AI braucht klare Verantwortung und einen verlässlichen Rahmen
AI unterstützt Mitarbeitende im Alltag, erschliesst Wissen und übernimmt zunehmend Aufgaben in Unternehmensprozessen. Damit wachsen auch die Anforderungen an den verantwortungsvollen Einsatz. Wer entscheidet, welche Anwendungen erlaubt sind? Auf welche Daten dürfen Agenten zugreifen? Und wer trägt die Verantwortung für Ergebnisse und Kosten? Genau darum ging es in unserem Webinar «AI Governance: Recht, Organisation & Technologie für sichere KI» vom 29. Oktober 2026. Ralf Angermann, Fabienne Bouffé und Jan Niederhauser zeigten, wie Unternehmen organisatorische Vorgaben und technische Kontrollen miteinander verbinden.
Schatten-AI zeigt den Handlungsbedarf im Unternehmen
Viele Mitarbeitende nutzen AI bereits für ihre tägliche Arbeit. Häufig kommen dabei auch private Tools und Konten zum Einsatz. Die Live-Umfrage im Webinar zeigte, dass diese Nutzung auch unter den Teilnehmenden verbreitet ist. Gleichzeitig waren Governance-Vorgaben teilweise nicht vorhanden oder nicht bekannt. Für Unternehmen entsteht dadurch eine Lücke zwischen den definierten Regeln und dem tatsächlichen Arbeitsalltag. Der erste Schritt ist deshalb, Transparenz zu schaffen: Welche Anwendungen werden genutzt, mit welchen Daten arbeiten sie und welche freigegebenen Alternativen stehen den Mitarbeitenden zur Verfügung?
AI Governance ist eine Führungsaufgabe
Die Geschäftsleitung legt fest, welche Ziele das Unternehmen mit AI verfolgt, welche Risiken es eingehen möchte und welche Nutzung zulässig ist. Die Fachbereiche verantworten ihre Anwendungsfälle und deren Nutzen. IT und Security setzen technische Kontrollen um und überwachen den Betrieb. Mitarbeitende wiederum müssen Ergebnisse kritisch prüfen und die internen Vorgaben einhalten. Fabienne Bouffé machte deutlich, dass diese Verantwortung über alle Ebenen hinweg geklärt sein muss. Dazu gehören nachvollziehbare Entscheidungen, definierte Zuständigkeiten und ein gemeinsames Verständnis dafür, wann menschliche Kontrolle erforderlich ist.
«Wichtig ist, Governance von Anfang an mitzudenken und nicht nachgelagert zu etablieren.»
Ralf Angermann
Head of AI Solutions
Menschen, Prozesse, Richtlinien und Technologie wirken zusammen
Das im Webinar vorgestellte AI Governance Operating Model umfasst vier Perspektiven: People, Process, Policy und Technology. Menschen benötigen klare Rollen und die passenden Fähigkeiten. Prozesse regeln, wie neue Anwendungsfälle eingereicht, bewertet und freigegeben werden. Interne Richtlinien definieren die erlaubte Nutzung und den Umgang mit Daten. Die Technologie setzt diese Vorgaben über Identitäten, Berechtigungen, Datenschutz und Monitoring um. Wirksam wird das Modell, wenn alle vier Perspektiven ineinandergreifen und die Regeln im Arbeitsalltag verständlich und umsetzbar sind.
Der konkrete Use Case bestimmt die Prüfung
Eine Governance-Prüfung beginnt beim Zweck der Anwendung. Welche Daten werden verarbeitet? Sind Personen von den Ergebnissen betroffen? Welche Folgen könnte eine falsche Antwort oder eine unerwünschte Aktion haben? Im Webinar wurde dies anhand eines Agenten im Kundendienst erläutert, der Anfragen prüft und Antwortentwürfe erstellt. Hier müssen unter anderem die Verantwortung für den Einsatz, die erlaubten Datenquellen und die Prüfung vor dem Versand geklärt sein. Ein dokumentierter Zweck, ein verantwortlicher Owner, eine Datenfreigabe und eine Risikobewertung schaffen die Grundlage für einen kontrollierten Einsatz.
Rechtliche Anforderungen müssen zum Einsatz passen
Welche rechtlichen Anforderungen relevant sind, hängt vom jeweiligen Anwendungsfall und seinem Einsatzgebiet ab. Im Webinar wurden Schweizer Rechtsgrundlagen, mögliche Anforderungen bei einem EU-Bezug sowie internationale Rahmenwerke eingeordnet. Für Unternehmen bedeutet das, rechtliche Fragen früh in die Bewertung einzubeziehen und die Anwendbarkeit im Einzelfall zu klären. Rahmenwerke wie die OECD AI Principles, ISO/IEC 42001 und das NIST AI Risk Management Framework können dabei Orientierung geben, um Verantwortlichkeiten, Risikobewertungen und Governance-Prozesse systematisch aufzubauen.
AI-Kompetenz entsteht durch kontinuierliches Lernen
Damit Mitarbeitende AI verantwortungsvoll einsetzen können, benötigen sie Wissen über die Möglichkeiten und Grenzen der Technologie. Dazu gehören der sichere Umgang mit sensiblen Daten, die Kenntnis der freigegebenen Tools und die Fähigkeit, Ergebnisse kritisch zu beurteilen. Power User und AI Champions können dieses Wissen in den Teams vertiefen und weitergeben. Führungskräfte und Business Owner benötigen zusätzlich das Verständnis, um Risiken zu bewerten und Freigaben zu verantworten. Regelmässige Schulungen und der Austausch über konkrete Erfahrungen helfen, mit der schnellen Entwicklung Schritt zu halten.
Governance begleitet den gesamten Lebenszyklus
AI Governance muss mit den Anwendungen und ihren Einsatzbedingungen weiterentwickelt werden. Der vorgestellte Prozess umfasst fünf Schritte: Discover, Assess, Govern, Protect und Monitor. Unternehmen machen zunächst Anwendungen und Ideen sichtbar, bewerten Risiken, definieren Regeln und setzen Schutzmassnahmen um. Im Betrieb beobachten sie Nutzung, Kosten, Risiken und Veränderungen. Die Erkenntnisse fliessen anschliessend wieder in die Bewertung und Steuerung ein. So bleibt Governance auch dann wirksam, wenn neue Datenquellen hinzukommen, Agenten zusätzliche Aufgaben übernehmen oder sich Anforderungen verändern.
Sichere Alternativen helfen gegen Schatten-AI
Wer die Nutzung privater AI-Tools eindämmen möchte, muss auch die Bedürfnisse der Mitarbeitenden verstehen. Sie suchen häufig einen schnellen und einfachen Weg, ihre Aufgaben zu erledigen. Unternehmen sollten deshalb freigegebene Anwendungen bereitstellen, deren Nutzen erklären und die Teams bei der Einführung begleiten. Ergänzend können technische Kontrollen unerwünschte Anwendungen oder Datenflüsse begrenzen. Jan Niederhauser zeigte im Webinar, wie wichtig dieses Zusammenspiel ist: Klare Vorgaben, geeignete Alternativen und nachvollziehbare Freigabeprozesse erleichtern es den Mitarbeitenden, innerhalb des vorgesehenen Rahmens zu arbeiten.
«Wir glauben nicht, dass nur Verbieten die Antwort sein kann.»
Jan Niederhauser
Copilot Lead & Consultant
Datenzugriffe und Berechtigungen rücken in den Fokus
AI kann Informationen innerhalb kurzer Zeit finden und zusammenführen. Dadurch werden zu weit gefasste Berechtigungen besonders relevant. Daten, die bisher schwer auffindbar waren, können plötzlich in Antworten erscheinen. Unternehmen sollten deshalb prüfen, wer auf welche Inhalte zugreifen darf und wie sensible Informationen klassifiziert und geschützt werden. Im Microsoft-Ökosystem greifen dafür unter anderem Microsoft-365-Berechtigungen, Entra, Purview und Defender ineinander. Sie unterstützen dabei, Zugriffe zu steuern, Daten zu schützen und die Nutzung nachvollziehbar zu machen.
AI-Agenten brauchen einen Owner und klare Spielregeln
Mit der wachsenden Zahl von Agenten steigt der Bedarf an einer zentralen Übersicht. Unternehmen müssen wissen, welche Agenten im Einsatz sind, wer sie verantwortet und welche Daten oder Aktionen für sie freigegeben sind. Besonders bei Anwendungen, die ganze Teams oder geschäftskritische Prozesse unterstützen, ist eine verlässliche Betreuung wichtig. Im Webinar zeigte Jan Niederhauser Einblicke in die Verwaltung im Microsoft-Umfeld und erläuterte die Rolle von Agent 365. Dabei ging es um Transparenz über Bestand, Besitzer, Nutzung und Risiken sowie um Regeln für Freigabe und Betrieb.
Verbrauchsabhängige Kosten verlangen klare Budgets
Neben Sicherheit und Datenschutz gehört auch die Kostensteuerung zur AI Governance. Während klassische Lizenzen gut planbar sind, entstehen bei Agenten zusätzliche Kosten durch die tatsächliche Nutzung. Je nach Aufgabe können mehrere Verarbeitungsschritte, Datenabfragen und Aktionen zusammenkommen. Unternehmen sollten deshalb festlegen, wer Budgets verantwortet und auf welcher Ebene sie den Verbrauch überwachen. Dazu gehören passende Limits und Warnungen für Anwendungen, Teams oder einzelne Personen. So lässt sich der Nutzen eines Agenten im Verhältnis zu seinen laufenden Kosten beurteilen.
Drei Fragen für die nächste Geschäftsleitungssitzung
Zum Abschluss des technischen Teils standen drei konkrete Fragen im Raum: Wer darf bei uns Agenten bauen und teilen? Wer trägt die Verantwortung für AI-Kosten und wo liegen die Limits? Wissen wir, welche Agenten und AI-Anwendungen heute bereits laufen? Diese Fragen bieten einen greifbaren Einstieg, um den eigenen Stand zu beurteilen. Sie zeigen, wo Entscheidungen fehlen, Zuständigkeiten geklärt werden müssen oder zusätzliche Transparenz nötig ist. Daraus lassen sich priorisierte Massnahmen für Organisation und IT ableiten.
AI Governance schafft die Grundlage für sichere Skalierung
Das Webinar zeigte, wie eng Verantwortung, Risikobewertung und technische Umsetzung miteinander verbunden sind. Klare Rollen, verständliche Vorgaben und kontinuierliche Befähigung schaffen Orientierung. Technische Kontrollen unterstützen die Durchsetzung und liefern Nachweise für den Betrieb. Mit dem Online (AI) Governance Service begleiten wir Unternehmen dabei, Standards zu etablieren, Abweichungen zu steuern und ihre Microsoft-365-Umgebung regelmässig zu überprüfen. Du möchtest wissen, wo dein Unternehmen steht? Gemeinsam klären wir die nächsten Schritte für einen sicheren und verantwortungsvollen Einsatz von AI.
Hast du konkrete Fragen oder bereits Use Cases, welche du gerne detaillierter besprechen möchtest?
Unsere Experten stehen gerne mit Rat und Tat zur Seite.
