KI-Governance aufbauen: EU AI Act, ISO 42001, Rolle
KI-Governance bezeichnet das System aus Regeln, Rollen und Nachweisen, mit dem ein Unternehmen den Einsatz künstlicher Intelligenz steuert – von der Risikoklassifizierung nach dem EU AI Act über Managementstandards wie ISO/IEC 42001 bis zu internen KI-Richtlinien. Für Nachwuchsführungskräfte und Senior Consultants zwischen 30 und 40 ist das kein trockenes Compliance-Thema, sondern ein seltener Startpunkt bei null: Die Rolle entsteht in den meisten Organisationen gerade erst offiziell, erfahrene Spezialistinnen und Spezialisten gibt es kaum. Dieser Text erklärt die Governance-Grundlagen und zeigt, wie sich daraus eine nachweisbare interne Positionierung aufbauen lässt, bevor der Titel im Organigramm auftaucht.
Warum KI-Regulierung zum Differenzierungsmerkmal wird
Der EU AI Act ist seit August 2024 in Kraft und wird gestaffelt bis 2027 anwendbar – das erste umfassende KI-Gesetz weltweit. Parallel gilt seit Ende 2023 mit ISO/IEC 42001 der erste zertifizierbare Managementstandard für KI-Systeme. Beide Regelwerke sind so jung, dass niemand mit zwanzig Jahren Erfahrung aufwarten kann. Genau darin liegt die Chance: In einem Feld, in dem jede Generation gleich startet, führt der schnellste Weg zu einem eigenen Thema über frühes Handeln statt über Seniorität.
Die Nachfrage ist real: 46 Prozent der Führungskräfte nennen Kompetenzlücken in ihrer Belegschaft als wesentliches Hindernis für die KI-Einführung, und aktuelle Berichte fordern ausdrücklich neue Rollen für KI-Betrieb, Modellaufsicht und Compliance. Diese Lücke zu füllen bedeutet, über einen konkreten Bedarf des Unternehmens zu verhandeln – nicht über Sichtbarkeit.
Wer die Governance-Dokumente aus dem eigenen Wissen bauen will, aber die Methodik dahinter sucht, findet im zwölfwöchigen Einzel-Coaching zur beruflichen Positionierung einen strukturierten Weg. In sechs Sitzungen entstehen drei Dokumente: ein Portfolio, das nachweisbare Fähigkeiten den konkreten Bedarfen im Unternehmen zuordnet, ein Positionspapier und eine Kommunikationsplanung über zwölf Monate. Gerrit Grunert überträgt dabei Positionierungsmethodik aus dem Marketing – den Content Marketing Canvas, dokumentiert in einem Springer-Gabler-Lehrbuch – auf Einzelpersonen. Der Unterschied zum klassischen Karrierecoaching: Dort entsteht ein Entwicklungsplan aus Zielen und Verhalten, hier ein nachprüfbares Arbeitsverfahren, das im Jahresgespräch, bei der Projektbesetzung oder im Gehaltsgespräch wirkt.
Positionierung lässt sich auch im Team erarbeiten, wenn bei einer Reorganisation ansteht, wer künftig welche Rolle bekommt. Das zwölfwöchige Gruppen-Coaching für Teams von sechs bis zehn Personen führt jeden Teilnehmer dahin, sein Angebot an das Unternehmen zu benennen, zu belegen und zu kommunizieren. Sechs Sitzungen und zwei Einzelgespräche je Person münden in ein Portfolio und ein Positionspapier pro Teilnehmer sowie eine Kommunikationsplanung auf Team-Ebene. Der gemeinsame Vergleichsmaßstab macht die Beiträge einzelner Personen im Team nachvollziehbar – auf Basis marktgetesteter Marketing-Methodik statt reiner Sichtbarkeitsarbeit.
Für einen kompakten Einstieg eignet sich der eintägige Positionierungs-Workshop für acht bis fünfzehn Teilnehmer, optional als zweitägiges Training. Sieben Blöcke über einen Arbeitstag verbinden Impulsvortrag, Kartenabfrage zu Entscheidern und Bedarfsträgern, Stillarbeit am Leistungsversprechen und ein Rollenspiel zum Jahresgespräch. Am Ende stehen drei Dokumente: ein Bedarfsträger-Profil, ein individueller Positionierungsentwurf je Teilnehmer und eine gemeinsame Team-Positionierung. Der Ansatz grenzt sich vom Karrierecoaching ab, weil er den eigenen Beitrag in den Mittelpunkt stellt – und häufig über das Weiterbildungsbudget des Arbeitgebers finanzierbar ist.
Kernkonzepte: EU AI Act, Risikoklassen und ISO/IEC 42001
Die drei Bausteine der KI-Governance lassen sich klar trennen. Der EU AI Act regelt, was erlaubt ist; ISO/IEC 42001 regelt, wie man es organisiert; die interne KI-Richtlinie regelt, was im eigenen Haus konkret gilt. Wer alle drei Ebenen versteht, kann für jede KI-Anwendung im Unternehmen eine Einordnung liefern – und genau das ist die Dienstleistung, die intern gebraucht wird.
Die vier Risikoklassen des EU AI Act
Der EU AI Act teilt KI-Systeme in vier Risikoklassen ein. Die Einstufung bestimmt, welche Pflichten für Anbieter und Betreiber gelten.
- Inakzeptables Risiko: Verbotene Anwendungen wie Social Scoring oder manipulative KI. Diese Systeme dürfen gar nicht eingesetzt werden.
- Hohes Risiko: KI in Bereichen wie Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Hier greifen umfangreiche Dokumentations- und Prüfpflichten.
- Begrenztes Risiko: Systeme mit Transparenzpflicht, etwa Chatbots, die sich als KI zu erkennen geben müssen.
- Minimales Risiko: Der Großteil der Anwendungen, etwa Spamfilter, ohne besondere Auflagen.
Ein Beispiel: Ein Unternehmen setzt ein KI-Tool zur Vorauswahl von Bewerbungen ein. Dieses System fällt in die Kategorie Hohes Risiko. Das bedeutet: Dokumentation der Trainingsdaten, menschliche Aufsicht, Konformitätsbewertung. Wer diese Einstufung für das eigene Unternehmen vornimmt und festhält, hat ein Ergebnis, das im nächsten Audit oder Talentgespräch auf dem Tisch liegt.
Was ISO/IEC 42001 ergänzt
ISO/IEC 42001 beschreibt ein AI Management System (AIMS) – einen festgelegten Rahmen für Governance, Risikomanagement und kontinuierliche Verbesserung des KI-Einsatzes. Der Standard ist zertifizierbar und liefert damit einen überprüfbaren Nachweis, während der EU AI Act die gesetzliche Pflicht setzt. Studien zeigen, dass die Einführung eines AIMS Prozesse optimiert, Kosten senkt und Innovation fördert. Der Standard verlangt unter anderem eine KI-Politik, eine Risikobehandlung und ein Verfahren zur Überwachung der Systemleistung. Für die eigene Rolle ist entscheidend: Eine Gap-Analyse – der Abgleich zwischen Ist-Zustand und AIMS-Anforderungen – lässt sich ohne Zertifizierungsauftrag erstellen und ist sofort als Entscheidungsvorlage nutzbar.
Gut zu wissen: Verstöße gegen den EU AI Act können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Wer diese Zahl im Talentgespräch nennen kann, verhandelt über Risiko, nicht über Meinung.
Vergleich der Governance-Bausteine
Die drei Governance-Ebenen ergänzen sich, ersetzen sich aber nicht gegenseitig. Die folgende Tabelle zeigt, welchen Charakter jeder Baustein hat und welches Ergebnis Sie daraus für Ihre eigene Rolle ableiten.
| Baustein | Charakter | Nachweis für die eigene Rolle |
|---|---|---|
| EU AI Act | Gesetzliche Pflicht, risikobasiert | Risikoeinstufung eigener Use Cases |
| ISO/IEC 42001 | Freiwilliger, zertifizierbarer Standard | AIMS-Gap-Analyse |
| Interne KI-Richtlinie | Unternehmensspezifische Regel | Selbst verfasstes Policy-Dokument |
Der EU AI Act gibt den gesetzlichen Rahmen vor. ISO/IEC 42001 liefert die Struktur, um diesen Rahmen operativ umzusetzen. Die interne KI-Richtlinie übersetzt beides in die Sprache und Prozesse des eigenen Unternehmens. Wer alle drei Ergebnisse vorlegen kann, verfügt über eine Governance-Kompetenz, die sich nicht durch eine Stellenbeschreibung ersetzen lässt.
Von der Regelkenntnis zum eigenen Angebot
Der entscheidende Unterschied zu Personal Branding: Hier entsteht zuerst das Angebot, dann die Sichtbarkeit. Regelkenntnis allein ist noch keine Positionierung – sie wird erst dann zur Verhandlungsgrundlage, wenn sie zu einem greifbaren Ergebnis führt, das Sie auf den Tisch legen können.
Ergebnis-Dokumente, die im Talentgespräch zählen
Drei Dokumente reichen, um den Unterschied zwischen Interesse und Kompetenz zu belegen:
- KI-Inventar: Eine Liste der im Team eingesetzten KI-Werkzeuge mit Risikoeinstufung nach EU AI Act. Beispiel: Tabellarische Erfassung aller Tools mit Spalten für Anwendungsbereich, Risikoklasse und verantwortliche Person.
- Gap-Analyse: Ein kurzer Abgleich des Ist-Zustands mit den Anforderungen von ISO/IEC 42001. Das Dokument zeigt, wo das Unternehmen steht und wo Handlungsbedarf besteht.
- Richtlinien-Entwurf: Ein zweiseitiges Dokument, das den verantwortungsvollen KI-Einsatz für die eigene Abteilung regelt – von der Freigabe neuer Tools bis zur Dokumentationspflicht.
Wie das Angebot im internen Markt wirkt
Ein konkretes Szenario: Sie erstellen ein KI-Inventar für Ihre Abteilung und stellen fest, dass ein eingesetztes Recruiting-Tool in die Hochrisiko-Kategorie fällt. Sie halten die Lücke fest, skizzieren die nötigen Maßnahmen und legen das Ergebnis Ihrer Führungskraft vor. Das ist keine Empfehlung am Rande – das ist eine Risikomeldung mit Lösungsansatz. Die Führungskraft muss reagieren, und Sie sind die Person, die das Thema bereits durchdrungen hat. So entsteht eine Verhandlungsposition, die auf einem festgestellten Bedarf basiert.
Eine solche Governance-Positionierung macht den eigenen Wert im Umbau planbar. Wer den Aufbau nicht allein stemmen will, kann ihn – als eine Option von mehreren – mit einer spezialisierten Positionierungsarbeit von Gerrit Grunert entwickeln, der Methodenkompetenz in den Mittelpunkt stellt.
Zeitplan: Wann welche Pflichten greifen
Der EU AI Act wird nicht auf einen Schlag wirksam. Die gestaffelte Anwendung gibt Unternehmen – und Ihnen – einen klaren Zeitrahmen.
| Zeitpunkt | Pflicht | Handlungsfeld für Ihre Positionierung |
|---|---|---|
| Februar 2025 | Verbot inakzeptabler KI-Systeme | Prüfung, ob verbotene Anwendungen im Einsatz sind |
| August 2025 | Pflichten für Allzweck-KI-Modelle | Dokumentation genutzter Foundation Models |
| August 2026 | Pflichten für Hochrisiko-Systeme | Vollständiges KI-Inventar mit Risikoklassifizierung |
Dieser Zeitplan zeigt: Die Pflichten für Hochrisiko-Systeme greifen jetzt. Wer bis hierhin kein Inventar erstellt hat, ist spät dran. Wer es bereits hat, ist die Ansprechperson, wenn die Geschäftsführung nach dem Stand fragt.
Neue Rollen in der KI-Governance – und wie Sie sie besetzen
Die Rolle des KI-Governance-Verantwortlichen wird sich verselbstständigen. Berichte prognostizieren eigenständige Funktionen für Modellaufsicht und Compliance. Wer sich heute als Ansprechpartner etabliert, besetzt eine Position, bevor sie ausgeschrieben wird – und schafft sich damit auch am externen Markt eine Verhandlungsgrundlage.
| Kennzahl | Wert | Bedeutung für Talente |
|---|---|---|
| Führungskräfte mit Kompetenzlücke als Hindernis | 46 % | Konkreter, benannter Bedarf |
| Unternehmen mit KI-Nutzung | 76–92 % | Governance betrifft fast jeden Arbeitgeber |
| Unternehmen mit KI-Reife | ~1 % | Großer Spielraum für Aufbau |
Die Zahlen zeigen eine Schere: Die große Mehrheit der Unternehmen nutzt KI, aber nur ein Bruchteil hat die Governance dafür aufgebaut. Diese Lücke ist ein konkreter Bedarf, den Sie mit den drei genannten Dokumenten – Inventar, Gap-Analyse, Richtlinie – adressieren können. Neue Rollentitel wie AI Compliance Officer, KI-Risikomanager oder Verantwortlicher für KI-Governance tauchen in Stellenausschreibungen auf. Wer die Arbeit bereits macht, bevor der Titel existiert, hat im Besetzungsprozess einen nachweisbaren Vorsprung.
Gut zu wissen: Der EU AI Act verlangt für Hochrisiko-Systeme eine menschliche Aufsicht. Das ist keine Formalität, sondern eine Funktion, die jemand übernehmen muss. Wer diese Funktion bereits informell ausfüllt und festhält, hat eine Verhandlungsgrundlage für die formale Besetzung.
Die ersten Schritte zur KI-Governance-Positionierung
Der Einstieg gelingt ohne offizielles Mandat. Sie klassifizieren die eigenen KI-Anwendungen nach dem EU AI Act, gleichen sie mit ISO/IEC 42001 ab und formulieren eine schlanke interne Richtlinie. Diese drei Ergebnisse sind der Unterschied zwischen „interessiert sich für KI“ und „ist die Ansprechperson für verantwortungsvolle KI“. In einem jungen Feld kommt schneller voran, wer früh anfängt – und macht sich damit im internen Markt zum erkennbaren Anbieter der eigenen Arbeit.
Konkret heißt das: Nehmen Sie sich diese Woche eine Stunde, listen Sie die KI-Tools Ihres Teams auf und ordnen Sie jedes Tool einer der vier Risikoklassen zu. Das Ergebnis ist Ihr erstes Governance-Dokument. Legen Sie es Ihrer Führungskraft vor – als Arbeitsdokument, nicht als Präsentation. Der Rest folgt daraus.
Häufig gestellte Fragen (FAQ)
Ab wann gilt der EU AI Act für mein Unternehmen konkret?
Der EU AI Act ist seit August 2024 in Kraft und wird gestaffelt bis 2027 anwendbar. Verbote inakzeptabler Systeme greifen seit Februar 2025, die Pflichten für Hochrisiko-Systeme seit August 2026. Für die eigene Positionierung ist der Übergangszeitraum ideal, weil Unternehmen jetzt Verantwortliche suchen.
Brauche ich eine Zertifizierung, um in KI-Governance glaubwürdig zu sein?
Nein. Glaubwürdigkeit entsteht über nachweisbare Ergebnisse wie ein KI-Inventar oder eine Gap-Analyse, nicht allein über ein Zertifikat. ISO/IEC 42001 hilft als Rahmen, ist aber keine Voraussetzung für die Rolle. Entscheidend ist, dass Sie ein fertiges Ergebnis vorlegen können, das einen konkreten Bedarf im Unternehmen adressiert.
Unterscheidet sich KI-Governance-Positionierung von Personal-Branding-Coaching?
Ja, grundlegend. Personal Branding arbeitet an Sichtbarkeit und Außenwirkung; bei der Governance-Positionierung entsteht zuerst ein Angebot mit Methodenkompetenz. Der Fokus liegt auf dem internen Entscheidungssystem – auf Ergebnissen, die in Talentgesprächen, Projektbesetzungen und Gehaltsverhandlungen wirken –, nicht auf Reichweite oder externen Plattformen.
Wie viel Vorwissen brauche ich für den Einstieg in KI-Governance?
Weniger als vermutet, weil das Feld jung ist. Die Kernkonzepte – vier Risikoklassen, AIMS-Grundstruktur, interne Richtlinie – lassen sich in wenigen Wochen erarbeiten. Der EU AI Act und ISO/IEC 42001 existieren erst seit 2023 bzw. 2024. Niemand hat einen Erfahrungsvorsprung von Jahrzehnten, und genau das macht den Einstieg für Nachwuchsführungskräfte attraktiv.
Welche konkreten Dokumente sollte ich zuerst erstellen?
Starten Sie mit dem KI-Inventar: eine tabellarische Liste aller KI-Tools im eigenen Verantwortungsbereich, jeweils mit Risikoklasse nach EU AI Act. Darauf aufbauend erstellen Sie eine Gap-Analyse gegen ISO/IEC 42001 und formulieren einen Richtlinien-Entwurf für Ihre Abteilung. Diese drei Dokumente zusammen belegen, dass Sie das Thema nicht nur kennen, sondern operativ bearbeiten.
Quellen
Europäische Kommission (2025): AI Act – Regulatory framework on Artificial Intelligence. URL: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai (Zugriff am 29.08.2026).
Future of Life Institute (2025): High-level summary of the AI Act. URL: https://artificialintelligenceact.eu/high-level-summary/ (Zugriff am 29.08.2026).
BSI Group (2025): ISO/IEC 42001 – AI Management System. URL: https://www.bsigroup.com/en-GB/products-and-services/standards/iso-42001-ai-management-system/ (Zugriff am 29.08.2026).
McKinsey & Company (2025): AI in the workplace: A report for 2025. URL: https://www.mckinsey.com/capabilities/tech-and-ai/our-insights/superagency-in-the-workplace-empowering-people-to-unlock-ais-full-potential-at-work (Zugriff am 29.08.2026).
