Kennen Sie das? Ein KI-Projekt startet mit Begeisterung. Die ersten Demos überzeugen die Geschäftsleitung. Dann kommen die Fragen aus der Rechtsabteilung. Oder der Datenschutzbeauftragte meldet sich. Und plötzlich stockt alles.
Für viele Unternehmen ist Governance das, was aus einem spannenden Digitalisierungsprojekt eine Pflichtübung macht. Etwas, das irgendwann erledigt werden muss, aber bitte erst, wenn das Wesentliche schon steht.
Ich halte das für das teuerste Missverständnis in der Digitalisierung. Nicht weil Compliance-Regeln so spannend wären. Sondern weil der Moment, an dem Sie Governance nachzurüsten versuchen, fast immer zu spät ist.
Das Problem: Governance als Nachgedanke
Ein Unternehmen aus der verarbeitenden Industrie führt ein neues ERP-System ein. Acht Monate Projektlaufzeit, erhebliches Budget, ein ambitioniertes Team. Kurz vor dem Go-live stellen sie fest: Ihre Lieferantendaten sind in drei verschiedenen Systemen unterschiedlich strukturiert. Das eingesetzte Analyse-Modul braucht laut EU AI Act eine Risikoklassifizierung. Und niemand hat festgelegt, wer welche Daten sehen darf.
Das Projekt liegt still. Nicht weil die Technologie versagt hat. Sondern weil die Architektur nie gestellt wurde.
Lernen, was zählt. Verlernen, was bremst.
Und dann gibt es eine zweite Variante dieses Problems, subtiler, aber genauso teuer.
Manche Unternehmen haben Governance. Nur ist sie für eine andere Zeit geschrieben. Richtlinien aus dem Jahr 2018, die den Begriff «KI» noch gar nicht kennen. Freigabeprozesse, die für einen Markt entworfen wurden, der sich quartalsweise änderte, nicht wöchentlich. Datenschutzkonzepte, die auf dem Papier lückenlos sind und in der Realität niemand mehr liest.
Das Regelwerk existiert. Aber es ist nicht mit dem Innovationspfad gewachsen.
Was folgt daraus? Oft eine stille Praxis: Man hält die alten Regeln formal aufrecht und umgeht sie operativ. Scheinkonformität. Alles dokumentiert, nichts wirklich gültig.
In dieser Situation ist das Hinzufügen neuer Regeln das kleinere Problem. Das grössere ist das Loslassen alter. Prozesse, die einmal sinnvoll waren und heute Aufwand ohne Schutzwirkung erzeugen. Freigabeschleifen, die zu langsam sind für das Tempo der KI-Einführung. Sicherheitskonzepte, die sich noch auf On-Premises-Infrastruktur beziehen, während das Unternehmen längst in der Cloud arbeitet.
Governance, die nicht mitlernt, verhindert Lernen. Das ist der eigentliche Bremsklotz, und er sieht auf den ersten Blick nicht wie einer aus.
Die pragmatische Lösung: Governance als Architekturentscheid
Was, wenn Governance nicht das Letzte wäre, das Sie in ein Projekt einbauen, sondern das Erste?
Think-First bedeutet: bevor eine Technologie ausgewählt wird, bevor ein Anbieter beauftragt wird, klären wir die Architektur. Und das schliesst ein: was heute gilt, was überholt werden muss, und was neu entschieden werden soll.
Zielbild vor Tool-Auswahl. Welche Daten brauchen Sie wofür? Wer entscheidet was? Welche Systeme müssen miteinander sprechen, und welche nicht?
Bestehende Richtlinien aktiv auf Relevanz prüfen. Nicht alles, was einmal beschlossen wurde, ist heute noch schützenswert. Was nicht mehr zur Realität passt, gehört angepasst, nicht stillschweigend ignoriert.
Risikoklassifizierung früh einplanen. Der EU AI Act verlangt das ohnehin. Wer frühzeitig klassifiziert, hat keinen Mehraufwand. Wer es nachzieht, hat ein teures Problem.
Richtlinien beschreiben, was bereits gelebt wird. Die besten Governance-Dokumente entstehen im Dialog, nicht am Schreibtisch. Sie halten fest, wie das Unternehmen tatsächlich arbeitet, nicht wie es idealerweise arbeiten sollte.
Konkret: ein Beispiel aus der Praxis
Ein Logistikunternehmen aus der Deutschschweiz will KI für die Tourenplanung einsetzen. Bevor ein System evaluiert wird, klären wir: Welche Daten werden verarbeitet? Wer darf auf Fahrerdaten zugreifen? Was passiert bei einem Systemausfall? Und: Welche bestehenden Datenschutzregeln beschreiben noch die richtige Realität, welche nicht mehr?
Das dauert zwei Workshops. Danach hat das Unternehmen nicht nur eine Entscheidungsgrundlage für die Tool-Auswahl. Es hat gleichzeitig die Grundlage für die EU-AI-Act-Konformität, für das interne Rollout, und ein Governance-Dokument, das die Mitarbeitenden auch wirklich verwenden.
Keine teuren Nacharbeiten kurz vor dem Go-live. EU AI Act, ISO 27001 und DSGVO werden Teil der Architektur, nicht nachträgliche Pflicht. Veraltete Richtlinien werden sichtbar, bevor sie zum Projektstopp werden. Das Team weiss, was es darf, und kann entsprechend handeln.
Fazit
Governance ist nicht das, was Ihr Projekt bremst. Es ist das, was Ihr Projekt flugfähig macht.
Aber nur dann, wenn Sie bereit sind, es so zu behandeln: als Architekturentscheid, nicht als Dokumentationsaufgabe. Und manchmal bedeutet das auch, altes Regelwerk loszulassen, das seinen Dienst getan hat.
Lernen, was zählt. Verlernen, was bremst.
*(AI generated)*