Warum KI-Verantwortung nicht vollständig delegiert werden kann

Viele Unternehmen behandeln KI wie eine IT-Beschaffungsentscheidung. Die Fachabteilung meldet Bedarf an, die IT bewertet Lösungen, ein Anbieter wird ausgewählt, das System geht in Betrieb. Die Geschäftsleitung nickt ab, und damit gilt die Angelegenheit als erledigt.

Dieses Vorgehen kann bei KI zu kurz greifen, wenn Fachbereich, IT, Einkauf, Datenschutz oder Recht unterschiedliche Aspekte des Einsatzes beurteilen müssen. Aufgaben lassen sich verteilen und externe Expertise kann eingebunden werden. Das Unternehmen sollte aber festlegen, wer den Anwendungszweck, die Kontrollen und den Umgang mit Risiken verantwortet. Welche gesetzlichen Pflichten gelten, hängt von System, Rolle und Einsatz ab.

Der Unterschied zwischen Umsetzung und Verantwortung

Es gibt eine klare Trennung, die in der Praxis häufig verwischt wird: die Grenze zwischen technischer Umsetzung und strategischer Verantwortung.

Die IT-Abteilung kann ein KI-System einführen, betreiben und warten. Sie kann Schnittstellen konfigurieren, Sicherheitsstandards einhalten und technische Fehler beheben. Das ist ihr legitimer Zuständigkeitsbereich.

Technische Expertise allein beantwortet nicht, welcher Anwendungszweck fachlich sinnvoll ist, welche Auswirkungen akzeptabel sind oder welche Kontrollen erforderlich sind. Diese Fragen brauchen Beiträge der betroffenen Fachbereiche und zuständigen Funktionen. Die Geschäftsleitung legt dafür Zuständigkeiten, Entscheidungsbefugnisse und Eskalationswege fest; die operative Verantwortung kann bei dafür benannten Rollen liegen.

Diese Fragen verbinden Technik, Fachpraxis und Unternehmenssteuerung. Entscheidungen sollten von den dafür zuständigen Rollen getroffen und bei Bedarf an die Leitung eskaliert werden.

Warum vollständige Delegation riskant ist

Unklare Zuständigkeiten können entstehen, wenn KI als rein technische Beschaffung behandelt wird oder interne Rollen nicht festgelegt sind. Ein pragmatischer Governance-Ansatz benennt deshalb die beteiligten Rollen und die Grenzen ihrer Entscheidungsbefugnisse.

Bei folgenreichen Anwendungen sollte geklärt sein, wer Ergebnisse prüft, wer Entscheidungen freigibt und wie Betroffene Rückfragen oder Beschwerden einreichen können. Die rechtliche Zurechnung lässt sich nicht pauschal festlegen: Der AI Act enthält je nach Rolle eigene Pflichten für Anbieter und Betreiber; daneben können etwa Datenschutz-, Arbeits- und Zivilrecht greifen.

Konkret bedeutet das:

Pflichten hängen von Rolle und Rechtsgebiet ab. Der AI Act verteilt Pflichten unter anderem auf Anbieter und Betreiber von Hochrisiko-KI-Systemen. Für Betreiber nennt Artikel 26 beispielsweise angemessene technische und organisatorische Maßnahmen, Nutzung gemäß Gebrauchsanweisung sowie menschliche Aufsicht. Wer im Einzelfall haftet, richtet sich zusätzlich nach den jeweils anwendbaren Vorschriften und dem Sachverhalt. AI Act, insbesondere Artikel 16 und 26

Regulatorische Anforderungen unterscheiden sich nach Rolle und System. Der AI Act enthält Pflichten für Anbieter und Betreiber; besondere Betreiberpflichten knüpfen unter anderem an Hochrisiko-KI an. Artikel 4 verpflichtet Anbieter und Betreiber außerdem, nach besten Kräften ein ausreichendes Maß an KI-Kompetenz beim zuständigen Personal sicherzustellen. Die interne Zuordnung konkreter Aufgaben ist Sache der Organisation. AI Act, Artikel 4 und 26

Unklare Ziele erschweren eine fundierte Entscheidung. Geschäftsziele und fachliche Anforderungen sollten vor und während der Umsetzung mit den zuständigen Beteiligten geklärt werden. NIST empfiehlt, Verantwortlichkeiten und Kommunikationswege festzulegen; sein AI RMF ist ein freiwilliger Rahmen, keine Rechtsvorschrift. NIST AI RMF, Govern

Typische Missverständnisse über KI-Verantwortung

„Wir haben einen Anbieter, der für das System verantwortlich ist."
Anbieter und Betreiber können unterschiedliche gesetzliche Pflichten haben; Vertrag, Systemrolle und konkrete Verwendung sind zu prüfen. Der AI Act legt beispielsweise Betreiberpflichten für Hochrisiko-Systeme fest. Daraus folgt keine pauschale Aussage, dass Anbieter für jede Frage außerhalb der Technologie und Betreiber für sämtliche Folgen verantwortlich wären.

„Unsere IT-Leitung kennt sich gut mit KI aus."
Technisches Wissen hilft bei der Bewertung, ersetzt aber nicht die fachliche, rechtliche und organisatorische Prüfung. Die Organisation sollte festhalten, welche Rolle über Einsatz und Bedingungen entscheidet und welche Expertise dazu erforderlich ist.

„KI-Governance ist ein Thema für große Konzerne."
Governance kann schlank ausgestaltet werden. Umfang und Formalisierung sollten zu Risiken, Rechtslage und Ressourcen passen. Auch ein kleiner Betrieb sollte prüfen, ob Zuständigkeiten für relevante KI-Anwendungen geklärt sind; dieselbe Organisationsform ist für Unternehmen unterschiedlicher Größe nicht automatisch passend.

„Wir setzen KI nur im Kleinen ein – das braucht keine besondere Aufmerksamkeit."
Die technische Größe allein beschreibt das Risiko nicht ausreichend. Einsatzbereich, betroffene Personen, Daten, Folgen von Fehlern und geltende Einstufungen sind ebenfalls relevant. Ein Chatbot kann falsche Informationen ausgeben; welche Kontrollen angemessen und vorgeschrieben sind, muss für den konkreten Einsatz geprüft werden.

Entscheidungs-, Risiko- und Haftungsebene strukturiert betrachten

Für die interne Klärung kann es helfen, drei Aufgabengruppen zu unterscheiden:

Entscheidungsebene: Wer legt innerhalb der Organisation fest, ob und wie KI in einem bestimmten Bereich eingesetzt wird? Wer definiert Anforderungen und Grenzen? Die Zuständigkeit richtet sich nach interner Organisation und Tragweite der Entscheidung.

Umsetzungsebene: Wer wählt Systeme aus, integriert sie und betreibt sie? Wer überwacht die technische Funktionsfähigkeit? Diese Ebene liegt in der IT oder bei beauftragten Partnern.

Risiko- und Vorfallmanagement: Wer überwacht die Nutzung, meldet Auffälligkeiten und entscheidet über Korrekturen oder eine Pause? Die Organisation sollte diese Aufgaben zuordnen. Gesetzliche Pflichten können je nach Rolle auch konkrete Melde-, Überwachungs- oder Aussetzungspflichten enthalten.

Wenn die Zuständigkeiten unklar sind, können Einsatzentscheidungen, Kontrollen und Reaktionen auf Vorfälle auseinanderfallen. NIST empfiehlt dokumentierte Rollen, Kommunikationswege und regelmäßige Überprüfung; welche Ausgestaltung angemessen ist, hängt von Kontext und Ressourcen ab. NIST AI RMF, Govern

Warum KI-Governance mehrere Funktionen einbezieht

IT-Teams bringen technisches Wissen und Betriebserfahrung ein. Fachbereiche kennen den Prozesskontext; Datenschutz, Informationssicherheit, Recht, Einkauf und Leitung können je nach Einsatz weitere Prüfaufgaben haben. Die passende Beteiligung sollte ausdrücklich festgelegt werden.

Eine einzelne Funktion deckt nicht zwangsläufig alle relevanten Perspektiven ab. Daher sollte ein Unternehmen fachliche, technische und rechtliche Prüfschritte passend zum konkreten System kombinieren, statt Aufgaben ohne ausreichende Befugnisse oder Informationen zuzuweisen.

Governance bedeutet in diesem Kontext:

• Es gibt benannte Rollen und Entscheidungsbefugnisse für KI-bezogene Aufgaben; wichtige Risiken können an die Leitung eskaliert werden.
• Es gibt definierte Kriterien, nach denen bewertet wird, ob ein KI-Einsatz sinnvoll ist.
• Es gibt klare Eskalationswege, wenn Systeme unerwartete Ergebnisse liefern.
• Es gibt ein Grundverständnis auf Führungsebene darüber, was die eingesetzten Systeme tun.

Der NIST AI RMF empfiehlt solche Rollen- und Kommunikationsstrukturen als Teil eines freiwilligen Risikomanagement-Rahmens. Umfang und Form können an Organisation und Einsatz angepasst werden. NIST AI RMF

Konkrete Empfehlungen für Führungskräfte

1. Klären Sie, wer für KI-Entscheidungen zuständig ist.
Halten Sie fest, wer über Einführung und Einsatz entscheidet, welche Fachstellen beteiligt werden und wer bei Problemen informiert wird. Die Antwort kann je nach Anwendungsfall unterschiedlich ausfallen.

2. Verstehen Sie die Einsatzbereiche Ihrer KI-Systeme.
Sie müssen keine technischen Details kennen. Sie sollten aber wissen, welche Entscheidungen Ihre KI-Systeme beeinflussen, welche Daten dabei verarbeitet werden, und was passiert, wenn das System einen Fehler macht.

3. Prüfen Sie Ihre Verträge mit Anbietern.
Was garantiert der Anbieter? Was nicht? Wer trägt die Verantwortung, wenn das System fehlerhaft arbeitet? Diese Fragen sollten geklärt sein, bevor ein System produktiv eingesetzt wird.

4. Schaffen Sie interne Klarheit über Anforderungen.
Welche datenschutzrechtlichen Anforderungen gelten für Ihren Anwendungsfall? Welche regulatorischen Vorgaben sind relevant? Wer im Unternehmen hat das überprüft?

5. Definieren Sie, was Governance in Ihrem Unternehmen bedeutet.
Halten Sie Rollen, Entscheidungsbefugnisse und Eskalationswege so fest, dass die Beteiligten sie im Arbeitsalltag anwenden können. Umfang und Formalisierung sollten zum Einsatz passen.

Wie Entscheidungs-, Betriebs- und Eskalationsaufgaben im Unternehmen zusammenwirken, erläutert auch der Beitrag KI-Verantwortung im Unternehmen strukturieren.

KI-Governance sollte zur Größe, zu den Ressourcen und vor allem zum jeweiligen Einsatz passen. Eine belastbare Klärung benennt Entscheidungskompetenzen, operative Aufgaben, Kontrollen und Eskalationswege. Die Frage der Haftung muss für den konkreten Sachverhalt und die einschlägigen Rechtsgebiete geprüft werden; sie lässt sich nicht durch ein allgemeines Organisationsschema beantworten.