Die wachsende Kluft zwischen KI-Politik und ihrer Durchsetzung in der Praxis

Für KI gibt es kein einheitliches Regelwerk

KI wird branchen- und anwendungsübergreifend schneller eingesetzt, als die dafür erforderlichen Richtlinien und Governance-Rahmenwerke zu ihrer Aufsicht weiterentwickelt werden können. Historisch unterlagen KI-Anwendungen weitgehend den bestehenden Vorschriften zum Verbraucherschutz und Datenschutz sowie branchenspezifischen Regelungen und den internen Richtlinien der Unternehmen. Regierungen führen inzwischen KI-spezifische Anforderungen ein. Diese sind jedoch nach wie vor uneinheitlich und geben oft nur begrenzt vor, wie Systeme tatsächlich funktionieren sollen. Unternehmen müssen daher externe Anforderungen mit ihrer eigenen Risikobereitschaft, ihren Produktzielen und den betrieblichen Gegebenheiten in Einklang bringen.

Die EU setzt Teile des AI Act inzwischen aktiv durch, während die US-Bundespolitik ausdrücklich einen weniger aufwendigen nationalen Rahmen befürwortet. Mit Executive Order 14365 sollen widersprüchliche Anforderungen der Bundesstaaten begrenzt werden, obwohl diese 2025 mehr als 1.000 KI-bezogene Maßnahmen eingebracht haben. Jede dieser Instanzen verfolgt ein anderes Ziel, und die Unternehmen, die die Systeme entwickeln und einsetzen, müssen die unterschiedlichen Vorgaben miteinander in Einklang bringen.

Regulatorische Anforderungen festzulegen, ist jedoch nur ein Teil der Herausforderung. Da KI in immer mehr Anwendungen und Zusammenhängen eingesetzt wird, müssen Unternehmen weit gefasste Anforderungen und interne Richtlinien in operative Kontrollen und einzelne KI-Entscheidungen übersetzen. Kein regulatorischer Rahmen kann jede Anwendung, jeden Kontext und jeden Zielkonflikt vorwegnehmen. Organisationen müssen daher den Weg von den maßgeblichen Anforderungen und internen Richtlinien über das Systemverhalten und messbare Ergebnisse bis hin zu Prüfungen und Überprüfungen nachvollziehen können. Das NIST AI Risk Management Framework verfolgt einen ähnlichen Ansatz: Es betont die laufende Messung und Steuerung, statt Governance als eigenständige Compliance-Übung zu behandeln. Anforderungen werden von oben nach unten weitergegeben, Nachweise fließen nach oben zurück: Aufsichtsbehörden und Führungskräfte können die gewünschten Ergebnisse festlegen, doch die Organisationen müssen belegen, ob ihre Systeme diese tatsächlich erzielen.

Damit liegt ein großer Teil der praktischen Verantwortung für die KI-Governance bei den Organisationen, die diese Systeme einsetzen.

Governance wird bei der Umsetzung zur Herausforderung

Vorschriften und Governance-Rahmenwerke legen in der Regel Grundsätze, Pflichten und gewünschte Ergebnisse fest. In Produktivsystemen müssen diese jedoch in einzelne Entscheidungen übersetzt werden – und genau dabei wird Governance schwierig. Eine Richtlinie kann vorgeben, Diskriminierung zu verhindern, Nutzer zu schützen, Transparenz zu schaffen oder eine wirksame menschliche Überprüfung zu ermöglichen. Ein operatives System muss jedoch weit konkretere Fragen beantworten: Ab welchem Schwellenwert greift es ein? Auf Grundlage welcher Belege und mit welcher Sicherheit? Wann ist eine menschliche Überprüfung erforderlich? Was wird protokolliert? Und was geschieht, wenn das System unsicher ist?

Aufsichtsbehörden erwarten bereits Antworten auf diese Fragen. FTC, DOJ, CFPB und EEOC erklärten gemeinsam, dass sie ihre bestehenden Befugnisse auch bei automatisierten Systemen durchsetzen werden. Das bedeutet, dass ein Unternehmen früher oder später erklären muss, wie sein System Entscheidungen trifft.

Stellen Sie sich eine Plattform mit einer klaren Richtlinie gegen Belästigung vor. Eine Nachricht mit Schimpfwörtern kann harmloses Geplänkel unter Freunden sein, während eine scheinbar harmlose Nachricht Teil einer anhaltenden Kampagne gegen einen anderen Nutzer sein kann. Das System muss feststellen, welchen Kontext es zuverlässig berücksichtigen kann, wie viele Belege für ein Eingreifen erforderlich sind und welche Maßnahme angemessen ist: die Nachricht blockieren, den Absender warnen, den Fall zur menschlichen Überprüfung weiterleiten oder nichts unternehmen. Werden die Erkennungsschwellen gesenkt, lässt sich möglicherweise mehr schädliches Verhalten erfassen, doch zugleich kann legitime Kommunikation unterdrückt werden. Eine vorgeschriebene menschliche Überprüfung kann die Qualität der Beurteilung verbessern, ein Eingreifen aber verzögern. Keine dieser Entscheidungen ist in einer allgemeinen Richtlinie gegen Belästigung festgelegt. Zusammengenommen bestimmen sie jedoch, wie diese Richtlinie tatsächlich durchgesetzt wird.

Kein Richtliniendokument entscheidet diese Zielkonflikte im Voraus. Deshalb muss jemand im Unternehmen die Entscheidungen treffen, dokumentieren und regelmäßig überprüfen. Diese Person gestaltet faktisch die Richtlinien – unabhängig davon, ob das Organigramm ihr diese Aufgabe zuweist.

Was verantwortungsvolle KI tatsächlich erfordert

Wenn diejenigen, die ein System umsetzen, faktisch auch die Richtlinien festlegen, kann verantwortungsvolle KI nicht bloß als Absichtserklärung behandelt werden. Sie muss sich im täglichen Verhalten des Systems zeigen. Das bedeutet, den Einsatz und die Messung von KI sowie ihre fortlaufende Korrektur zu steuern – und nicht nur eine Richtlinie zu genehmigen oder eine erste Bewertung zu bestehen. Drei Gedanken sind in der Praxis besonders wichtig; sie ergeben sich aus den oben beschriebenen Zielkonflikten:

• Der Umfang der Governance sollte sich nach den möglichen Folgen richten. Ein KI-System, das Textvorschläge erstellt, Kredite bewilligt, auf eine Sicherheitsbedrohung hinweist oder eine medizinische Entscheidung unterstützt, birgt jeweils ganz unterschiedliche Risiken. Organisationen müssen anhand der möglichen Folgen bestimmen, wo strengere Kontrollen, Überprüfungen und Aufsicht erforderlich sind.
• Genauigkeit allein reicht nicht aus. Fehler haben unterschiedliche Folgen. Ein falsch-positives Ergebnis bei der Moderation kann legitime Äußerungen unterdrücken, während ein Fehler bei der Kreditvergabe, im Gesundheitswesen oder im Sicherheitsbereich weitaus schwerwiegendere Folgen haben kann. Governance muss die tatsächlichen Auswirkungen einer Entscheidung berücksichtigen, nicht nur die Modellleistung.
• Kontinuierliche Bewertung und Rückmeldungen sind unverzichtbar. Manuelle Übersteuerungen, Einsprüche, Vorfälle, Grenzfälle und nachgelagerte Ergebnisse sollten alle in die laufende Bewertung einfließen.

Ein praktischer Rahmen für die interne KI-Governance

Damit diese Grundsätze in die Praxis umgesetzt werden können, muss Governance in die Entwicklung, Bereitstellung und Verwaltung von KI-Systemen integriert sein. Vier Praktiken sind besonders wichtig:

• Governance-Anforderungen von Anfang an als Produkt- und Systemanforderungen behandeln. Nach der Bereitstellung hinzugefügte Compliance-Kontrollen sind oft kostspielig und fragil. Datenschutz, Transparenz, Nachvollziehbarkeit und Prüfmechanismen lassen sich viel leichter von Anfang an in ein System integrieren, als sie nachträglich einzubauen.
• Eine nachvollziehbare Kette von der Richtlinie bis zur Entscheidung schaffen. Unternehmen sollten die maßgebliche Anforderung oder interne Richtlinie mit der angewandten Kontrolle und der daraus resultierenden Entscheidung verknüpfen können. Außerdem benötigen sie die Nachweise, die für deren Bewertung erforderlich sind.
• Klare Zuständigkeiten und Verantwortlichkeiten festlegen. Legen Sie fest, wer für die Richtlinie zuständig ist, wer das akzeptable Risiko bestimmt und wer die Leistung überwacht. Außerdem sollte jemand befugt sein einzugreifen, wenn sich das System außerhalb dieser Grenzen verhält.
• Eine gemeinsame, anpassungsfähige Governance-Infrastruktur aufbauen. Datenkontrollen, Prüfpfade, konfigurierbare Richtlinien, Prüfabläufe und Messverfahren sollten mehrere regulatorische Anforderungen und Anwendungsfälle unterstützen. Kontrollen und Schwellenwerte sollten sich an die jeweilige Rechtsordnung, Anwendung und das jeweilige Risiko anpassen lassen, damit Unternehmen auf veränderte Anforderungen reagieren können, ohne ihre Systeme neu aufbauen zu müssen.

Governance muss in der Praxis funktionieren

Regulierung kann Pflichten und Grundsätze festlegen, doch Unternehmen müssen diese weiterhin in Systeme übersetzen, die im großen Maßstab tatsächliche Entscheidungen treffen. Dadurch wird interne Governance zu einer betrieblichen Verantwortung und ist nicht bloß eine Compliance-Übung. Jedes Unternehmen, das KI im großen Maßstab einsetzt, legt bereits durch seine Schwellenwerte, Prüfregeln und Eskalationswege Richtlinien fest. Die einzige offene Frage ist, ob es dies bewusst tut.

Regulierungsbehörden werden weiterhin die von ihnen gewünschten Ergebnisse festlegen, und sie werden sich nicht immer einig sein. Daher muss das Unternehmen entscheiden, wie diese Erwartungen in Kontrollen umgesetzt werden, und anschließend anhand von Nachweisen belegen, dass die Kontrollen funktionieren. Unternehmen, die jetzt klare Zuständigkeiten, messbare Kontrollen, Nachvollziehbarkeit und eine anpassungsfähige Infrastruktur schaffen, sind besser aufgestellt, wenn sich die Regulierung weiterentwickelt.

Ich habe dieses Problem aus verschiedenen Perspektiven erlebt: in der Cybersicherheit, beim Aufbau von Risikomodellen und inzwischen beim Betrieb von KI-Systemen im großen Maßstab. In all diesen Bereichen ist die Erkenntnis ähnlich: Ein Rahmen funktioniert nur, wenn er sich in klare Entscheidungen übersetzen, in der Praxis messen und verbessern lässt, sobald die Realität Lücken aufzeigt.