Richtlinie ist ein Baustein, nicht der Rahmen. Ohne benannte Rollen, dokumentierte Risikoklassifizierung und einen Steuerungsrhythmus bleibt sie ein Dokument, das niemand lebt. Governance ist die Verbindung dieser Teile, nicht eines davon.A policy is one building block, not the framework. Without named roles, documented risk classification and a steering rhythm, it remains a document no one lives by. Governance is the connection of these parts, not one of them.
Die Verantwortung bleibt beim Unternehmen, konkret bei der Geschäftsführung. Governance reduziert das Risiko, indem sie dokumentiert, wer welche Anwendung geprüft und freigegeben hat. Ohne diese Dokumentation steht die Geschäftsführung im Ernstfall ohne Nachweis da.Responsibility stays with the company, specifically with leadership. Governance reduces the risk by documenting who reviewed and approved which application. Without that documentation, leadership stands without proof in an emergency.
Eine erste belastbare KI-Position und eine Klassifizierung der bestehenden Anwendungen stehen in der Regel innerhalb weniger Wochen. Governance ist danach kein Projekt mit Enddatum, sondern ein laufender Steuerungsrhythmus, der mit Ihren Anwendungen mitwächst.A first robust AI position and a classification of existing applications are usually in place within a few weeks. After that, governance is not a project with an end date but an ongoing steering rhythm that grows with your applications.
Nicht als eigenes Gremium mit Satzung. Im Mittelstand reicht meist ein kleiner Kreis aus Geschäftsführung, IT, Datenschutz und einer Vertretung der Fachbereiche, der neue Anwendungen freigibt und Risiken bewertet, in festem Rhythmus. Wichtig ist, dass Zuständigkeit und Entscheidungsweg schriftlich festliegen.Not as a separate body with its own charter. In a mid-sized company, a small circle of leadership, IT, data protection and a business representative usually suffices: it approves new applications and assesses risks on a fixed rhythm. What matters is that responsibility and the decision path are written down.
Ja, mit eigenen Schwerpunkten: Vergaberecht bei der Auswahl von Tools, besondere Vertraulichkeit von Verwaltungsdaten, frühe Beteiligung des Personalrats und eine klare Linie für die Behördenleitung. Die Bausteine sind dieselben: Richtlinie, Rollen, KI-Register, Maßnahmen zur KI-Kompetenz und Freigabewege.Yes, with their own emphases: procurement law when selecting tools, the particular confidentiality of administrative data, early involvement of the staff council and a clear line for agency leadership. The building blocks are the same: policy, roles, AI register, AI literacy measures and approval paths.
Wir nehmen eine begrenzte Zahl Begleitungen pro Jahr an. Ein erstes Gespräch ist immer unverbindlich und kostenfrei.We accept a limited number of engagements per year. A first conversation is always non-binding and free of charge.