KI-Governance für mittelständische Unternehmen: ein praktischer Einstieg

Dieser Leitfaden richtet sich an CEOs, CTOs, COOs sowie Compliance- und Datenschutzverantwortliche in Unternehmen mit etwa 50 bis 2.000 Mitarbeitenden, die KI bereits in Produkten oder Betriebsprozessen einsetzen oder dies planen. Er erläutert, warum Governance jetzt auch mittelständische Unternehmen erreicht, was der EU AI Act fordert und bis wann, welche Frameworks helfen, eine Zehn-Schritte-Governance-Baseline, Kontrollen für KI-Agenten und wie Sie KI-Fragen in Lieferantenfragebögen beantworten. Er ist Teil unserer Reihe Technology Trends 2026. Es handelt sich um praktische Orientierung, nicht um Rechtsberatung.

Inhalt dieses Leitfadens

• Warum Governance jetzt mittelständische Unternehmen erreicht
• Was der EU AI Act fordert – und bis wann
• Hilfreiche Frameworks
• Die Governance-Baseline in zehn Schritten
• Kontrollen für KI-Agenten und Integrationen
• KI-Fragen in Lieferantenfragebögen beantworten
• Wie Netbase seine eigene KI-Lieferung steuert
• Grenzen dieses Leitfadens
• Häufig gestellte Fragen
• Wie dieser Leitfaden entstanden ist
• Nächster Schritt

Warum Governance jetzt mittelständische Unternehmen erreicht

Drei Entwicklungen sind gleichzeitig eingetreten.

Regulierung mit Fristen. Der EU AI Act ist das erste umfassende KI-Gesetz; seine Pflichten gelten in Phasen bis 2028. Er kann auch Unternehmen außerhalb der EU treffen, wenn deren KI-Systeme oder -Ergebnisse in der EU eingesetzt werden.

Kunden fragen nach. Enterprise-Käufer versenden inzwischen KI-Abschnitte in ihren Lieferantenfragebögen: Wo setzen Sie KI ein, auf welchen Daten, mit welchen Modellen, wer prüft die Ausgaben? Ein Unternehmen ohne Antworten verliert Aufträge, bevor eine Behörde sich meldet.

KI kann handeln. Agenten, die Tools und APIs aufrufen, verwandeln eine falsche Antwort in eine falsche Aktion. Postmans 2025 State of the API Report ergab, dass 51 % der Entwickler unbefugte oder übermäßige API-Aufrufe durch KI-Agenten als ihr wichtigstes Sicherheitsproblem nennen.

Die meisten mittelständischen Unternehmen sind Deployer: Sie nutzen KI-Systeme, die von anderen entwickelt wurden, oder bauen Funktionen auf kommerziellen und Open-Weight-Modellen auf. Deployer haben geringere Pflichten als Anbieter von Hochrisikosystemen, aber nicht keine – und Kunden erwarten Governance unabhängig vom gesetzlichen Minimum.

Was der EU AI Act fordert – und bis wann

Die letzten beiden Termine stammen aus dem AI Omnibus, der am 27. Juli 2026 in Kraft trat und die Hochrisiko-Fristen verschob; er erweiterte vereinfachte Pflichten auch auf kleine Mid-Cap-Unternehmen, die über die KMU-Schwelle hinausgehen. Prüfen Sie die aktuellen Seiten der Europäischen Kommission, bevor Sie handeln.

Hilfreiche Frameworks

ISO/IEC 42001. Der internationale Standard für ein KI-Managementsystem: Richtlinien, Rollen, Risikobewertung, Folgenabschätzung, Kontrollen über den KI-Lebenszyklus und kontinuierliche Verbesserung. Er eignet sich für Unternehmen, die bereits ISO 27001 für Informationssicherheit betreiben, da die Struktur ähnlich ist.

NIST AI Risk Management Framework. Ein freiwilliges Framework, das in vier Funktionen gegliedert ist: Govern, Map, Measure und Manage. Es bietet ein praxistaugliches Vokabular für Risikogespräche, unabhängig vom Standort.

OWASP Top 10 for LLM Applications. Eine Sicherheitsliste für Anwendungen, die auf Sprachmodellen basieren, einschließlich Prompt Injection und übermäßiger Handlungsfreiheit, mit Gegenmaßnahmen, die Entwicklungsteams direkt umsetzen können.

Sie benötigen nicht alle drei gleichzeitig. Nutzen Sie den EU AI Act, um zu verstehen, was vorgeschrieben ist, ISO/IEC 42001 oder das NIST-Framework, um das Managementsystem zu strukturieren, und OWASP, um das Gebaute abzusichern.

Kontrollen für KI-Agenten und Integrationen

Agenten und KI-Funktionen, die in Geschäftssysteme eingebunden sind, benötigen Kontrollen, die über ein Richtliniendokument hinausgehen:

• Enge Werkzeugberechtigungen. Jedem Agenten nur die Tools und Daten bereitstellen, die seine Aufgabe erfordert – zunächst mit Lesezugriff.
• Genehmigung bei Auswirkungen. Zahlungen, Rückerstattungen, Preisänderungen, Kundennachrichten und Datenschlöschungen benötigen die Zustimmung einer Person, bis die Fehlerrate nachweislich niedrig ist.
• Begrenzte Anmeldedaten. Agenten verwenden eigene Identitäten und Berechtigungsumfänge, niemals gemeinsam genutzte Admin-Schlüssel.
• Ratenlimits und Monitoring. Agenten-Aufrufe wie jeden neuen Client beobachten und bei ungewöhnlichen Volumina Alarm schlagen.
• Entscheidungsprotokolle. Eingaben, Tool-Aufrufe und Ergebnisse je Fall aufzeichnen, damit Fehler nachvollzogen und erklärt werden können.
• Manueller Rückfallweg. Jeder automatisierte Prozess hält einen Weg bereit, den Fall an eine Person zu übergeben.

Unser Vergleich von KI-Agenten und Workflow-Automatisierung erläutert, wann ein Agent diesen Aufwand rechtfertigt; unser Leitfaden zur Agentic-Commerce-Readiness wendet dieselben Kontrollen auf Shopping-Agenten an. Unser Leitfaden zu KI-Agenten-Sicherheit und menschlicher Freigabe überführt diese Kontrollen in Schichten, die Sie vor dem Go-live testen können.

KI-Fragen in Lieferantenfragebögen beantworten

Käuferfragebögen stellen in der Regel fünf Dinge in Frage. Bereiten Sie die Antworten einmalig vor und halten Sie sie aktuell:

• Wo KI eingesetzt wird. Aus Ihrer Inventarliste, in verständlicher Sprache.
• Welche Daten sie verarbeitet. Aus Ihren Datenregeln, einschließlich der Frage, ob Kundendaten ein Modell trainieren.
• Welche Modelle und Lieferanten. Aus Ihren Lieferantenprüfungen.
• Wer Ausgaben prüft. Aus Ihren Aufsichtsregeln.
• Wie Vorfälle behandelt werden. Aus Ihrem Vorfallsweg, mit der Ansprechperson.

Dienstleistungsunternehmen und Agenturen begegnen diesen Fragen am häufigsten; den Betriebskontext finden Sie auf unserer Branchenseite Professional Services.

Wie Netbase seine eigene KI-Lieferung steuert

Netbase wendet das ISO/IEC 42001-KI-Managementsystem-Framework auf seine eigene KI-Lieferpraxis an. Das beschreibt, wie wir arbeiten – nicht eine Aussage über das System eines Kunden. Es baut auf den Sicherheitspraktiken auf, die in jedem Projekt zum Einsatz kommen: sicheres Code-Review und Versionskontrolle, TLS bei der Übertragung und AES im Ruhezustand, rollenbasierte Zugriffskontrolle, MFA für Admin-Dashboards, Schwachstellen-Scanning und Penetrationstests sowie NDAs und DPAs auf Anfrage. Netbase hält eine ISO 27001-Zertifizierung und ein SOC 2 Type II-Attestat für den eigenen Betrieb; siehe Sicherheit und Compliance.

Wir arbeiten mit den wichtigsten kommerziellen und Open-Weight-KI-Modellen und wählen projektbezogen aus, was die Governance am Anwendungsfall und nicht an einem einzelnen Anbieter ausrichtet. Zu unseren gelieferten KI-Projekten gehört das Empfehlungssystem von 4over4, Teil eines Engagements, bei dem 4over4 innerhalb von sechs Monaten einen Umsatzanstieg von 82 % meldete, sowie anonymisierte Projekte für Kunden, die nicht namentlich genannt werden, wie ein RAG-Knowledge-Assistant. Governance ist in unsere Services Responsible AI und MLOps und Qualität und Sicherheit eingebettet; unser Leitfaden zum KI-gestützten Offshore-Entwicklungszentrum wendet dieselben Regeln auf KI-unterstützte Lieferteams an.

Grenzen dieses Leitfadens

• Dies ist allgemeine Orientierung, keine Rechtsberatung. Pflichten hängen von Ihrer Rolle, Branche und Ihren Märkten ab.
• Die EU-AI-Act-Fristen spiegeln die Seiten der Europäischen Kommission wider, wie sie im September 2026 nach dem AI Omnibus gelesen wurden; sie können sich erneut ändern.
• Zusammenfassungen von ISO/IEC 42001, dem NIST-Framework und OWASP beschreiben deren Zweck, nicht ihre vollständigen Anforderungen.
• Nichts hier impliziert, dass die Befolgung der Baseline ein System compliant macht.

Wie dieser Leitfaden entstanden ist

Das Netbase Redaktionsteam hat diesen Leitfaden auf Basis der AI-Act-Seiten der Europäischen Kommission, der ISO-, NIST- und OWASP-Referenzen sowie der verifizierten Sicherheits- und KI-Fakten von Netbase verfasst. David (CEO) hat jeden Netbase-Hinweis geprüft. Das Drafting erfolgte mit KI-Unterstützung (Claude).

Nächster Schritt

Teilen Sie Ihre KI-Inventarliste oder den Fragebogen, den ein Kunde Ihnen geschickt hat, und wir werden ein Lösungsüberprüfungsgespräch buchen, um eine verhältnismäßige Baseline zu setzen. Sie können auch ansehen, wie wir digitale Produkte mit integrierter Governance entwickeln, Digital-Transformation-Consulting erkunden, mehr über Retail und E-Commerce lesen oder weitere Netbase Insights durchstöbern.

Verwandte Leistungen und Lösungen