KI-Governance im Mittelstand: drei Fragen statt eines Regelwerks

Governance klingt nach Konzernbürokratie. Im Mittelstand reichen am Anfang drei Fragen — aber die müssen beantwortet sein, bevor das System läuft.

Wenn ein KI-System im Betrieb arbeitet, muss festgelegt sein, was es darf. Nicht in einem 80-Seiten-Regelwerk. In drei Fragen.

Erstens: Was darf das System allein? Ein Angebots-Assistent darf Entwürfe bauen. Versenden darf er nicht. Diese Grenze ist keine Einstellung, die man später mal setzt — sie gehört in den Bau.

Zweitens: Wo gibt ein Mensch frei? Jede Stelle, an der etwas den Betrieb verlässt oder Geld kostet, braucht eine Freigabe. Das klingt selbstverständlich. Es ist der Punkt, der in vielen KI-Projekten fehlt.

Drittens: Woher kommt jede Antwort? Wenn das System sagt, die Störung lag am Ventil, muss nachvollziehbar sein, aus welchem Bericht das stammt. Antworten ohne Quelle sind Behauptungen.

Dazu ein Protokoll: was wurde erzeugt, was wurde freigegeben, von wem, wann. Nachträglich nicht änderbar — sonst ist es kein Protokoll. Das klingt technisch, ist aber am Ende eine Liste, die mitschreibt.

Warum das keine Bürokratie ist: Die drei Fragen beantwortet man einmal pro Use-Case, in einer Stunde. Und sie zahlen doppelt zurück. Nach innen als Vertrauen der Mitarbeiter — das System macht nichts heimlich. Nach außen, wenn Kunden oder Prüfer fragen, wie der Betrieb KI einsetzt. Dann liegt die Antwort schon da.

Wir arbeiten selbst so: Bei uns geht kein Text und keine Änderung raus, die nicht ein Mensch freigegeben hat. Nicht weil die Systeme schlecht wären — sondern weil Verantwortung nicht delegierbar ist.

Und auch hier gilt: klein anfangen. Governance für einen Use-Case, nicht für „KI im Unternehmen". Wächst das System, wächst sie mit. Teuer wird es nur, wenn man sie nachrüsten muss.