Auf einen Blick
- Kein Rechtstext verlangt ein KI-Governance-Gremium. Vier Pflichten bestehen, und das Gremium rechtfertigt sich allein durch das, was es zu deren Erfüllung hervorbringt.
- Die KI-Verordnung weist Pflichten benannten Personen zu, nicht Organen. Anhang V Nummer 8 verlangt Namen und Funktion der unterzeichnenden Person auf der Konformitätserklärung, Artikel 26 Absatz 2 die Zuweisung der menschlichen Aufsicht an natürliche Personen mit Kompetenz, Schulung und Befugnis.
- Artikel 17 Absatz 1 verlangt von Anbietern von Hochrisiko-Systemen einen Rechenschaftsrahmen, der die Verantwortlichkeiten der Leitung und des Personals festlegt. Genau dieser Satz, nicht ein Organigramm, wird geprüft.
- Ein Quartalsrhythmus hält die Fristen aus Artikel 73 nicht ein: 15 Tage, 10 Tage, 2 Tage. Taktung ist eine Kontrolle und braucht eine ständige Delegation.
- Seit der Verordnung (EU) 2026/1744 gelten die Hochrisiko-Pflichten aus Anhang III ab dem 2. Dezember 2027 und die aus Anhang I ab dem 2. August 2028, während KI-Kompetenz und Transparenzpflichten bereits greifen. Eine auf den alten Zeitplan geschriebene Geschäftsordnung ist bereits falsch.
Wer nachschlägt, wie sich ein KI-Governance-Gremium aufsetzen lässt, findet erstaunliche Einigkeit. Recht, IT, Sicherheit, Data Science, Personal und Fachbereiche zusammenbringen. Quartalsweise tagen. Eine Geschäftsordnung mit Grundsatzpräambel schreiben. Anwendungsfälle freigeben. Alle schulen. Der Rat ist vernünftig, und er steht so ungefähr auf jeder Seite der ersten Trefferliste. Für sich genommen ist er allerdings nicht prüffähig. Keines der ersten vierzig Ergebnisse zu dieser Suchanfrage nennt eine einzige Rechtsvorschrift, die die Struktur erfüllen müsste. Die Mustergeschäftsordnung auf Platz vier stammt aus dem Jahr 2023, sieht sieben ständige und fünf rotierende Mitglieder vor, und ihr Compliance-Artikel verpflichtet die Organisation auf „alle einschlägigen rechtlichen und ethischen Standards“, ohne einen einzigen zu benennen. Dieser Leitfaden geht den umgekehrten Weg. Er beginnt bei den vier Pflichten, die tatsächlich bestehen, leitet daraus Sitze, Entscheidungsrechte, Taktung und Nachweise ab und sagt offen, wann ein KI-Governance-Gremium die falsche Antwort ist.
Was ein KI-Governance-Gremium tatsächlich ist
Ein KI-Governance-Gremium ist ein ständiges Organ mit delegierter Befugnis, darüber zu entscheiden, ob, wie und unter welchen Bedingungen eine Organisation KI-Systeme entwickelt, einkauft und betreibt. Die wichtige Hälfte dieses Satzes steckt in „delegierter Befugnis“. Eine Runde, die prüft und berät, ist ein Arbeitskreis. Eine Runde, die einen Rollout stoppen kann, ist ein KI-Governance-Gremium. Eine Vorbemerkung, die im deutschsprachigen Raum nötig ist: das interne Organ hat nichts mit dem Europäischen Ausschuss für künstliche Intelligenz nach Artikel 65 der KI-Verordnung zu tun, in dem die Mitgliedstaaten bei der Kommission vertreten sind. Beide tauchen unter Begriffen wie Gremium, Ausschuss oder Board auf. Diese Seite behandelt ausschließlich das unternehmensinterne KI-Governance-Gremium. Danach werden drei Organe miteinander verwechselt, und die Verwechslung wird teuer, sobald eine Behörde fragt, wer was entschieden hat. Ein Lenkungsausschuss verantwortet die Strategie: worin investiert wird, in welcher Reihenfolge, für welchen Ertrag. Sein Ergebnis ist eine Roadmap und ein Budget. Ein Ethikbeirat gibt eine Einschätzung zur Vertretbarkeit einer Nutzung ab, meist ohne Zwangsmittel, und funktioniert besser, wenn ein Teil der Mitglieder von außen kommt. Ein KI-Governance-Gremium steht dazwischen und trägt die Entscheidungen mit Rechtsfolgen: Risikoeinstufung, Einsatzbedingungen, Benennung der verantwortlichen Personen, Abschaltung eines Systems. Die wenigsten Organisationen brauchen alle drei. Sie brauchen ein KI-Governance-Gremium mit klaren Entscheidungsrechten und ehrlichen Protokollen sowie eine benannte Person, die unterschreibt. Gebaut wird in der Praxis meist ein als Governance etikettierter Lenkungsausschuss, weshalb es in der zweiten und dritten Sitzung um Werkzeugbudgets geht statt um die Einstufung der bereits laufenden Systeme. Das Etikett zählt weniger als die Entscheidungsrechte. Wie das Organ auch heißt: schreiben Sie auf, was es entscheiden darf, was es eskalieren muss und was es nie erreichen soll. Alles Weitere folgt daraus. Unsere Seite zur KI-Governance beschreibt das Betriebsmodell, in dem dieses Organ steht.
Das KI-Governance-Gremium ist keine Rechtspflicht. Diese vier Dinge sind es
Jede Geschäftsordnung eines KI-Governance-Gremiums sollte mit diesem Abschnitt beginnen. Die platzierten Seiten lassen ihn aus, und er ist der einzige, der einen Prüfer interessiert.
Artikel 17 Absatz 1: der Rechenschaftsrahmen
Anbieter von Hochrisiko-KI-Systemen müssen ein Qualitätsmanagementsystem einrichten. Artikel 17 Absatz 1 zählt dessen Bestandteile auf, darunter einen Rechenschaftsrahmen, der die Verantwortlichkeiten der Leitung und des sonstigen Personals in Bezug auf alle aufgezählten Aspekte festlegt. Diese Aspekte umfassen die Strategie zur Einhaltung der Regulierung, Entwicklungs- und Prüfverfahren, Datenmanagement, Risikomanagement, Beobachtung nach dem Inverkehrbringen, Meldung von Vorfällen und Aufzeichnungspflichten. Lesen Sie diese Liste als Inhaltsverzeichnis der Geschäftsordnung Ihres KI-Governance-Gremiums. Für jeden Bestandteil des Qualitätsmanagementsystems muss eine benannte Rolle die Last tragen. Steht in Ihrer Geschäftsordnung nur, das KI-Governance-Gremium sei für „Compliance“ zuständig, ist Artikel 17 nicht erfüllt. Steht dort, dass die Leitung Data Engineering das Datenmanagement nach Artikel 10 verantwortet und quartalsweise berichtet, ist er erfüllt.
Artikel 26 Absatz 2: Aufsicht durch natürliche Personen
Betreiber von Hochrisiko-Systemen übertragen die menschliche Aufsicht natürlichen Personen, die über die erforderliche Kompetenz, Schulung und Befugnis sowie die erforderliche Unterstützung verfügen. In diesem Satz stecken drei getrennte Prüfungen. Kompetenz heißt, die Person versteht die Ausgaben des Systems und deren Grenzen. Schulung heißt, sie wurde an genau diesem System geschult. Befugnis heißt, sie kann tatsächlich übersteuern oder eskalieren, was es praktisch ausschließt, sie derjenigen Person zu unterstellen, deren Zielvorgaben das System bedient. Ein KI-Governance-Gremium kann die Aufsicht nach Artikel 26 nicht selbst ausüben. Es kann nur die Personen benennen, die sie ausüben, deren tatsächliche Handlungsfähigkeit prüfen und dies dokumentieren. Unser Leitfaden zur menschlichen Aufsicht erläutert, was die Artikel 14 und 26 im Betrieb verlangen.
Anhang V Nummer 8: jemand unterschreibt
Artikel 47 verpflichtet den Anbieter, für jedes Hochrisiko-System eine schriftliche, maschinenlesbare, handschriftlich oder elektronisch unterzeichnete EU-Konformitätserklärung auszustellen und sie den zuständigen nationalen Behörden zehn Jahre lang zur Verfügung zu halten. Anhang V legt den Inhalt fest, und dessen Nummer 8 verlangt Namen und Funktion der unterzeichnenden Person, die Angabe, für wen sie unterzeichnet, sowie eine Unterschrift. Ein Gremium hat keine Unterschrift. Irgendjemand in Ihrer Organisation wird persönlich bestätigen, dass ein System der Verordnung entspricht, und zwar in alleiniger Verantwortung des Anbieters. Das Nützlichste, was ein KI-Governance-Gremium in seiner ersten Sitzung tun kann, ist diese Person zu bestimmen und zu klären, was sie braucht, um ohne Vorbehalt zu unterschreiben. Die meisten Organisationen finden die Antwort erst bei der Konformitätsbewertung, also zu spät.
ISO/IEC 42001 Abschnitt 5.3 und NIST AI RMF GOVERN 2
Außerhalb der EU erscheint dieselbe Erwartung als Managementsystem-Anforderung. Abschnitt 5.3 der Norm ISO/IEC 42001 verlangt von der obersten Leitung, Rollen, Verantwortlichkeiten und Befugnisse für das KI-Managementsystem zuzuweisen, zu kommunizieren und zu autorisieren, einschließlich der Verantwortung für die Berichterstattung über die Leistung des Systems an die oberste Leitung. Prüfer lesen Abschnitt 5.3 als dokumentierte Rechenschaftspflicht über den gesamten Lebenszyklus, nicht als Organigramm. Das NIST AI Risk Management Framework fasst denselben Inhalt unter GOVERN 2. GOVERN 2.1 verlangt dokumentierte und verstandene Rollen, Verantwortlichkeiten und Kommunikationswege. GOVERN 2.2 verlangt geschultes Personal und geschulte Partner. GOVERN 2.3 verortet Entscheidungen zur Risikobereitschaft auf Ebene der Geschäftsleitung und nicht bei denen, die das Modell gebaut haben. Unser NIST-KI-Risikomanagement-Framework stellt die drei Regime gegenüber. Vier Pflichten, kein Gremium darunter. Das KI-Governance-Gremium verdient seinen Platz allein dadurch, dass es den Rechenschaftsrahmen, die benannten Aufsichtspersonen, die unterzeichnende Person und den Nachweis erzeugt, dass die ersten drei real sind.
Wer sitzt darin, und was jeder Sitz trägt
Veröffentlichte Mitgliederlisten eines KI-Governance-Gremiums lesen sich wie eine Aufzählung von Abteilungen. Das ist ein Raum, kein Governance-Organ. Hängen Sie an jeden Sitz eine Pflicht. Vorsitz, in der Regel eine Führungskraft mit Ergebnisverantwortung. Trägt die Risikobereitschaft, die das KI-Governance-Gremium anwendet, und die Eskalation an die Geschäftsführung oder den Aufsichtsrat. GOVERN 2.3 verortet diese Abwägung aus gutem Grund auf Führungsebene: eine von einem Arbeitskreis gesetzte Risikobereitschaft ist eine Präferenz, kein Mandat. Unterzeichnende Person. Die nach Anhang V Nummer 8 für Konformitätserklärungen benannte Person. Bei kleineren Anbietern häufig der Vorsitz selbst, bei größeren die Produkt- oder Technikleitung. Diesen Sitz gibt es, ob Sie ihn bewusst besetzen oder nicht. Recht und Regulierung. Trägt die Einstufungsentscheidung nach den Artikeln 6 und 7 und die Antwort auf die Frage, welche Rolle die Organisation je System innehat: Anbieter, Betreiber, Einführer, Händler oder Bevollmächtigter. Die meisten internen Streitfälle sind in Wahrheit Rollenstreitfälle. Datenschutz. Trägt die Verzahnung mit der DSGVO, insbesondere die Frage, ob neben der Grundrechte-Folgenabschätzung eine Datenschutz-Folgenabschätzung nötig ist, sowie die Rechtsgrundlage der Trainingsdaten. Unsere Notiz zur KI-Folgenabschätzung klärt, welches Regime greift. Sicherheit. Trägt die Anforderungen an Genauigkeit, Widerstandsfähigkeit und Cybersicherheit aus Artikel 15, adversariale Tests und die Schnittstelle zur Vorfallbehandlung. Das BSI hat gemeinsam mit der französischen ANSSI Gestaltungsgrundsätze für Systeme auf Basis großer Sprachmodelle veröffentlicht, die diesen Bereich abstecken. Das KI-Red-Teaming berichtet an diesen Sitz. Fachliche Modell- und Datenverantwortung. Trägt Leistungsüberwachung, Drift und die ehrliche Antwort auf die Frage nach der tatsächlichen Nutzung des Systems, die häufig von der ursprünglichen Anforderung abweicht. Personal oder Verbindung zum Betriebsrat, soweit Beschäftigung betroffen ist. Trägt die Unterrichtung der Beschäftigten nach Artikel 26 Absatz 7 und im deutschen Recht die Mitbestimmungsrechte des Betriebsrats nach dem Betriebsverfassungsgesetz, insbesondere bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind. Dieser Sitz wird am häufigsten vergessen, und seine Auslassung kann ein Vorhaben anhalten. Zwei Regeln halten den Raum ehrlich. Erstens: unterscheiden Sie in der Geschäftsordnung beratende von verantwortlichen Mitgliedern, denn ein verantwortliches Mitglied kann sich nicht enthalten. Zweitens: begrenzen Sie die Größe. Ein KI-Governance-Gremium mit fünfzehn Personen entscheidet nichts, es hört Präsentationen.
Entscheidungsrechte: was das Gremium entscheiden darf und was nicht
Schreiben Sie die Entscheidungsrechte des KI-Governance-Gremiums vor seiner Besetzung. Ein Organ ohne sie driftet zur leichtesten verfügbaren Arbeit ab, und das ist Werkzeugbeschaffung. Vier Verfügungen genügen: freigeben, unter Auflagen freigeben, bis zum Nachweis zurückstellen, beenden. Jede erhält eine benannte Person und ein Datum. Die Freigabe unter Auflagen ist die nützlichste Verfügung und die, die den meisten Geschäftsordnungen fehlt, was eine binäre Entscheidung erzwingt, für die das KI-Governance-Gremium nicht bereit ist. Bestimmte Entscheidungen müssen an die Unternehmensleitung eskalieren: eine verbotene Praktik im Sinne von Artikel 5, jeder Erstbetrieb eines als hochriskant eingestuften Systems, jede Annahme eines Restrisikos gegen den förmlichen Widerspruch der risikoverantwortlichen Person, jeder schwerwiegende Vorfall mit Meldepflicht. Den Rest will die Leitung nicht, und ihre Überwachungspflicht erfüllt sich an den Ausnahmen und am Gesamtbild, nicht an der Warteschlange. Bestimmte Entscheidungen dürfen das KI-Governance-Gremium nie erreichen. Interne Produktivitätswerkzeuge ohne personenbezogene Daten und ohne externe Ausgabe gehören in eine ständige Richtlinie, und wenn Ihr Eingangsprozess sie an das Organ leitet, verbraucht dieses dort seine Autorität. Die Risikoeinstufung ist der Filter, der die Tagesordnung schützt. Stufen Sie am Eingang ein, leiten Sie nach Stufe weiter, und halten Sie den Raum für Systeme mit Rechtsfolgen frei. Unser Leitfaden zum KI-Risikomanagement erklärt, wie sich diese Stufen festlegen lassen. Die letzte Regel spricht keine platzierte Seite an. Das Organ, das einen Anwendungsfall freigibt, kann nicht dasselbe sein, das ihn prüft. Das Institut der Internen Revision bildet die KI-Aufsicht auf das Modell der drei Verteidigungslinien ab, über die drei Bereiche Governance, Management und Interne Revision, wobei das Kontrollumfeld vom Management in der ersten Linie errichtet wird und das Aufsichtsorgan sich auf die Informationen der Internen Revision stützt. Ein KI-Governance-Gremium, das die Kontrolle schreibt, ausführt und abnimmt, erzeugt ein Dokument, keine Prüfsicherheit. Halten Sie das KI-Audit unabhängig von dem Organ, das das System freigegeben hat.
Taktung ist eine Kontrolle, kein Kalender
Fast jede kursierende Geschäftsordnung eines KI-Governance-Gremiums setzt ein Quartalsminimum, mit monatlichem Rhythmus nach Ermessen des Vorsitzes. Halten Sie das gegen die Uhren, die die Verordnung tatsächlich laufen lässt. Artikel 73 verpflichtet Anbieter, einen schwerwiegenden Vorfall unverzüglich und in jedem Fall innerhalb von 15 Tagen nach Kenntniserlangung an die Marktüberwachungsbehörde zu melden. Die Frist sinkt auf 10 Tage, wenn ein Todesfall verursacht worden sein könnte, und auf 2 Tage bei einer weitreichenden Verletzung oder einer schwerwiegenden und irreversiblen Störung kritischer Infrastruktur. Artikel 73 Absatz 5 lässt eine erste unvollständige Meldung mit späterer Ergänzung zu, was genau diesem Problem geschuldet ist. Kein quartalsweise tagendes KI-Governance-Gremium hält eine Zweitagesfrist ein. Ein monatlicher Rhythmus ebenso wenig. Das ist kein Argument gegen eine feste Taktung, sondern dafür, dass die Taktung nur die beratende Arbeit trägt und alles Fristgebundene auf einer ständigen Delegation ruht. Drei Mechanismen decken das ab. Eine Rufbereitschaft, damit zu jeder Stunde eine benannte Person ein Ereignis einordnen und die Uhr starten kann. Ein in der Geschäftsordnung verankerter Einberufungsauslöser, der festlegt, wer das Organ binnen vierundzwanzig Stunden zusammenrufen darf und was er in der Zwischenzeit allein entscheiden kann. Und ein ständiger Tagesordnungspunkt zur Beobachtung nach dem Inverkehrbringen, damit die Drift- und Beschwerdesignale, die den meisten Vorfällen vorausgehen, den Raum vor dem Vorfall erreichen. Unser Leitfaden zur KI-Vorfallmeldung beschreibt den Ablauf nach Artikel 73 im Detail. In Deutschland lohnt hier eine zusätzliche Notiz. Mit dem Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, in Kraft seit dem 29. Juli 2026, bündelt der Bund die nationale KI-Aufsicht bei der Bundesnetzagentur, soweit sie nicht anderen Fachbehörden zugewiesen ist, und richtet dort eine Koordinierungs- und Kompetenzstelle mit einem KI-Service-Desk ein. Die meldende Stelle ist damit benannt, und ein KI-Governance-Gremium sollte den Meldeweg dorthin einmal durchgespielt haben, bevor er gebraucht wird. Die beratende Taktung selbst richtet sich nach Durchsatz, nicht nach Kalender. Erzeugt der Eingang zwölf Hochrisiko-Einstufungen je Quartal, garantieren Quartalssitzungen eine Warteschlange, und die Warteschlange ist genau der Ort, an dem Schatten-KI beginnt.
Was das Gremium als Nachweis vorlegen muss
Eine Behörde prüft kein KI-Governance-Gremium, sie prüft Aufzeichnungen. Fünf Artefakte tragen das Gewicht. Protokolle als Entscheidungsakten. Anwesende und Entschuldigte, die Entscheidung unter den vier Verfügungen, die Begründung, namentliche Gegenstimmen, die Auflagen, die verantwortliche Person und das Datum. Ein Protokoll, das nur das Ergebnis festhält, ist in einer Untersuchung wertlos, denn gefragt wird nach der Vertretbarkeit der Entscheidung auf Basis der damals verfügbaren Informationen, und darauf antwortet nur die Begründung. Das Anwendungsfallverzeichnis. Eine Zeile je System, mit der innegehabten Rolle, der Einstufung samt Begründung, der nach Artikel 26 benannten Aufsichtsperson, der Lebenszyklusphase und dem Überprüfungsdatum. Dieses Verzeichnis ist zugleich die praktische Antwort auf Schatten-KI, denn ein System, das niemand erfasst hat, beaufsichtigt auch niemand. Siehe unsere Seite zur KI-Systemdokumentation für den erwarteten Inhalt. Protokolldaten. Artikel 26 Absatz 6 verpflichtet Betreiber, die von einem Hochrisiko-System automatisch erzeugten Protokolle, soweit sie in ihrem Verfügungsbereich liegen, für einen der Zweckbestimmung angemessenen Zeitraum von mindestens sechs Monaten aufzubewahren, sofern nichts anderes bestimmt ist. Sechs Monate sind eine Untergrenze, kein Ziel, und kürzer als die meisten Untersuchungszeiträume. Die technische Dokumentation nach Anhang IV. Jemand verantwortet sie, sie muss zum Zeitpunkt des Inverkehrbringens aktuell sein und mit dem System fortgeschrieben werden. Aufgabe des KI-Governance-Gremiums ist es zu prüfen, dass diese Person existiert und das Dokument dem eingesetzten Modell nicht achtzehn Monate hinterherhinkt. Die Konformitätserklärung. Unterzeichnet, maschinenlesbar, zehn Jahre nach dem Inverkehrbringen oder der Inbetriebnahme aufbewahrt. Ein brauchbarer Test: fragen Sie, was das KI-Governance-Gremium morgen früh ohne Vorbereitung an eine Behörde übergeben könnte. Lautet die ehrliche Antwort „eine Präsentation“, ist das Organ noch keine Kontrolle.
Der Zeitplan bis 2027, den eine heute geschriebene Geschäftsordnung annehmen muss
Bei den Daten sind viele Veröffentlichungen zum KI-Governance-Gremium inzwischen schlicht falsch, weil der Zeitplan sich nach ihrer Abfassung verschoben hat. Bereits anwendbar: die verbotenen Praktiken nach Artikel 5 und die KI-Kompetenzpflicht nach Artikel 4 gelten seit dem 2. Februar 2025, die Pflichten für Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025. Die KI-Kompetenz ist die am meisten vernachlässigte Pflicht und diejenige, die ein KI-Governance-Gremium am schnellsten erfüllen kann. Unser Leitfaden zur KI-Kompetenz beschreibt, was Artikel 4 tatsächlich verlangt. Ab dem 2. August 2026: die Transparenzpflichten nach Artikel 50 zu synthetischen Inhalten, zur Offenlegung bei Chatbots, zur Kennzeichnung von Deepfakes und zur Emotionserkennung. Erzeugt oder verändert die Organisation Inhalte, ist dies der nächstgelegene harte Termin. Unsere Seite zur KI-Kennzeichnungspflicht behandelt diese Pflichten. Verschoben: die Verordnung (EU) 2026/1744, der digitale Omnibus zur KI, wurde am 16. Juni 2026 vom Europäischen Parlament und am 29. Juni 2026 vom Rat angenommen, am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Sie verschob die eigenständigen Hochrisiko-Pflichten aus Anhang III auf den 2. Dezember 2027 und die aus Anhang I auf den 2. August 2028. Verbotene Praktiken und das Regime für Modelle mit allgemeinem Verwendungszweck blieben unverändert. Für ein KI-Governance-Gremium ist dieser Aufschub kein Grund langsamer zu werden, sondern ein Budget. Einstufungsarbeit, Rechenschaftsrahmen und Verzeichnis sind die langen Vorlaufposten, und wer den 2. Dezember 2027 als Startdatum statt als Frist behandelt, stellt die Anhang-IV-Dokumentation für Systeme zusammen, die seit zwei Jahren unbeaufsichtigt laufen. Unser Leitfaden zu Hochrisiko-KI-Systemen behandelt die Einstufungsentscheidung selbst.
Wann Sie kein KI-Governance-Gremium einrichten sollten
Eine der bestplatzierten Seiten zu dieser Suchanfrage vertritt die Ansicht, man brauche dieses Organ gar nicht. Das verdient eine Antwort statt Schweigen, denn es trifft häufiger zu, als Anbieterleitfäden zugeben. Ein ständiges KI-Governance-Gremium ist die falsche Struktur, wenn drei Bedingungen zusammentreffen: die Organisation ist weder Anbieter noch Betreiber eines Hochrisiko-Systems, sie betreibt kein eigenes Modell mit allgemeinem Verwendungszweck, und ihre KI-Nutzung beschränkt sich auf einige Marktwerkzeuge ohne automatisierte Entscheidungen über Personen. Dann erzeugt das Organ Zeremonie. Richtig sind eine benannte verantwortliche Person, eine tatsächlich durchgesetzte KI-Richtlinie und ein ständiger Punkt in einem bestehenden Risiko- oder Prüfungsausschuss. Ein KI-Governance-Gremium ist auch dann die falsche Struktur, wenn es dazu dient, Verantwortung zu verteilen, bis niemand sie mehr trägt. Benennt die Geschäftsordnung keine verantwortlichen Personen, hat das Organ die Verantwortung schwerer auffindbar gemacht als zuvor, und genau das sollen Artikel 17 und Abschnitt 5.3 verhindern. Zwei ehrliche Auslöser: das erste nach Anhang III als hochriskant eingestufte System, und das erste Mal, dass zwei Bereiche über einen Rollout streiten, ohne dass es einen Ort gibt, an dem sich der Streit mit schriftlicher Spur entscheiden lässt. Davor leisten eine benannte verantwortliche Person und eine gute KI-Richtlinie mehr.
Häufige Fragen
Welche Rolle hat ein KI-Governance-Gremium? Das KI-Governance-Gremium hält und übt delegierte Entscheidungsrechte über KI-Systeme mit rechtlicher oder wesentlicher Folge aus und erzeugt die Aufzeichnungen, die belegen, dass diese Entscheidungen bewusst getroffen wurden. Konkret: Systeme und die je System innegehabte Rolle einstufen, Rollouts freigeben oder mit Auflagen versehen, die für Aufsicht und Unterzeichnung verantwortlichen Personen benennen, Vorfälle und die Beobachtung nach dem Inverkehrbringen auswerten. Beratung ist eine Nebenfunktion. Ein Organ, das nur berät, braucht keine Geschäftsordnung. Wer ist für KI-Governance verantwortlich? Benannte Personen, nicht das KI-Governance-Gremium. Die KI-Verordnung weist die Pflichten dem Anbieter oder Betreiber als Organisation zu und verlangt dann, dass diese natürliche Personen benennt: die Aufsichtspersonen nach Artikel 26, das Personal, dessen Verantwortlichkeiten im Rechenschaftsrahmen nach Artikel 17 stehen, und die Person, die die Konformitätserklärung nach Anhang V unterzeichnet. Abschnitt 5.3 der ISO/IEC 42001 verlangt dasselbe von der obersten Leitung. Mehr dazu auf unserer Seite zur KI-Rechenschaftspflicht. Worin unterscheidet es sich von einem KI-Lenkungsausschuss? Der Lenkungsausschuss entscheidet, was die Organisation bauen und finanzieren soll. Das KI-Governance-Gremium entscheidet, ob und unter welchen Bedingungen sie das Gebaute betreiben darf. Idealerweise teilen sich beide nicht denselben Vorsitz, denn wer die Lieferung verantwortet, sollte nicht auch die Risikoannahme freigeben. Erzwingt die Personaldecke ein einziges Organ, trennen Sie die Tagesordnung und protokollieren Sie beide Rollen getrennt. Wie oft sollte es tagen? Richten Sie die beratende Taktung nach dem Eingangsvolumen statt nach Gewohnheit, und verlassen Sie sich für nichts Fristgebundenes auf den Sitzungskalender. Artikel 73 lässt Uhren von 15, 10 und 2 Tagen laufen, weshalb die Geschäftsordnung eine Rufbereitschaft, eine Notfall-Einberufungsregel und einen schriftlichen Rahmen dessen braucht, was eine Person allein entscheiden darf. Brauchen wir ein KI-Governance-Gremium für die ISO-42001-Zertifizierung? Nein. Abschnitt 5.3 verlangt zugewiesene und kommunizierte Rollen, Verantwortlichkeiten und Befugnisse sowie einen Berichtsweg zur Leistung des Managementsystems an die oberste Leitung. Ein Organ ist ein bequemer Nachweis dafür, aber geprüft wird, ob Rechenschaftspflicht dokumentiert, verstanden und ausgeübt wird, nicht ob ein bestimmt benanntes Gremium existiert. Unser Leitfaden zur ISO-42001-Zertifizierung beschreibt, was Prüfer tatsächlich stichprobenartig ansehen. Was gehört in die Geschäftsordnung? Zweck und Geltungsbereich, die vier Entscheidungsverfügungen und ihre Inhaber, die Eskalationsmatrix zur Unternehmensleitung, die Sitze mit je einer benannten Pflicht, Beschlussfähigkeit und Befangenheitsregel, Einberufungsauslöser und Rufbereitschaft, die ständige Tagesordnung, die Aufbewahrungspflichten mit Fristen und der Überarbeitungszyklus der Geschäftsordnung selbst. Ergänzen Sie eine Anlage, die jeden Bestandteil aus Artikel 17 Absatz 1 einer benannten Rolle zuordnet. Nach dieser Anlage wird ein Prüfer fragen.
Fazit
Die platzierten Seiten zu dieser Suchanfrage beschreiben eine Organisationsform. Die Verordnung beschreibt eine Verantwortungskette, und diese Kette endet bei einer Person mit einem Stift. Ein KI-Governance-Gremium ist genau in dem Maß wertvoll, in dem es diese Kette explizit macht: wer dieses System eingestuft hat und mit welcher Begründung, wer es beaufsichtigt und mit welcher Befugnis, wer dafür unterschreibt und wo die Aufzeichnung über alle drei liegt. Bauen Sie die Geschäftsordnung rückwärts aus Artikel 17, Artikel 26, Anhang V und Abschnitt 5.3. Geben Sie dem KI-Governance-Gremium echte Verfügungen und einen echten Eskalationsweg. Halten Sie die Prüfung unabhängig von der Freigabe. Richten Sie die Taktung an den Vorfalluhren aus, nicht am Kalender. Und gelten die vier Pflichten für Sie noch nicht, halten Sie das schriftlich fest und benennen Sie eine verantwortliche Person. Ein Organ, das existiert, weil die Pflichten existieren, ist eine Kontrolle. Eines, das existiert, weil ein Wettbewerber seines angekündigt hat, ist eine Besprechung.