Wie baue ich als Mittelständler KI‑Governance auf, ohne eigene große Rechtsabteilung?

Warum keine große Rechtsabteilung nötig ist

KI‑Governance ist in erster Linie eine Frage der Prozessdisziplin, nicht des juristischen Gutachtens. Die entscheidende Arbeit besteht darin, den Überblick über den eigenen KI-Einsatz herzustellen, Anwendungen nach ihrem Risiko einzuordnen und die getroffenen Entscheidungen nachvollziehbar zu dokumentieren. Diese Arbeit ist organisatorischer Natur und im Mittelstand mit vorhandenen Rollen leistbar.

Ein interner Verantwortlicher ist im Mittelstand bereits vorhanden, weil Verantwortung für den KI-Einsatz nicht auslagerbar ist. Häufig ist das die Datenschutzbeauftragte, die IT-Leitung oder eine benannte Governance-Rolle. Diese Person ist der Türöffner, nicht der Engpass: Ein strukturierter Weg gibt ihr das Gerüst an die Hand, mit dem sie die Governance im eigenen Haus aufbauen kann.

Für die Geschäftsführung ist der Bezugspunkt die gesellschaftsrechtliche Sorgfaltspflicht. Nach § 43 GmbHG hat der Geschäftsführer die Sorgfalt eines ordentlichen Geschäftsmanns anzuwenden; dazu zählen Kenntnis-, Organisations-, Überwachungs- und Dokumentationspflichten, die auch den KI-Einsatz erfassen. Eine strukturierte Governance schafft die prozessuale Grundlage, auf der die Einhaltung dieser Sorgfaltspflicht argumentiert werden kann.

Wichtig ist die Abgrenzung: CERTAILEX erbringt Governance- und Managementberatung, keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG), und garantiert keine Rechtskonformität. Die Verantwortung verbleibt beim internen Verantwortlichen des Unternehmens. CERTAILEX liefert die Struktur, mit der die Pflicht erfüllbar wird.

Der strukturierte Weg: die AIGIS-Methode

CERTAILEX bildet den Aufbau von KI‑Governance mit der AIGIS-Methode ab, dem proprietären Governance-Framework von Scripted Identity S.L. AIGIS ordnet die Arbeit entlang drei Säulen:

Sichtbarkeit und Transparenz. Was passiert im Unternehmen an KI-Nutzung wirklich? Ergebnis ist ein vollständiges KI-Inventar mit Risikokarte.

Bewertung und Konformität. Entsprechen die Prozesse den rechtlichen und fachlichen Anforderungen? Ergebnis ist ein Konformitätsbericht mit Handlungsempfehlungen.

Steuerung und Absicherung. Wie werden langfristig tragfähige Entscheidungen getroffen? Ergebnis sind Rollen, Richtlinien und Überwachungsprozesse.

Operativ läuft der Weg in sieben Schritten: Inventur starten, Anwendungsfall erfassen, Kontext klären (Daten, Personen, Anbieter, Systeme), Risiko einordnen, Kompetenzen und Maßnahmen ableiten, Freigabe sichern und Audit vorbereiten. Jeder Schritt ist für sich abgeschlossen und liefert dokumentierte Substanz.

Drei Prinzipien halten den Weg zusammen. Dokumentation ist Teil des Vorgehens von Anfang an, nicht nachträgliche Pflichterfüllung (Accountability by Design). Maßnahmen werden unter Beweislastgesichtspunkten gestaltet (Evidence-First). Und die Governance-Entscheidung bleibt in menschlicher Letztverantwortung; KI darf Hinweise geben, entscheiden tut sie nicht.

Womit man anfängt: die Standortbestimmung

Der Einstieg ist die ehrliche Standortbestimmung. Der kostenlose Governance-Scan von CERTAILEX ist ein geführtes Online-Selbst-Assessment mit fünfzehn Fragen entlang der drei AIGIS-Säulen. Er ordnet den eigenen Governance-Reifegrad auf einer fünfstufigen Skala ein, von fehlender nachweisbarer Governance bis zur prüffähigen Reife, und benennt die vordringlichen Handlungsfelder. Das Ergebnis kommt per E-Mail.

Sichtbar wird dabei vor allem, was bisher unsteuerbar blieb. AIGIS ordnet KI-Anwendungen in vier Klassen: freigegeben (Klasse A), toleriert (Klasse B), Shadow AI ohne Freigabe (Klasse C) und verboten (Klasse D). Als Shadow AI gilt die KI-Nutzung, die ohne Freigabe und ohne Prüfung im Betrieb stattfindet; sie ist der häufigste blinde Fleck und trägt Haftungs- und Abflussrisiko. Der Scan macht diese Verteilung erstmals benennbar und schafft damit die Grundlage jeder weiteren Steuerung.

Von der Standortbestimmung zur belastbaren Struktur

Die Standortbestimmung zeigt, wo das Unternehmen steht. Der Weg von dort zu einer belastbaren KI‑Governance verläuft in nachvollziehbaren Stufen, jede für sich abgeschlossen und dokumentiert. Am Ende steht ein AI-Management-System: CERTAILEX setzt dafür auf AIMS Lite, eine mittelstandstaugliche Vorstufe zur Zertifizierung nach ISO/IEC 42001 mit drei Ausbaustufen (Core, Extended, Certification-Ready). So entsteht das Fundament, ohne dass am ersten Tag die volle Norm umgesetzt sein muss.

Der Einstieg ist der kostenlose Governance-Scan, der den eigenen Reifegrad einordnet. Wer nach dieser Standortbestimmung eine belastbare Prüfung braucht, geht auf den Audit-Ready Quick-Check über, eine strukturierte Analyse der Ist-Situation nach der AIGIS-Methode durch CERTAILEX. Für den anschließenden Aufbau der Governance-Struktur steht der Governance-Sprint. Jede Stufe baut auf der vorigen auf; niemand zahlt für mehr, als der eigene Reifegrad erfordert.

Fazit für die Geschäftsführung

KI‑Governance aufzubauen ist im Mittelstand ohne eigene Rechtsabteilung möglich, weil der Hebel in der Organisation liegt, nicht im Gutachten. Wer den KI-Einsatz strukturiert erfasst, bewertet und dokumentiert, senkt drei konkrete Risiken zugleich: den unkontrollierten Abfluss von Betriebsgeheimnissen, aus dem Ruder laufende Kosten und Reputationsschäden durch unerkannte Fehler. Zugleich wird aus der Pflicht ein Vorteil: Wer seine KI-Nutzung prüffähig macht, agiert souveräner als Wettbewerber, die den Überblick noch nicht haben. Das ist der Kern von Compliance als Wettbewerbsvorteil.

Häufige Fragen

Brauche ich für KI‑Governance einen externen Auditor?

Für den Aufbau nicht. Der Aufbau ist interne Organisationsarbeit, die CERTAILEX als Begleitinstanz strukturiert. Eine unabhängige externe Prüfung, etwa eine ISO-Zertifizierung, ist ein späterer, separater Schritt und wird von einer akkreditierten Zertifizierungsstelle erbracht, nicht von CERTAILEX.

Reicht unser Datenschutzbeauftragter als interner Verantwortlicher?

Der Datenschutzbeauftragte oder die IT-Leitung ist ein guter Ausgangspunkt, weil Verantwortung für den KI-Einsatz ohnehin im Haus liegt. Die AIGIS-Methode gibt dieser Person das Gerüst an die Hand. Datenschutz und KI‑Governance überschneiden sich, sind aber nicht deckungsgleich; die KI-spezifischen Governance-Aufgaben kommen hinzu.

Was kostet der Einstieg?

Der Governance-Scan ist kostenlos. Er ordnet den Reifegrad ein und zeigt die Handlungsfelder. Erst der darauf aufbauende Audit-Ready Quick-Check und der Governance-Sprint sind kostenpflichtige Leistungen; ihr Umfang richtet sich nach Unternehmensgröße und Reifegrad.

Ist das schon eine ISO‑42001‑Zertifizierung?

Nein. AIMS Lite ist eine mittelstandstaugliche Vorstufe, die das Managementsystem in drei Ausbaustufen bis zur Zertifizierungsreife aufbaut. Die eigentliche Zertifizierung nach ISO/IEC 42001 erfolgt anschließend durch eine akkreditierte Stelle.

Muss am ersten Tag alles compliant sein?

Nein. „Ab Tag 1“ bedeutet, dass jeder Schritt ab dem ersten Tag des strukturierten KI-Einsatzes prüffähig dokumentiert ist, nicht dass das ganze Unternehmen sofort vollständig compliant ist. Wie lange der Weg dauert, hängt vom Ausgangszustand ab.

Quellen

1. § 43 GmbH-Gesetz (GmbHG), Haftung der Geschäftsführer. gesetze-im-internet.de
2. Verordnung (EU) 2024/1689 (EU AI Act), Artikel 4 (KI‑Kompetenz). EUR-Lex. Vertiefend die CERTAILEX-Referenzseite zu Artikel 4.
3. ISO/IEC 42001:2023, Information technology — Artificial intelligence — Management system. iso.org.
4. CERTAILEX / AIGIS-Methode, Governance-Scan, AIMS Lite und Advisory-Leistungen (Governance-Scan, Audit-Ready Quick-Check, Governance-Sprint). certailex.com.