AI-Governance und AI Act: Was Sie wissen müssen

Künstliche Intelligenz ist mittlerweile fester Bestandteil der Geschäftsprozesse italienischer Unternehmen. Teams wie Marketing, HR, Operations und Cybersecurity haben die experimentelle Phase längst hinter sich gelassen und die Technologie in ihren Arbeitsalltag integriert.

Die fortschrittlichsten generativen KI-Tools unterstützen heute effizient Aufgaben wie die Erstellung von Inhalten und den Kundenservice, prädiktive Modelle steuern Entscheidungen, und Algorithmen zur Bedrohungserkennung stärken die Sicherheit. Da die KI-Einführung in sehr vielen Organisationen bereits im Gange ist, stellt sich mit derselben Dringlichkeit die Frage ihrer Governance.

Warum die AI Governance mit dem AI Act dringend geworden ist

Vor diesem Hintergrund treten der europäische AI Act und das italienische Gesetz 132/2025 in Kraft und verschieben den Fokus von der technologischen Einführung hin zum strukturierten Management der künstlichen Intelligenz. Risikoklassifizierung, Transparenz, Nachvollziehbarkeit und menschliche Aufsicht werden zu konkreten Anforderungen, mit einem Sanktionsregime, das ab dem 2. August 2026 vollständig wirksam wird.

So wird deutlich, wie die AI Governance im Unternehmen zu dem Weg wird, über den die Organisation künstliche Intelligenz „an Bord“ ihrer Entscheidungs- und Kontrollsysteme holt, und schafft damit eine Verbindung zwischen KI, Corporate Governance, Risikomanagement und IT-Sicherheit.

Dieser Artikel erklärt, was AI Governance ist, warum sie für italienische Unternehmen mit der Einführung des AI Act dringend geworden ist, welche Verantwortlichkeiten sie für Board, CISO, CIO und DPO mit sich bringt, und welche ersten strategischen Schritte eine Organisation in Betracht ziehen kann, um die von ihr genutzte künstliche Intelligenz strukturiert zu steuern.

Was ist AI Governance für italienische Unternehmen?

AI Governance ist die Gesamtheit von Richtlinien, Prozessen, Rollen und Kontrollen, mit denen ein Unternehmen die Entwicklung, Einführung und Überwachung seiner KI-Systeme steuert. Sie legt fest, wer entscheidet, wer kontrolliert und wer für die Entscheidungen rund um die KI verantwortlich ist.

Konkret legt sie die Mechanismen fest, die sichere, in ihren Auswirkungen faire und in ihrer Funktionsweise nachvollziehbare Systeme gewährleisten, die im Einklang mit den Grundrechten der betroffenen Personen sowie mit den geltenden Vorschriften und den ethischen Grundsätzen der Organisation stehen.

Für ein strukturiertes Unternehmen bedeutet das, die AI Governance mit der Verantwortung des Boards und den bereits bestehenden internen Kontrollsystemen zu verknüpfen, etwa Risikomanagement, Compliance-Funktion und Cybersecurity. Die Integration mit Data Governance und IT-Governance ist zentral, und genau hier wird die Rolle von CIO und CISO entscheidend.

Von der Erprobung zur Governance: warum KI in die Entscheidungssysteme einzieht

Das Thema wird relevant, sobald KI kein Pilotprojekt mehr ist und beginnt, Kernprozesse wie Pricing, Kreditvergabe, Personalauswahl oder operatives Management zu beeinflussen. Ab diesem Punkt wirken sich automatisierte Entscheidungen direkt auf die Ergebnisse und Risiken des Unternehmens aus.

Viele Projekte entstehen als experimentelle Initiativen einzelner Teams, mit Innovationszielen statt Kontrollzielen. Sobald diese Systeme beginnen, Entscheidungen zu beeinflussen, die Kunden, Mitarbeitende oder Lieferanten betreffen, setzt das Fehlen eines AI-Governance-Frameworks das Unternehmen automatisierten Entscheidungen aus, die sich der Kontrolle von Management und Kontrollfunktionen entziehen, wodurch es schwierig wird, sie mit den Grundsätzen der Corporate Governance und dem akzeptierten Risikoniveau in Einklang zu bringen.

AI Governance, Data Governance und IT-Governance: wie sie zusammenwirken

AI Governance stellt sich neben Data Governance und IT-Governance und fügt eine eigene Kontrollebene für KI-Systeme und die daraus resultierenden Entscheidungen hinzu. In der Praxis teilen sich die drei Komponenten wie folgt auf:

Data Governance: stellt sicher, dass die von KI-Systemen genutzten Daten korrekt, nachvollziehbar und konform verwaltet werden, und bildet damit die Grundlage der Data Governance für KI.
IT-Governance (unter Einbindung von Cybersecurity und CISO): stellt sicher, dass Infrastrukturen und technologische Integrationen sicher und unter Kontrolle sind.
AI Governance: koordiniert die beiden Ebenen mit den strategischen Entscheidungen von Board und Top-Management und schafft so eine einheitliche Perspektive auf die Governance der KI.

Der praktische Unterschied liegt in der Verantwortungskette: Eine technologische Entscheidung zur KI wirkt sich auf Datenqualität, Sicherheit, Compliance und letztlich auf Geschäftsentscheidungen aus. Ein wirksames AI-Governance-Modell macht diese Verbindungen explizit und ermöglicht es CISO und CIO, sie „an Bord“ der Entscheidungssysteme zu holen.

Warum die AI Governance mit dem AI Act und den italienischen Vorschriften dringend geworden ist

Der AI Act und das Gesetz 132/2025 machen die Strukturierung der AI Governance dringend, da sie überprüfbare Pflichten einführen, unter anderem zu:

Klassifizierung der Systeme nach Risikostufe;
Transparenz und Dokumentation;
Nachvollziehbarkeit automatisierter Entscheidungen;
menschliche Aufsicht;
Management von KI-Technologieanbietern.

Ab dem 2. August 2026 wird der Großteil der Regeln des AI Act anwendbar, und das entsprechende Sanktionsregime tritt für Unternehmen, die KI-Systeme nutzen, in Kraft, mit spezifischen Ausnahmen für einige Pflichten bei Hochrisikosystemen.

In Italien ergänzt das Gesetz 132/2025 die europäische Verordnung durch eine nationale Regelung, die die Agentur für digitales Italien (AgID) und die Nationale Cybersicherheitsbehörde (ACN) als zuständige Behörden benennt – zuständig jeweils für die Förderung und Verwaltung des Meldesystems sowie für die Aufsicht über die Systemsicherheit samt entsprechender Sanktionsbefugnis –, während die Zuständigkeiten der italienischen Datenschutzbehörde (Garante Privacy) für personenbezogene Daten unberührt bleiben.

Die spezifischen Pflichten für Hochrisikosysteme wurden kürzlich auf 2027 und 2028 verschoben: eine Anpassung, die nur einen Teil des Gesamtzeitplans betrifft, nicht das gesamte Regelwerk. Transparenz und Sanktionen bleiben ab dem 2. August 2026 wirksam.

Die Nichteinhaltung dieser Pflichten zieht Verantwortlichkeiten nach sich, auch zivil- und strafrechtlicher Art, die Board, Management, Kontrollfunktionen und technische Teams treffen.

AI Act: was er in Bezug auf Governance und Verantwortung bedeutet

Mehr als ein detaillierter Rechtsleitfaden, verlangt der AI Act von Unternehmen, genau zu wissen, welche KI-Systeme sie einsetzen, wie sie diese nach Risikostufe eingeordnet haben und wer dafür verantwortlich ist. Das übersetzt sich in formale Prozesse für Freigabe, Überwachung und Überprüfung, etwa Onboarding- und Offboarding-Richtlinien für jedes neue Tool, aktuelle Register und regelmäßige Audits.

Die Verantwortlichkeiten verteilen sich auf mehrere Ebenen:

Board: strategische Entscheidungen und akzeptierter Risikorahmen.
Operative Manager: Verantwortung für die Umsetzung.
Kontrollfunktionen (Risk, Compliance, DPO, CISO): kontinuierliche Aufsicht.

Italienische Unternehmen zwischen Dringlichkeit und Unsicherheit: was passiert, wenn die Governance fehlt

Fehlt die Governance der KI, riskiert das Unternehmen, Systeme zu haben, die Entscheidungen treffen, die nicht mit den eigenen Werten und der eigenen Strategie übereinstimmen, ohne dass dies jemand bemerkt, bis der Schaden bereits sichtbar ist. Zu den konkretesten Szenarien zählen:

unentdeckte Verzerrungen (Bias) und Diskriminierung bei der Personalauswahl, der Kreditvergabe oder der Preisgestaltung;
Verletzungen von Datenschutz und Sicherheit aufgrund unsachgemäßer Datennutzung oder unkontrollierter Integrationen;
Schwierigkeiten, die Konformität bei Inspektionen oder Vorfällen nachzuweisen.

Diese Szenarien führen zu reputativen, rechtlichen und operativen Risiken, die direkt auf Board sowie CISO/CIO zurückfallen.

AI Governance als Pfeiler von Risiko, Compliance und Corporate Governance

Die AI Governance fügt sich in die bereits bestehende Governance-Struktur des Unternehmens ein. Sie bezieht den Verwaltungsrat und die Bereiche für Advisory zu Governance, Risk & Compliance mit ein und stützt sich zudem auf die bereits aktiven internen Kontrollrahmen für Risikomanagement, Compliance, Audit und Cybersecurity.

Gerade deshalb bedeutet ihre Einbindung in die Corporate Governance, die Steuerung der künstlichen Intelligenz nicht länger als isoliertes Thema der IT oder der Innovation zu behandeln. Die von KI-Systemen getroffenen Entscheidungen erzeugen nämlich Risiken, die zu den bereits von der Organisation verwalteten hinzukommen, und wenn diese auf die technischen Teams beschränkt bleiben, werden sie nicht kohärent mit dem übrigen Risikoportfolio des Unternehmens gesteuert.

Die Verbindung zur Cybersecurity ist besonders wichtig: KI-Systeme vergrößern die Angriffsfläche des Unternehmens durch neue Datenflüsse, neue Integrationen und neue Anbieter. Ein Risikomanagement, das KI neben der IT-Sicherheit berücksichtigt, bietet dem Board ein kohärenteres Bild der gesamten Risikolage.

Rollen und Verantwortlichkeiten: wer sich im Unternehmen um AI Governance kümmern muss

AI Governance funktioniert, wenn die bereits im Unternehmen bestehenden Rollen sich mit klaren Verantwortlichkeiten koordinieren:

Board und Top-Management: Strategie und akzeptabler Risikorahmen.
IT, Digital und CISO: technologische Entscheidungen, Sicherheit, Systemintegration.
Risk & Compliance: Richtlinien, Kontrollen, kontinuierliches Monitoring.
DPO, gemeinsam mit dem CISO: Auswirkungen auf personenbezogene Daten und Vorfallmanagement.

Was dieses Modell wirksam macht, ist eine explizite Verantwortungs- und Entscheidungskette mit definierten Eskalationswegen für den Fall, dass ein KI-System ein Risiko oder einen Vorfall verursacht.

Strategische Entscheidungen: wo die AI Governance wirklich wirkt

Die AI Governance wirkt sich auf Entscheidungen aus, die in den Zuständigkeitsbereich von Board und Management fallen, in Abstimmung mit den technischen Teams und den Innovationsteams:

Auswahl der Anbieter von KI-Lösungen: bewertet nach Risiko, Transparenz, Fähigkeit zur Unterstützung der Compliance und technischer Sicherheit.
Gestaltung von Prozessen mit automatisierten Entscheidungen: mit expliziter Festlegung des erforderlichen Grads menschlicher Aufsicht.
Bewertung des Return on Investment: unter Berücksichtigung, neben den wirtschaftlichen Vorteilen, der Compliance-Kosten und der Kosten eines möglichen Vorfalls.

Was sind die Pfeiler eines AI-Governance-Modells?

Ein AI-Governance-Framework stützt sich auf fünf Bereiche, die zusammenwirken – eher als gedankliche Landkarte für Manager denn als Abfolge von Pflichten:

Strategie und Policy: Grundsätze für den verantwortungsvollen Einsatz von KI, erlaubte und ausgeschlossene Anwendungsbereiche, Übereinstimmung mit Unternehmenswerten und Vorschriften: Dies ist die Grundlage des Corporate-Governance-Modells für KI, in dem das Board den akzeptablen Risikorahmen festlegt.
Organisation und Rollen: wer entscheidet, wer kontrolliert, wer umsetzt, wobei Überschneidungen oder Verantwortungslücken vermieden werden.
Risk & Compliance: Inventar der genutzten KI-Lösungen, Risikobewertung, Kontrollen und regelmäßige Audits. Dies ist das Herzstück von AI Governance und Compliance, in dem die Pflichten des AI Act in konkrete Kontrollprozesse übersetzt werden.
Data & Model Governance: Datenqualität, Sicherheit, Datenschutz, Validierung und kontinuierliches Monitoring, Management von Anbietern und Integrationen: Hier verzahnt sich die Data Governance für KI mit der IT-Sicherheit und den Entscheidungen des CISO.
Schulung und Kultur: KI-Kompetenz und Risikobewusstsein für einen verantwortungsvollen Einsatz durch die Teams, im Einklang mit den Schulungspflichten des AI Act und des Gesetzes 132/2025.

Diese fünf Pfeiler bieten Managern eine Landkarte, um zu verstehen, wo zuerst angesetzt werden sollte – abhängig vom Risikoprofil der eigenen Organisation und vom Reifegrad der eigenen AI Governance.

Was kann ein italienischer Manager heute tun, um nicht unvorbereitet zu sein?

Ein Manager – ob IT Manager, CISO, DPO oder CEO – kann mit wenigen übergeordneten Maßnahmen beginnen, die AI Governance im Unternehmen aufzubauen, ohne abzuwarten, bis sämtliche regulatorischen Details feststehen:

die wichtigsten bereits genutzten oder in Prüfung befindlichen KI-Lösungen erfassen, samt zugehörigen Anwendungsfällen und Anbietern, und so ein Inventar aufbauen, das zur Grundlage des AI-Governance-Modells wird;
intern festlegen, wer das Thema bereichsübergreifend koordinieren kann, unter Einbindung von IT, Risk, Compliance, DPO und CISO, um der AI Governance operative Substanz zu verleihen, statt sie auf abstrakte Dokumente zu beschränken;
einige klare Grundsätze für den verantwortungsvollen Einsatz von KI festlegen, die der gesamten Organisation kommuniziert werden, im Einklang mit den vom AI Act eingeführten Anforderungen an AI Governance und Compliance;
die Berührungspunkte zwischen dem Einsatz von KI und den bereits abgedeckten Vorschriften prüfen, insbesondere DSGVO und NIS2, zusammen mit den bestehenden Sicherheitsrichtlinien, und die Data Governance für KI in die Verwaltung personenbezogener Daten und Sicherheitsprotokolle integrieren;
einen kontinuierlichen Weiterbildungsweg etablieren, der die regulatorische Entwicklung und den Austausch mit Branchenexperten berücksichtigt, einschließlich spezifischer KI-Schulungsprogramme für die am stärksten betroffenen Teams.

Für Unternehmen, die bereits eine strukturierte Sicherheitslage aufgebaut haben, stellen ein gezieltes Assessment zum KI-Einsatz oder Programme zur Cybersecurity Awareness, die auf die Teams ausgeweitet werden, die diese Tools nutzen, einen natürlichen nächsten Schritt dar – zu bewerten, sobald die ersten Elemente der internen AI Governance bereits stehen.

AI Governance: von der Dringlichkeit zur strategischen Chance

AI Governance betrifft den reifen und strategischen Umgang mit einer Technologie, die in die Kernprozesse des Unternehmens eingezogen ist, einschließlich Sicherheit und Risikomanagement. Sie geht über die formale Anpassung an den AI Act und das Gesetz 132/2025 hinaus und wird Teil der Corporate Governance, mit der sich die Organisation selbst steuert.

Unternehmen, die als Erste damit beginnen, ihre AI Governance zu strukturieren, bauen sich einen Wettbewerbsvorteil auf, der auf dem Vertrauen von Kunden und Partnern beruht, verringern operative und rechtliche Risiken und gewinnen die Fähigkeit, KI-Lösungen kontrolliert zu skalieren.

Manager sind heute gefordert zu prüfen, ob ihre Organisation über eine klare, gemeinsam getragene und strukturierte AI Governance verfügt, die den Einsatz künstlicher Intelligenz in den Kernprozessen verantwortungsvoll und konform steuern kann.