Compliance
Vom AI Act zur AI Governance: Was Unternehmen ab Herbst 2026 operationalisieren müssen
Der 2. August 2026 markiert für viele Unternehmen einen Wendepunkt. Mit der weitgehenden Anwendbarkeit des europäischen AI Act verschiebt sich der Schwerpunkt von der regulatorischen Vorbereitung zur operativen Umsetzung von AI Governance.
Die gute Nachricht: Die meisten größeren Unternehmen müssen dafür nicht bei null anfangen.
Datenschutzorganisation, Informationssicherheitsmanagement, Compliance, Risikomanagement, Einkauf, Vertragsmanagement, HR und interne Revision sind in der Regel längst etabliert. Vielfach existieren zudem bereits AI Policies, erste Freigabeprozesse und Schulungsangebote.
Die entscheidende Frage lautet deshalb nicht mehr:
„Haben wir AI Governance?“
Sondern:
„Sind unsere bestehenden Governance-Strukturen präzise genug erweitert und miteinander verbunden worden, um KI-Systeme tatsächlich über ihren gesamten Lebenszyklus zu steuern?“
Denn eine AI Policy allein ist noch kein AI-Governance-System.
Bestehende Datenschutzprozesse müssen um Trainings-, Prompt-, Input- und Outputdaten sowie RAG-Datenquellen und Modellzugriffe erweitert werden. Das ISMS muss neue Risiken wie Prompt Injection, Shadow AI, externe Modelle und zunehmend autonome AI Agents berücksichtigen. Aus klassischem Vendor Management wird zusätzlich Model- und Change-Governance. AI Literacy muss rollenbezogen organisiert und Human Oversight als tatsächliche Kontrollfunktion ausgestaltet werden.
Besonders anspruchsvoll sind dabei häufig nicht die einzelnen Compliance-Disziplinen, sondern ihre Schnittstellen:
Wer reagiert, wenn ein Provider das zugrunde liegende Modell austauscht? Wer löst eine erneute Risikoprüfung aus? Wann muss Datenschutz erneut eingebunden werden? Wer überwacht Änderungen bei externen Anbietern? Und wer trägt über den gesamten AI Lifecycle hinweg die Verantwortung?
AI Governance bedeutet deshalb ab Herbst 2026 vor allem:
Inventarisieren. Klassifizieren. Verantwortlichkeiten zuordnen. Kontrollen definieren. Änderungen überwachen. Nachweise schaffen.
Unternehmen mit etablierten Governance-Strukturen besitzen dafür einen erheblichen Vorteil. Sie müssen das Rad nicht neu erfinden.
Sie müssen allerdings sehr genau bestimmen, welche Speichen für KI bislang noch fehlen.
Der vollständige Beitrag als PDF
Im ausführlichen Beitrag zeige ich anhand der zentralen Unternehmensfunktionen, welche bestehenden Governance- und Compliance-Strukturen um welche AI-spezifischen Anforderungen erweitert werden sollten – von Datenschutz und Informationssicherheit über Risikomanagement und Vendor Management bis zu Human Oversight und interner Revision.
→ Vollständigen Beitrag „Vom AI Act zur AI Governance: Was Unternehmen ab Herbst 2026 operationalisieren müssen“ als PDF herunterladen
