KI-Governance legt die Regeln für den Umgang mit künstlicher Intelligenz fest. KI-Risikomanagement prüft, welche konkreten Risiken bei einzelnen KI-Systemen entstehen und wie Unternehmen diese steuern. Auf strategischer Ebene definiert die Governance Rollen, Verantwortlichkeiten, Freigaben, Art der zulässigen Nutzung und Grenzen für den Einsatz von KI.

Dazu gehören Themen wie Datenschutz, Sicherheit, Transparenz, Qualität und Compliance. Dafür braucht es interdisziplinäre Zusammenarbeit zwischen Geschäftsführung, IT, Datenschutz, Qualitätsmanagement und Fachbereichen. Im Managementsystem kann diese Ebene zum Beispiel in Richtlinien, Prozessvorgaben oder im QM-Handbuch verankert werden.

Operativ geht es anschließend um einzelne KI-Anwendungen, Datenquellen, Modelle, Schnittstellen und Nutzungsszenarien und konkrete KI-Entscheidungen. Die Identifizierung erfolgt am jeweiligen Anwendungsfall. Daraus entstehen konkrete Maßnahmen, etwa Zugriffsbeschränkungen, menschliche Prüfungen, Monitoring oder dokumentierte Freigabeentscheidungen.

Für ein auditfähiges System braucht es beide Ebenen. Die Governance zeigt, wie das Unternehmen KI grundsätzlich steuert. Das Risikomanagement liefert die Nachweise, dass Risiken einzelner KI-Anwendungen im Alltag erkannt, bewertet und behandelt werden. Auch der EU-AI-Act folgt diesem risikobasierten Gedanken und macht eine saubere Einordnung von KI-Systemen wichtiger.