Das Wichtigste in Kürze
- Eine Governance für KI-Agenten beginnt mit einem Überblick über eingesetzte Systeme, Anbieter, Datenflüsse und parallele Experimente.
- Zuständigkeiten sollten Zweck, Datenzugriff, fachliche Qualität, Sicherheit und laufenden Betrieb abdecken.
- Prüfungen und Freigaben richten sich nach der Aufgabe und den möglichen Folgen eines Fehlers.
- Menschliche Kontrolle ist besonders wichtig, wenn ein Agent Entscheidungen vorbereitet oder Schritte mit Folgen für Kunden, Beschäftigte oder Geschäftsvorgänge auslöst.
- Eine Richtlinie hilft erst dann im Alltag, wenn sie konkrete Arbeitsschritte und Verantwortliche benennt.
Worum es geht
KI-Governance beschreibt, wie ein Unternehmen den Einsatz von KI-Agenten steuert. Dazu gehören Regeln für Auswahl, Entwicklung, Freigabe, Nutzung und Überprüfung. Es geht nicht darum, jede Anwendung mit denselben Hürden zu versehen. Entscheidend ist, dass die Kontrollen zur Aufgabe und zu den möglichen Auswirkungen passen.
Ein Agent kann zum Beispiel Informationen aus internen Dokumenten suchen, einen Vorgang vorbereiten oder Inhalte für eine Person zusammenstellen. Je nachdem, auf welche Daten er zugreift und ob seine Ergebnisse nur Vorschläge sind oder weitere Schritte auslösen, braucht es andere Rechte und Prüfungen. Die zentrale Frage lautet deshalb nicht nur: „Welches System nutzen wir?“, sondern auch: „Wer trägt wofür Verantwortung?“
Typische Ausgangslage
Stellen Sie sich ein Unternehmen vor, in dem ein Team einen Agenten für die Suche in internen Unterlagen erprobt, während ein anderes eine Anwendung zur Vorbereitung von Kundenantworten testet. Gleichzeitig werden Angebote verschiedener Anbieter geprüft. Die Beteiligten wissen jeweils, was sie selbst ausprobieren. Eine gemeinsame Übersicht über Systeme, Datenzugriffe und Verantwortliche fehlt jedoch.
Damit wird es schwer, Fragen im Betrieb zügig zu beantworten: Welche Informationen kann der Agent sehen? Wer prüft die Ergebnisse? An wen geht ein Fehler? Und wer entscheidet, ob ein Versuch beendet oder ausgeweitet wird? Ein Inventar macht bestehende Agenten, Anbieter, Datenflüsse und parallele Experimente sichtbar. Es ist damit eine praktische Grundlage für Entscheidungen, nicht bloß eine Liste für die Ablage.
So gehen Sie vor
-
Einsatzfälle und Systeme erfassen. Halten Sie fest, wofür ein Agent gedacht ist, wer ihn nutzt, welcher Anbieter beteiligt ist und ob es sich um einen Test oder einen laufenden Einsatz handelt. Erfassen Sie auch informelle Experimente, soweit sie im Unternehmen bekannt sind.
-
Aufgabe und mögliche Folgen beschreiben. Legen Sie fest, ob der Agent Informationen sortiert, Vorschläge macht oder Handlungen vorbereitet. Fragen Sie, was passieren könnte, wenn eine Antwort falsch, unvollständig oder verspätet ist. Diese Einschätzung bestimmt, wie genau geprüft und kontrolliert werden sollte.
-
Datenflüsse und Zugriffe klären. Dokumentieren Sie, welche Informationen in den Agenten gelangen, woher sie stammen und wer darauf zugreifen kann. Prüfen Sie, ob der Datenzugriff für die Aufgabe erforderlich ist und ob vertrauliche oder personenbezogene Informationen betroffen sein können. Datenschutzfragen müssen im Einzelfall geprüft werden; eine allgemeine Governance ersetzt keine rechtliche Prüfung.
-
Verantwortliche benennen. Eine fachlich verantwortliche Person sollte den Zweck und die Qualität der Ergebnisse beurteilen können. Daneben braucht es geklärte Zuständigkeiten für technische Einrichtung, Sicherheit und Betrieb. In kleineren Unternehmen kann eine Person mehrere Aufgaben übernehmen. Wichtig ist, dass die Rollen ausdrücklich vereinbart sind.
-
Risikogerechte Prüfschritte festlegen. Verknüpfen Sie fachliche, datenschutzbezogene, sicherheitsbezogene und betriebliche Prüfungen mit dem vorhandenen Freigabeprozess. Ein interner Test mit begrenztem Datenzugriff kann andere Prüfschritte benötigen als ein Agent, dessen Ergebnisse in Kundenkommunikation einfließen.
-
Freigaben und menschliche Kontrolle bestimmen. Legen Sie fest, wer einen Agenten für den jeweiligen Zweck freigibt und welche Ausgaben vor einer Weiterverwendung geprüft werden. Wo Fehler teuer werden können, sollte ein Mensch die Entscheidung oder den nächsten Schritt bestätigen. Beschreiben Sie auch, wie ein Einsatz pausiert oder beendet wird.
-
Regelmäßig überprüfen und nachhalten. Prüfen Sie, ob Zweck, Datenzugriff und Ergebnisse noch zur ursprünglichen Freigabe passen. Halten Sie Reviews und offene Maßnahmen fest und ordnen Sie ihnen verantwortliche Personen zu. Ändern sich Aufgabe, Daten oder Anbieter, kann eine erneute Bewertung erforderlich sein.
Entscheidungskriterien und typische Fehler
Wie umfangreich die Prüfung sein sollte, hängt unter anderem von der Aufgabe, der Art der Daten, den Zugriffsrechten und den möglichen Folgen eines Fehlers ab. Auch die Frage, ob ein Agent nur unterstützt oder selbst Aktionen auslösen darf, ist wichtig. Prüfen Sie daher nicht nur das Modell oder den Anbieter, sondern den gesamten Ablauf, in den der Agent eingebunden wird.
Häufige Fehler sind ein Inventar, das nach der Ersterfassung nicht mehr gepflegt wird, und eine allgemeine Richtlinie ohne konkrete Zuständigkeiten. Ebenso problematisch ist es, Freigaben einmalig zu erteilen, obwohl sich Aufgabe oder Datenzugriff ändern. Eine zusätzliche Schwierigkeit entsteht, wenn technische Einstellungen und fachliche Verantwortung getrennt betrachtet werden: Ein technisch korrekt eingerichteter Agent kann trotzdem für den vorgesehenen Prozess ungeeignet sein.
Grenzen und Risiken
Governance kann Fehler nicht ausschließen. Agenten können unvollständige oder falsche Ergebnisse liefern, Anweisungen missverstehen oder Informationen anders verarbeiten als erwartet. Anbieter, technische Komponenten und betriebliche Abläufe können sich verändern. Deshalb gehören begrenzte Zugriffsrechte, nachvollziehbare Kontrollen und ein klarer Umgang mit Auffälligkeiten zusammen.
Auch eine dokumentierte Freigabe ist keine Garantie dafür, dass ein Einsatz dauerhaft angemessen bleibt. Die Anforderungen an Datenschutz und KI-Recht, einschließlich DSGVO und EU AI Act, hängen vom konkreten Anwendungsfall ab. Dieser Beitrag bietet keine Rechtsberatung. Lassen Sie rechtliche Fragen im Einzelfall prüfen und beziehen Sie die zuständigen Fachpersonen ein.
Woran Sie den Nutzen erkennen
Die Governance sollte nicht an der Länge einer Richtlinie gemessen werden. Aussagekräftiger ist, ob Verantwortliche die eingesetzten Agenten und ihre Datenflüsse nachvollziehen können, ob vorgesehene Reviews fristgerecht stattfinden und ob daraus abgeleitete Maßnahmen erledigt werden.
Ergänzend können Sie prüfen, ob Freigaben dokumentiert sind, ob Änderungen an Zweck oder Zugriff erkannt werden und ob Mitarbeitende wissen, wie sie Fehler melden. So wird sichtbar, ob die Regeln den Betrieb unterstützen oder nur auf dem Papier bestehen.
Häufige Fragen
Muss jeder KI-Agent denselben Freigabeprozess durchlaufen?
Nicht zwingend. Die Prüfschritte sollten zur Aufgabe, zum Datenzugriff und zu den möglichen Folgen eines Fehlers passen. Ein einheitlicher Grundablauf kann helfen, während einzelne Prüfungen je nach Einsatz ergänzt werden.
Wer sollte für einen Agenten verantwortlich sein?
Mindestens sollte klar sein, wer den fachlichen Zweck und die Ergebnisqualität verantwortet. Zusätzlich müssen Zuständigkeiten für Datenzugriff, Sicherheit und Betrieb geklärt sein. Die konkrete Aufteilung richtet sich nach den vorhandenen Rollen im Unternehmen.
Wann ist eine menschliche Freigabe sinnvoll?
Wenn ein Ergebnis wichtige Entscheidungen beeinflusst, nach außen kommuniziert wird oder weitere Schritte mit spürbaren Folgen auslöst, sollte festgelegt werden, ob eine Person es vorab prüft. Umfang und Zeitpunkt der Kontrolle hängen vom jeweiligen Prozess ab.
Wie starten wir, wenn bereits mehrere Tests laufen?
Erfassen Sie zunächst die bekannten Agenten, Anbieter, Zwecke, Datenzugriffe und verantwortlichen Personen. Klären Sie anschließend, welche Tests weiterlaufen dürfen, welche zusätzlichen Prüfungen nötig sind und wer offene Punkte bearbeitet. So entsteht aus einzelnen Experimenten ein nachvollziehbarer Entscheidungsprozess.