KI Governance Verantwortung im KMU

KI wird in Schweizer KMU längst nicht mehr nur getestet. Sie priorisiert Anfragen, unterstützt bei Vorselektionen, erstellt Empfehlungen für Vertrieb oder Einkauf und hilft bei der Bearbeitung von Fällen im Kundenservice. Genau dort entsteht eine heikle Frage: Wer trägt die Verantwortung, wenn ein System falsch liegt, Personen benachteiligt oder fachlich unpassende Vorschläge macht?

In vielen Unternehmen ist diese Frage nur teilweise geklärt. Die IT betreibt das Tool, der Fachbereich nutzt es, der Product Owner steuert die Weiterentwicklung und Compliance oder Risk werden punktuell beigezogen. Solange alles funktioniert, fällt diese Unklarheit kaum auf. Kritisch wird es erst dann, wenn eine Entscheidung überprüft werden muss, ein Vorfall auftritt oder Mitarbeitende merken, dass die Ergebnisse nicht verlässlich sind.

KI-Governance und Verantwortung bedeutet deshalb vor allem eines: klare Zuständigkeiten. Nicht als Konzernbürokratie, sondern als praxistaugliche Struktur für den Alltag.

Warum KI-Verantwortung im KMU nicht bei der IT allein liegen darf

Ein typisches Beispiel aus einem KMU: Ein System unterstützt die Vorprüfung von Bewerbungen und markiert Dossiers mit hoher Passung. Technisch läuft alles stabil. Doch nach einigen Monaten fällt auf, dass bestimmte Profile regelmässig schlechter eingestuft werden, obwohl sie fachlich geeignet wären. Die IT kann erklären, wie das System eingebunden ist und wann es aktualisiert wurde. Aber die eigentliche Frage ist eine andere: Wer verantwortet die fachliche Eignung der Empfehlungen?

Genau hier zeigt sich, warum KI-Verantwortung nicht allein bei der IT liegen darf. Technikteams verantworten den Betrieb, die Verfügbarkeit, Schnittstellen und Änderungen am System. Sie entscheiden aber in der Regel nicht darüber, ob ein Modell im jeweiligen Prozess fair, sachlich sinnvoll und organisatorisch tragbar eingesetzt wird.

Wenn eine KI Empfehlungen abgibt oder Entscheidungen vorbereitet, entstehen mehrere Verantwortungsebenen gleichzeitig:

• fachliche Verantwortung: Ist das Ergebnis im Prozess sinnvoll und vertretbar?

• organisatorische Verantwortung: Wer darf das System freigeben, überwachen und im Problemfall stoppen?

• operative Verantwortung: Wer erkennt Auffälligkeiten, dokumentiert Vorfälle und leitet Anpassungen ein?

Ohne diese Trennung entsteht im Alltag eine gefährliche Lücke. Dann wird bei Fehlentscheiden zwar schnell nach einer technischen Ursache gesucht, während die fachliche und organisatorische Steuerung ungeklärt bleibt. Für KMU ist das besonders riskant, weil Rollen oft enger zusammenliegen und Prozesse weniger formalisiert sind als in Grossunternehmen.

KI ersetzt keine klaren Prozesse. Sie funktioniert nur dort zuverlässig, wo Verantwortungen, Freigaben und Eskalationen bereits sauber gedacht sind.

Was KI-Governance im Alltag konkret bedeutet

KI-Governance ist im Kern eine praktische Verantwortungsstruktur für den Einsatz von KI im Unternehmen. Es geht nicht primär um grosse Richtlinienordner, sondern um eine einfache Frage: Wer entscheidet was, auf welcher Grundlage, mit welcher Kontrolle und mit welchen Reaktionswegen bei Problemen?

Für KMU umfasst KI-Governance typischerweise fünf Elemente:

1. Rollen: Wer ist fachlich, technisch und organisatorisch zuständig?

2. Freigaben: Welche KI-Anwendungen dürfen eingesetzt werden und unter welchen Bedingungen?

3. Kontrollen: Wie wird überprüft, ob die Ergebnisse noch stimmen und der Einsatz im Prozess passt?

4. Dokumentation: Was wurde entschieden, worauf basiert der Einsatz und wer wurde einbezogen?

5. Eskalation: Was passiert, wenn Ergebnisse auffällig, fehlerhaft oder nicht nachvollziehbar sind?

Das ist kein theoretisches Konstrukt. Im Alltag betrifft es ganz konkrete Anwendungen: ein System, das Kundenanfragen priorisiert; ein Tool, das Risiken in Verträgen hervorhebt; eine Lösung, die Servicefälle vorsortiert; oder eine KI, die Absatzprognosen als Grundlage für operative Entscheide liefert.

In all diesen Fällen reicht es nicht, nur zu prüfen, ob das Tool technisch funktioniert. Relevant ist auch, ob die Empfehlungen fachlich brauchbar sind, ob Mitarbeitende wissen, wie sie mit Grenzfällen umgehen müssen, und ob klar ist, wann menschliche Prüfung Vorrang hat.

Gerade für AI Governance im KMU gilt: schlank vor vollständig. Ein mittelgrosses Unternehmen braucht keine komplexen Gremienstrukturen. Es braucht aber nachvollziehbare Verantwortlichkeiten und eine einfache Logik, wie Entscheidungen vorbereitet, freigegeben und im Betrieb überwacht werden.

Strategische Verantwortung: Was Geschäftsführung und oberste Leitung festlegen müssen

Die Geschäftsführung kann KI-Themen nicht vollständig delegieren, weil sie Grundsatzentscheide betrifft. Dazu gehört zuerst die Risikobereitschaft: In welchen Prozessen darf KI nur unterstützen, und in welchen Bereichen darf sie Entscheidungen aktiv vorbereiten oder automatisieren?

Diese Leitplanken müssen auf oberster Ebene festgelegt werden. Typische strategische Fragen sind:

• In welchen Prozessen ist KI für das Unternehmen vertretbar?

• Wo gelten klare Einsatzgrenzen, etwa bei personalrelevanten, kundenkritischen oder risikoreichen Entscheidungen?

• Welche Anforderungen gelten an Transparenz, Nachvollziehbarkeit und menschliche Kontrolle?

• Welche Freigabekriterien müssen erfüllt sein, bevor ein Use Case produktiv geht?

• Welche Rolle sollen Risk, Compliance und Fachbereiche bei der Prüfung spielen?

Die Geschäftsführung definiert damit nicht jede Einzelfrage, aber sie setzt die Regeln, nach denen Einzelfälle entschieden werden. Das betrifft auch Priorisierung. Wenn ein Unternehmen KI breit einführen will, braucht es eine klare Reihenfolge: Welche Anwendungsfälle bringen echten Nutzen, welche bergen erhöhte Risiken und wo ist zuerst Prozessklarheit nötig, bevor KI sinnvoll eingesetzt werden kann?

Zur strategischen KI-Verantwortung gehört ausserdem, Verantwortungsprinzipien festzulegen. Ein einfaches, wirksames Prinzip lautet: Fachliche Verantwortung bleibt im Fachbereich, auch wenn technische Systeme unterstützen. So wird verhindert, dass sich kritische Entscheide stillschweigend in Richtung Technik oder Tool-Anbieter verschieben.

Management ist in der KI-Governance also nicht bloss Unterschriftenstelle. Es schafft den Rahmen, in dem Product Owner, Fachbereich, IT und Kontrollfunktionen handlungsfähig werden.

Taktische Verantwortung: Fachbereich, Product Owner, Risk und Compliance im Zusammenspiel

Auf der taktischen Ebene entscheidet sich, ob KI im Prozess wirklich tragfähig eingebettet ist. Hier werden Anforderungen formuliert, Risiken konkretisiert, Freigaben vorbereitet und Kontrollen festgelegt.

Der Fachbereich

Der Fachbereich ist zuständig für die fachliche Eignung eines KI-Einsatzes. Er weiss, welche Qualität ein Ergebnis haben muss, welche Ausnahmen im Alltag auftreten und welche Folgen eine falsche Empfehlung im Prozess auslöst.

Der Fachbereich muss deshalb beantworten können:

• Wofür soll die KI genau eingesetzt werden?

• Welche Entscheidung wird unterstützt?

• Welche Fehler wären tolerierbar, welche nicht?

• Wann ist menschliche Prüfung zwingend?

• Welche Hinweise oder Warnsignale müssen Mitarbeitende beachten?

Wichtig ist: Fachbereiche dürfen die Verantwortung nicht an das Tool oder an die IT abgeben. Wer einen KI-gestützten Prozess fachlich besitzt, trägt auch Mitverantwortung für dessen Qualität im Alltag.

Der Product Owner

Der Product Owner übersetzt zwischen Fachlichkeit, Umsetzung und Betrieb. In vielen KMU ist diese Rolle zentral, weil sie Anforderungen bündelt, Prioritäten setzt und Änderungen steuert. Im Kontext von KI-Rollen bedeutet das unter anderem:

• den Use Case sauber beschreiben

• Akzeptanzkriterien mit dem Fachbereich definieren

• Freigaben vorbereiten

• Änderungen im Betrieb koordinieren

• Rückmeldungen aus dem Alltag in Anpassungen überführen

Der Product Owner sorgt dafür, dass KI nicht als isoliertes Tool eingeführt wird, sondern als Teil eines klar gesteuerten Prozesses.

Risk und Compliance

Risk und Compliance sollten nicht erst dann eingebunden werden, wenn bereits ein Vorfall passiert ist. Ihre Aufgabe ist es, früh zu prüfen, welche Risiken mit dem Einsatz verbunden sind und welche Kontrollpunkte nötig sind.

Risk betrachtet typischerweise die Auswirkungen fehlerhafter Ergebnisse, die Eintrittswahrscheinlichkeit und die Frage, welche Prozesse besonders sensitiv sind. Compliance prüft, ob interne Vorgaben, Kontrollanforderungen und regulatorisch relevante Punkte sauber berücksichtigt werden.

Beide Funktionen sind dabei nicht nur Kontrollinstanzen. In gut funktionierender KI-Governance helfen sie, den Use Case so zu gestalten, dass er im Unternehmen tragfähig betrieben werden kann.

Typische Fragen vor dem Einsatz

Vor dem Go-live sollten auf dieser Ebene mindestens folgende Fragen geklärt sein:

• Welches Problem löst die KI konkret?

• Welche Daten oder Eingaben beeinflussen das Ergebnis?

• Welche Risiken entstehen bei Fehlklassifikationen oder falschen Empfehlungen?

• Wer gibt den Anwendungsfall frei?

• Welche Kennzahlen oder Beobachtungen zeigen, ob der Einsatz funktioniert?

• Wann muss der Prozess gestoppt oder angepasst werden?

Wenn diese Fragen unbeantwortet bleiben, ist nicht die KI das Hauptproblem, sondern die fehlende Steuerung rund um ihren Einsatz.

Operative Verantwortung: IT und Betrieb im laufenden Einsatz

Nach dem Go-live beginnt die eigentliche Bewährungsprobe. Denn viele Probleme zeigen sich erst im laufenden Betrieb: veränderte Eingaben, ungewohntes Nutzerverhalten, neue Prozessvarianten oder schleichend schlechter werdende Ergebnisse.

Die IT trägt in dieser Phase eine zentrale, aber klar abgegrenzte Verantwortung. Sie sorgt für den technischen Betrieb, für Verfügbarkeit, Änderungen, Schnittstellen, Zugriffsthemen und die geregelte Bearbeitung von Störungen. Im Umfeld von IT und Digitalisierung ist das die Basis dafür, dass KI-Anwendungen überhaupt verlässlich eingebettet werden können.

Zur operativen Verantwortung gehören unter anderem:

• Monitoring von Betrieb und Nutzung

• Behandlung technischer Fehler und Störungen

• Änderungsmanagement bei Anpassungen

• Nachvollziehbare Dokumentation im Betrieb

• Sicherstellung, dass Auffälligkeiten an die richtigen Stellen gemeldet werden

Wichtig ist die Abgrenzung: Die IT verantwortet nicht automatisch die fachliche Entscheidung, die auf Basis einer KI-Empfehlung getroffen wird. Wenn ein System im Kundenservice Anfragen falsch priorisiert, muss die IT zwar prüfen, ob ein technischer Fehler vorliegt. Ob die Priorisierungslogik fachlich noch passt und ob der Prozess angepasst werden muss, ist aber Sache von Fachbereich und Product Owner.

Auch der Betrieb selbst braucht klare Regeln. Mitarbeitende müssen wissen:

• Was ist eine normale Abweichung und was ein Vorfall?

• Wo werden Auffälligkeiten gemeldet?

• Wer prüft, ob ein Ergebnis ignoriert, korrigiert oder weiterverwendet werden darf?

• Wann ist eine Änderung nur operativ und wann braucht sie eine neue fachliche Freigabe?

Gerade in KMU wird diese operative KI-Risikoverantwortung oft unterschätzt. Dabei entscheidet sich hier, ob Governance im Alltag wirkt oder nur auf dem Papier existiert.

Eskalations- und Entscheidungspfade: Was passiert, wenn KI falsch liegt

Ein Governance-Modell ist erst dann belastbar, wenn klar ist, was im Problemfall geschieht. Der entscheidende Punkt ist nicht, ob Fehler auftreten, sondern ob das Unternehmen darauf geordnet reagieren kann.

Eine einfache Eskalationslogik für KMU kann so aussehen:

1. Auffälligkeit erkennen und melden

Auffällige Ergebnisse werden in der Regel zuerst im Fachprozess sichtbar. Etwa wenn Mitarbeitende merken, dass Empfehlungen systematisch unplausibel sind oder Kundenrückmeldungen auf eine Benachteiligung hindeuten. Diese Beobachtungen müssen niederschwellig gemeldet werden können.

2. Erste Beurteilung vornehmen

Der Fachbereich oder der Product Owner prüft, ob es sich um einen Einzelfall, einen Bedienfehler oder ein systematisches Problem handeln könnte. Falls nötig, wird die IT beigezogen, um technische Ursachen auszuschliessen.

3. Entscheidung über Weiterbetrieb treffen

Wenn das Risiko relevant ist, muss klar sein, wer den Einsatz einschränken, pausieren oder unter zusätzliche manuelle Kontrolle stellen darf. Je nach Schwere sind hier Product Owner, Fachverantwortung, Risk, Compliance oder Management einzubeziehen.

4. Ursache klären und Massnahmen definieren

Danach folgt die eigentliche Bearbeitung: Anpassung des Prozesses, zusätzliche Kontrollschritte, Änderung der Einsatzlogik, Schulung der Anwenderinnen und Anwender oder technische Korrekturen.

5. Nachkontrolle und Lessons Learned

Ein Vorfall ist erst abgeschlossen, wenn überprüft wurde, ob die Massnahmen wirken. Sinnvoll ist zudem eine kurze Nachdokumentation: Was ist passiert, warum wurde es relevant, wie wurde entschieden und was wird künftig anders gemacht?

Für KMU muss diese Logik nicht kompliziert sein. Entscheidend ist, dass Verantwortlichkeiten im Ernstfall nicht neu erfunden werden müssen. Eine gute KI-Governance-Verantwortung zeigt sich daran, dass ein Problem innerhalb weniger Schritte bei den richtigen Personen landet.

KI-Verantwortung nach dem Go-live: Kontrolle, Anpassung und Schulung

Viele Unternehmen behandeln die Einführung einer KI-Lösung wie ein klassisches Projekt mit Enddatum. Für Governance ist das zu kurz gedacht. Nach dem Go-live beginnt die Phase, in der überprüft werden muss, ob Annahmen aus dem Projekt auch im Alltag tragen.

Dazu gehört zuerst die regelmässige Überprüfung der Ergebnisse. Stimmen die Empfehlungen weiterhin mit den fachlichen Erwartungen überein? Haben sich Eingaben, Prozesse oder Kundenverhalten verändert? Gibt es mehr Ausnahmen als ursprünglich angenommen?

Ebenso wichtig ist Feedback aus den Fachbereichen. Wer täglich mit einem System arbeitet, erkennt meist früh, wo Ergebnisse zwar formal plausibel, aber praktisch unbrauchbar sind. Dieses Wissen muss strukturiert zurück in die Steuerung fliessen.

Governance umfasst ausserdem Schulung. Mitarbeitende müssen verstehen,

• was das System tut und was nicht

• wie Empfehlungen einzuordnen sind

• wann menschliche Korrektur nötig ist

• wie Auffälligkeiten gemeldet werden

Schulung und Enablement sind deshalb kein Zusatz, sondern Teil der Verantwortungskette. Nur informierte Anwenderinnen und Anwender können KI-Ergebnisse sinnvoll nutzen und Risiken früh erkennen.

Auch Rollen und Prozesse müssen anpassbar bleiben. Wenn ein Anwendungsfall grösser wird, in einen sensibleren Prozess hineinwächst oder sich die Nutzung stark verändert, reichen die ursprünglichen Kontrollpunkte unter Umständen nicht mehr aus. Dann braucht es eine erneute Prüfung der Governance, nicht nur ein technisches Update.

So bauen Schweizer KMU eine schlanke KI-Governance auf

Für KMU ist die wichtigste Erkenntnis: KI-Governance muss nicht gross sein, aber sie muss eindeutig sein. Ein pragmatischer Aufbau gelingt meist in wenigen Schritten.

1. KI-Use-Cases inventarisieren

Zuerst sollte sichtbar werden, wo KI heute bereits eingesetzt wird oder kurzfristig geplant ist. Oft existieren mehr Anwendungen als gedacht: in Fachtools, in Serviceplattformen, in Standardsoftware oder in einzelnen Teams.

2. Fachliche und technische Verantwortliche benennen

Für jeden relevanten Use Case braucht es mindestens eine fachliche Verantwortung und eine technische Betriebsverantwortung. Je nach Risiko kommen Product Owner, Risk oder Compliance dazu.

3. Entscheidungswege festlegen

Es muss klar sein, wer einen Use Case freigibt, wer Änderungen bewilligt und wer im Problemfall entscheidet. Diese Wege sollten kurz und verständlich sein.

4. Risiken mit einfachen Kriterien prüfen

Nicht jeder Anwendungsfall braucht die gleiche Tiefe. Sinnvoll ist eine einfache Risikologik: Welche Auswirkungen hätte ein falsches Ergebnis, wie sensibel ist der Prozess und wie eng muss die menschliche Kontrolle sein?

5. Kontrollpunkte im Betrieb definieren

Dazu gehören Beobachtung der Ergebnisse, Meldewege für Auffälligkeiten, Dokumentation und Regeln für Anpassungen nach dem Go-live.

6. Pilotbetrieb aktiv begleiten

Gerade in der Einführungsphase sollten Fachbereich, Product Owner und Betrieb eng zusammenarbeiten. Viele Governance-Lücken werden erst im praktischen Einsatz sichtbar.

Dieser schlanke Fahrplan reicht in vielen KMU aus, um KI-Verantwortung sauber zu verankern, ohne neue Bürokratie zu schaffen. Entscheidend ist nicht die Anzahl Dokumente, sondern die Klarheit der Zuständigkeiten.

Häufig gestellte Fragen

Wer trägt im KMU die Verantwortung, wenn eine KI eine falsche Empfehlung abgibt?

Die Verantwortung ist in der Regel verteilt. Die IT trägt Verantwortung für den technischen Betrieb, der Fachbereich für die fachliche Verwendung im Prozess, und Product Owner oder Management für Steuerung und Freigaben. Entscheidend ist, dass diese Rollen vor dem Einsatz klar definiert sind. Eine falsche Empfehlung ist selten nur ein Technikthema.

Welche Aufgaben gehören bei KI in die Geschäftsführung und welche in den Fachbereich?

Die Geschäftsführung legt Einsatzgrenzen, Risikobereitschaft, Freigabekriterien und grundlegende Governance-Vorgaben fest. Der Fachbereich verantwortet, ob die KI im konkreten Prozess fachlich geeignet ist, welche Kontrollpunkte nötig sind und wann menschliche Prüfung eingreifen muss. Strategische Leitplanken gehören nach oben, die fachliche Prozessverantwortung in den Fachbereich.

Braucht jedes Unternehmen eine eigene KI-Governance, auch wenn nur einzelne Tools im Einsatz sind?

Ja, allerdings in passender Form. Auch bei wenigen Anwendungen sollte geklärt sein, wer sie freigibt, wer Risiken prüft, wer Auffälligkeiten bearbeitet und wie der Betrieb überwacht wird. KI-Governance im KMU muss nicht umfangreich sein, aber sie sollte vorhanden sein, sobald KI in Entscheidungen oder Priorisierungen eingreift.

Wie lässt sich KI-Governance schlank halten, ohne zusätzliche Bürokratie zu schaffen?

Am besten mit wenigen klaren Regeln: Use Cases erfassen, Verantwortliche benennen, Freigabe und Eskalation festlegen, Risiken einfach bewerten und den Betrieb aktiv beobachten. Nicht jede Anwendung braucht ein formales Gremium. Wichtig ist, dass Rollen und Entscheidungen nachvollziehbar sind.

Was sollte nach dem Go-live einer KI-Lösung regelmässig überprüft werden?

Geprüft werden sollten vor allem Ergebnisqualität, Auffälligkeiten im Alltag, Veränderungen im Prozess, Rückmeldungen aus den Fachbereichen, notwendige Schulungen und die Frage, ob die bisherigen Kontrollen noch ausreichen. Governance endet nicht mit der Freigabe, sondern setzt sich im Betrieb fort.

Wie werden Fehler oder auffällige KI-Ergebnisse im Alltag richtig eskaliert?

Auffälligkeiten sollten zuerst dort gemeldet werden, wo sie sichtbar werden, meist im Fachbereich. Danach folgt eine erste Beurteilung durch Fachverantwortung oder Product Owner, bei Bedarf zusammen mit der IT. Bei erhöhtem Risiko werden Risk, Compliance oder Management einbezogen. Wichtig ist, dass klar geregelt ist, wer den Einsatz stoppen, einschränken oder unter zusätzliche Kontrolle stellen darf.