KI ist im Arbeitsalltag angekommen, meist schneller als die Regeln dafür. Ohne KI-Governance entstehen Datenschutzrisiken (vertrauliche Daten in externen LLMs, also großen KI-Sprachmodellen), Compliance-Risiken durch den EU AI Act und Reputationsrisiken.
Ihre Mitarbeitenden nutzen ChatGPT & Co. bereits, oft ohne Freigabe, ohne Policy und ohne Kontrolle darüber, welche Daten in welches System gelangen. Diese nicht freigegebene Nutzung wird als Schatten-KI bezeichnet.
Risikoklassifizierung, Transparenz, Dokumentation: Der AI Act schafft neue Anforderungen. Die Pflichten für Hochrisiko-KI gelten ab Dezember 2027. Verbote und die Pflicht zur KI-Kompetenz gelten aber schon seit Februar 2025, Transparenzpflichten seit August 2026. Diese Pflichten betreffen praktisch jedes Unternehmen, das KI einsetzt.
Microsoft 365 Copilot (der KI-Assistent in Microsoft 365) wird ausgerollt, doch häufig fehlt ein Berechtigungskonzept dafür. Ohne saubere Klassifizierung führt ein hilfreiches Werkzeug schnell zu Oversharing: Copilot findet und zeigt Inhalte, die für die jeweilige Person nicht bestimmt sind.
Wir bauen Ihre KI-Governance Schritt für Schritt auf, auf Basis der Prinzipien von ISO 42001: risikobasiert, über den gesamten KI-Lebenszyklus, mit klaren Verantwortlichkeiten und kontinuierlicher Verbesserung.
Welche KI-Systeme nutzen Sie, welche Risikoklasse nach EU AI Act gilt und wo sind besondere Maßnahmen nötig?
Klare Regeln in einer KI-Policy: Wer darf welche KI-Tools wie nutzen, und welche Daten dürfen in welche Systeme? Inklusive Freigabeprozess für neue Anwendungen.
Wer KI-Systeme einsetzt, muss Maßnahmen ergreifen, um die KI-Kompetenz (AI Literacy) der Mitarbeitenden zu fördern. Das gilt seit Februar 2025, unabhängig von Risikoklasse und Unternehmensgröße. Wir entwickeln ein Schulungskonzept nach Rolle und Einsatzzweck und dokumentieren es nachweisbar.
Acht KI-Praktiken sind seit Februar 2025 verboten, etwa Social Scoring oder Emotionserkennung am Arbeitsplatz. Ab Dezember 2026 kommen zwei weitere hinzu. Solche Funktionen stecken mitunter unbemerkt in eingekauften Tools, zum Beispiel in HR-Software für Bewerbungsprozesse. Wir prüfen Ihre KI-Systeme gegen die Verbotsliste.
Betroffenheits- und Hochrisiko-Bewertung, Dokumentations- und Transparenzpflichten, abgestimmt auf den aktuellen EU-Zeitplan.
Sichere Einführung von Microsoft 365 Copilot: Berechtigungskonzept, Sensitivity Labels (Vertraulichkeitskennzeichnungen) für den KI-Zugriff und DLP (Data Loss Prevention, Schutz vor Datenabfluss), um Oversharing zu verhindern. Die technische Umsetzung erfolgt mit Microsoft Purview. Sie sind unsicher, ob Ihr Unternehmen bereit ist? Der kostenlose Copilot-Readiness-Check gibt Ihnen in 8 Fragen eine erste Einordnung.
Aufbau eines KI-Managementsystems angelehnt an ISO 42001 und integriert in Ihr bestehendes ISMS nach ISO 27001 (Informationssicherheits-Managementsystem), mit kontinuierlicher Überwachung und Verbesserung.
KI-Governance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess, der mit jedem neuen KI-Tool mitwächst.
30 Minuten: Wir verstehen Ihre KI-Nutzung, klären die Treiber (AI Act, Copilot, Kundenanforderung) und schätzen die Risiken ein.
Was wird tatsächlich genutzt, offiziell und inoffiziell? Wir erfassen die KI-Systeme und ordnen sie nach Risikoklasse ein.
Wir erstellen Ihre KI-Policy und setzen die technischen Maßnahmen um, von Freigabeprozessen bis zur Absicherung von Copilot.
Laufende Governance: Neue KI-Tools werden bewertet, die Maßnahmen überprüft und kontinuierlich verbessert.
Empfehlungen für unseren Inhaber von Kund:innen und Kolleg:innen aus DAX-Konzernen, Mittelstand und Beratung, öffentlich einsehbar auf LinkedIn.
Wir haben zusammen in drei Jahren mehrere globale IT-Security-Projekte in einem DAX-Konzern überaus erfolgreich umgesetzt. Er ist nicht nur ein hervorragender Security Consultant mit exzellentem, technischen Know-how, sondern er schaut auch immer über den Tellerrand, geht die Extra Meile, ist äußerst zuverlässig — und dann einfach noch so ein herzensguter Mensch mit tollem Charakter.
Ein äußerst kompetenter und zuverlässiger Experte im Bereich Data Loss Prevention (DLP), Microsoft Purview und Data Labeling. Er verbindet tiefes fachliches Know-how mit einer strukturierten, lösungsorientierten Arbeitsweise und überzeugt durch Professionalität sowie eine sehr angenehme Zusammenarbeit.
Was ihn auszeichnet, ist die seltene Kombination aus tiefem technischem Know-how und dem Gespür dafür, komplexe Sicherheitsthemen verständlich und praxisnah zu vermitteln. Ob ISMS-Aufbau, ISO 27001, KRITIS-Compliance oder NIS2 — er bringt nicht nur das fachliche Fundament mit, sondern auch die Erfahrung, regulatorische Anforderungen wirklich in der Organisation zu verankern.
Ein sehr kompetenter Berater, der ein breites Spektrum von Tätigkeiten im Bereich Informationssicherheit abdecken kann. Dort beschränkt er sich nicht nur auf reine Beratung, sondern packt bei Bedarf auch bei der Umsetzung mit an. Als Projektleiter oder Verantwortlicher für Arbeitspakete agiert er dezent, aber dennoch wirkungsvoll — und erreicht so bei Kunden und Kollegen eine hohe Wertschätzung.
KI-Governance ist der organisatorische Rahmen, mit dem ein Unternehmen den Einsatz künstlicher Intelligenz steuert: Welche KI-Systeme werden genutzt, wer darf sie wie einsetzen, welche Risiken entstehen und wie werden regulatorische Anforderungen wie der EU AI Act erfüllt. Sie umfasst Richtlinien (KI-Policy), Risikoklassifizierung, Verantwortlichkeiten und kontinuierliche Überwachung, angelehnt an die Prinzipien von ISO 42001.
Mit hoher Wahrscheinlichkeit ja, sobald Sie KI-Systeme entwickeln, einkaufen oder einsetzen. Dazu zählen auch ChatGPT, Copilot und vergleichbare Tools. Der AI Act stuft KI nach Risiko ein. Die Pflichten für Hochrisiko-Systeme wurden durch den sogenannten Digital Omnibus (Verordnung (EU) 2026/1744) verschoben: auf Dezember 2027 für eigenständige Systeme nach Anhang III (etwa im Personalwesen oder bei der Kreditvergabe) und auf August 2028 für Systeme, die in Produkte nach Anhang I eingebettet sind. Die Verschiebung ist aber kein Freibrief: Die Pflicht zur KI-Kompetenz und die Verbote gelten bereits seit Februar 2025, die Transparenzpflichten seit August 2026. Eine Betroffenheits- und Risikoanalyse schafft Klarheit, unabhängig vom aktuellen Fristenstand.
Seit dem 2. Februar 2025 müssen alle Unternehmen, die KI-Systeme anbieten oder einsetzen, Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden zu fördern. Das gilt unabhängig von Risikoklasse und Unternehmensgröße, also auch, wenn Ihr Team nur ChatGPT oder Copilot nutzt. Seit dem Digital Omnibus ist die Pflicht als Förderpflicht formuliert: Ein bestimmtes Kompetenzniveau jeder einzelnen Person muss nicht garantiert werden, die Maßnahmen sollten aber zu Rolle und Einsatzzweck passen und nachweisbar sein. In der Praxis heißt das: ein Schulungskonzept, das festlegt, wer was wissen muss, und eine Dokumentation der durchgeführten Schulungen.
Artikel 5 des AI Act verbietet seit dem 2. Februar 2025 acht Praktiken, darunter Social Scoring, manipulative Techniken, die Verhalten unbemerkt beeinflussen, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen) sowie bestimmte biometrische Kategorisierungen. Ab dem 2. Dezember 2026 kommen zwei weitere Verbote hinzu: KI, die ohne Einwilligung intime Bilder realer Personen erzeugt, und KI, die Darstellungen von Kindesmissbrauch erzeugt. Für Unternehmen ist vor allem relevant, dass verbotene Funktionen in eingekauften Tools stecken können, etwa eine Emotionsanalyse in Software für Bewerbungsgespräche. Ein Abgleich Ihrer KI-Systeme mit der Verbotsliste schafft hier schnell Sicherheit.
ISO/IEC 42001 ist die erste internationale Norm für KI-Managementsysteme (AI Management System, AIMS), veröffentlicht Ende 2023. Sie überträgt das bewährte Managementsystem-Prinzip, das ISO 27001 für die Informationssicherheit etabliert hat, auf den verantwortungsvollen Umgang mit KI: risikobasiert, über den gesamten KI-Lebenszyklus, mit klaren Rollen und kontinuierlicher Verbesserung.
Ja. Sobald Mitarbeitende KI-Tools nutzen, und das ist in den meisten Unternehmen bereits der Fall, brauchen Sie klare Regeln, welche Tools für welche Daten erlaubt sind und wie neue KI-Anwendungen freigegeben werden. Eine KI-Policy verhindert, dass vertrauliche Daten unkontrolliert in fremde Systeme gelangen, und ist die Grundlage jeder weiteren Governance.
Sehr eng. Ein KI-Managementsystem nach ISO 42001 baut auf denselben Prinzipien auf wie ein ISMS nach ISO 27001 und lässt sich in ein bestehendes ISMS integrieren, statt parallele Strukturen aufzubauen. Wer bereits ein ISMS betreibt, hat einen erheblichen Vorsprung bei der KI-Governance.
Zwei kurze Schritte genügen, um Ihre Ausgangslage einzuordnen. So kann das Erstgespräch gezielt an Ihrer Situation ansetzen. Unverbindlich und ohne Verkaufsgespräch.
Oder direkt: hello@welabs.de | +49 6134 5079570
