Von der AI-Wildnis zum AI Operating Model – Warum Governance allein nicht genügt

Die AI-Wildnis wächst schneller als die Governance

Vor wenigen Jahren diskutierten Unternehmen noch darüber, ob Künstliche Intelligenz überhaupt einen praktischen Nutzen bringt. Heute stellt sich diese Frage nicht mehr. AI ist längst im Arbeitsalltag angekommen.

Mitarbeitende nutzen ChatGPT zur Erstellung von Konzepten und Präsentationen. Entwickler arbeiten mit Copilot oder anderen Coding-Assistenten. Marketingabteilungen generieren Kampagneninhalte mit generativer AI. Fachbereiche experimentieren mit Agenten, die Prozesse automatisieren, Entscheidungen vorbereiten oder Kundenanfragen bearbeiten.

Die Verbreitung erfolgt dabei schneller als jede Technologieeinführung zuvor.

Das Problem dabei ist nicht die Technologie.

Das Problem ist, dass die meisten Unternehmen keine klare Übersicht darüber haben, welche AI-Systeme bereits eingesetzt werden, welche Daten verarbeitet werden, welche Entscheidungen beeinflusst werden und wer letztlich die Verantwortung trägt.

Es entsteht eine neue Form der Schatten-IT – eine Schatten-AI.

Während Governance-Gremien noch an Richtlinien arbeiten, entstehen täglich neue AI-Anwendungen. Fachbereiche beschaffen eigenständig AI-Lösungen aus der Cloud. Mitarbeitende laden vertrauliche Informationen in öffentliche Modelle hoch. Externe Dienstleister integrieren AI-Komponenten in bestehende Anwendungen. Gleichzeitig entwickeln interne Teams eigene Lösungen auf Basis von Open-Source-Modellen.

Die AI-Landschaft entwickelt sich dadurch schneller, als traditionelle Governance-Strukturen reagieren können.

Viele Organisationen befinden sich heute in einer Situation, die man treffend als „AI-Wildnis“ beschreiben kann: Eine ständig wachsende Anzahl von AI-Systemen, unterschiedlichen Technologien, Anbietern und Anwendungsfällen ohne einheitliche Steuerung, Transparenz oder Kontrolle.

Dabei entstehen nicht nur regulatorische Risiken.

Unternehmen sehen sich mit einer Vielzahl neuer Fragestellungen konfrontiert:

• Welche AI-Systeme werden überhaupt genutzt?
• Welche Daten verlassen das Unternehmen?
• Wer trägt die Verantwortung für AI-generierte Entscheidungen?
• Wie werden Modelle überwacht und kontrolliert?
• Wie lässt sich die Qualität der Ergebnisse sicherstellen?
• Welche Risiken entstehen durch externe Anbieter?
• Wie können AI-Lösungen skaliert werden, ohne die Kontrolle zu verlieren?

Die Herausforderung wird zusätzlich dadurch verschärft, dass AI nicht gleich AI ist.

Predictive AI, die auf Basis historischer Daten Vorhersagen trifft, stellt andere Anforderungen als generative AI, die Texte, Bilder oder Code erzeugt. Open-Source-Modelle unterscheiden sich hinsichtlich Transparenz und Kontrollmöglichkeiten erheblich von proprietären Cloud-Angeboten. Hinzu kommen autonome AI-Agenten, die nicht nur Empfehlungen liefern, sondern selbstständig Aktionen ausführen können. Unterschiedliche Technologien erzeugen unterschiedliche Risiken und verlangen nach unterschiedlichen Governance-Massnahmen.

Gleichzeitig steigt der regulatorische Druck. Der EU AI Act, Datenschutzvorgaben, branchenspezifische Anforderungen sowie internationale Standards wie ISO/IEC 42001 verlangen zunehmend nachvollziehbare Governance-Strukturen. Doch Compliance allein löst das Problem nicht.

Die eigentliche Herausforderung besteht darin, Innovation und Kontrolle miteinander zu verbinden.

Viele Unternehmen reagieren zunächst mit einer AI Policy oder einem Verhaltenskodex. Das ist ein wichtiger erster Schritt, reicht jedoch nicht aus. Eine Richtlinie schafft noch keine Transparenz über bestehende AI-Systeme. Sie definiert keine Verantwortlichkeiten. Sie stellt kein Monitoring sicher. Und sie verhindert nicht, dass neue AI-Anwendungen ausserhalb etablierter Prozesse entstehen.

Genau an diesem Punkt beginnt die eigentliche Aufgabe der AI Governance.

Nicht als Bremse für Innovation.

Sondern als Instrument, um aus einer unübersichtlichen AI-Wildnis ein steuerbares AI-Ökosystem zu machen.

Die zentrale Frage lautet daher nicht mehr, ob Unternehmen AI einsetzen sollen.

Die entscheidende Frage lautet:

Wie können Unternehmen AI kontrolliert, verantwortungsvoll und gleichzeitig skalierbar einsetzen?

Die Antwort darauf liegt in der Kombination aus wirksamer AI Governance und einem AI-driven Operating Model. Erst das Zusammenspiel beider Elemente schafft die Voraussetzungen, um AI nicht nur einzuführen, sondern langfristig als strategische Unternehmensfähigkeit zu etablieren.

Governance ist notwendig – aber nicht ausreichend

Sobald Unternehmen beginnen, sich intensiver mit Künstlicher Intelligenz auseinanderzusetzen, folgt meist ein ähnliches Muster.

Zunächst wird eine AI Policy erstellt. Anschliessend werden regulatorische Anforderungen analysiert, Risiken diskutiert und erste Governance-Gremien etabliert. Mit dem Inkrafttreten des EU AI Act und der zunehmenden Verbreitung von Standards wie ISO/IEC 42001 gewinnt dieser Schritt zusätzlich an Bedeutung.

Doch viele Unternehmen machen an dieser Stelle einen entscheidenden Fehler:

Das ist richtig und wichtig.

Sie verwechseln AI Governance mit der eigentlichen Steuerung von AI.

Governance definiert Regeln, Verantwortlichkeiten und Leitplanken. Sie beantwortet Fragen wie:

• Was ist erlaubt und was nicht?
• Wer trägt die Verantwortung?
• Welche Risiken müssen bewertet werden?
• Welche regulatorischen Anforderungen gelten?
• Welche Kontrollen sind erforderlich?

Governance schafft Orientierung.

Aber Governance allein sorgt noch nicht dafür, dass AI erfolgreich, sicher und skalierbar eingesetzt wird.

Eine AI Policy entwickelt keinen Use Case.

Ein Risiko-Assessment führt kein Modell ein.

Ein Governance Board betreibt keine AI-Lösung.

Und ein Compliance-Framework schafft keinen geschäftlichen Mehrwert.

Genau hier liegt die Grenze klassischer Governance-Ansätze.

Viele Organisationen verfügen heute bereits über Richtlinien und Vorgaben, können jedoch zentrale Fragen des operativen Einsatzes nicht beantworten:

• Wie gelangen neue AI-Ideen in die Organisation?
• Wer bewertet deren Nutzen?
• Wie werden Risiken frühzeitig erkannt?
• Wie erfolgt die technische Umsetzung?
• Wer überwacht die Modelle im Betrieb?
• Wie werden Änderungen kontrolliert?
• Wann muss ein Modell neu bewertet werden?
• Wie wird eine AI-Lösung ausser Betrieb genommen?

Governance liefert auf diese Fragen nur teilweise Antworten.

Was fehlt, ist ein strukturiertes Betriebsmodell.

Ein AI-driven Operating Model ergänzt die Governance um die organisatorischen und operativen Mechanismen, die für einen nachhaltigen AI-Einsatz erforderlich sind.

Während Governance die Spielregeln definiert, beschreibt das Operating Model, wie tatsächlich gespielt wird.

Man könnte es auch so formulieren:

Governance beantwortet das „Was“ und „Warum“.

Das Operating Model beantwortet das „Wie“.

Erst durch diese Verbindung entsteht eine skalierbare AI-Fähigkeit.

Die erfolgreichsten Unternehmen betrachten AI deshalb nicht als Technologieprojekt, sondern als organisatorische Fähigkeit. Sie schaffen Strukturen, Prozesse,

Rollen und Entscheidungswege, die den gesamten Lebenszyklus von AI-Anwendungen unterstützen. Von der ersten Idee über die Entwicklung und den Betrieb bis hin zur kontinuierlichen Überwachung und späteren Ablösung.

Moderne AI-Governance-Frameworks verfolgen genau diesen Ansatz. Sie unterscheiden zwischen organisatorischer Governance auf Unternehmensebene und spezifischen Kontrollen auf Ebene einzelner Use Cases. Governance wird dadurch nicht als isolierte Compliance-Funktion verstanden, sondern als integraler Bestandteil eines umfassenden AI Management Systems.

Auch die Erfahrungen vieler Unternehmen zeigen ein ähnliches Bild. Die grössten Herausforderungen entstehen selten durch fehlende Richtlinien. Sie entstehen durch unklare Verantwortlichkeiten, fehlende Transparenz über eingesetzte AI-Systeme, mangelnde Integration in bestehende Prozesse und unzureichende Überwachung nach der Einführung. Genau diese Lücken führen dazu, dass AI Governance in der Praxis häufig an Wirkung verliert.

Deshalb sollte das Ziel nicht lauten:

„Wir brauchen eine AI Policy.“

Das Ziel sollte lauten:

„Wir benötigen ein Operating Model, das Innovation ermöglicht und gleichzeitig Kontrolle sicherstellt.“

Ein wirksames AI-driven Operating Model verbindet dabei drei Perspektiven:

Governance

• Richtlinien
• Rollen und Verantwortlichkeiten
• Risiko- und Compliance-Management

Betrieb

• Use-Case-Management
• Entwicklung und Deployment
• Service- und Betriebsprozesse

Kontrolle

• Monitoring
• Auditierbarkeit
• Performance- und Risikoreporting

Erst wenn diese drei Elemente zusammenspielen, entsteht eine Organisation, die AI nicht nur experimentell nutzt, sondern gezielt steuern und skalieren kann.

Die gute Nachricht dabei:

Dafür braucht es kein komplexes Governance-Monster.

Die meisten Unternehmen können mit einem pragmatischen Minimum Viable Governance Ansatz starten und diesen schrittweise zu einem vollständigen AI-driven Operating Model ausbauen.

Genau dieser Weg hat sich in der Praxis als besonders erfolgreich erwiesen.

Die vier Phasen eines pragmatischen AI Governance & Operating Models

Die Einführung von AI Governance scheitert selten an fehlenden Frameworks oder Standards. Im Gegenteil: Unternehmen sehen sich heute mit einer Vielzahl von Regulierungen, Best Practices und Referenzmodellen konfrontiert. Die eigentliche Herausforderung besteht darin, diese Vorgaben in einen praktikablen Ansatz zu überführen, der Innovation ermöglicht und gleichzeitig Risiken beherrschbar macht.

Viele Organisationen machen dabei einen grundlegenden Fehler. Sie versuchen von Beginn an ein vollständiges Governance-System aufzubauen. Das führt häufig zu komplexen Strukturen, langen Abstimmungsprozessen und sinkender Akzeptanz in den Fachbereichen.

Erfolgreicher ist ein pragmatischer Ansatz, der schrittweise eingeführt und kontinuierlich ausgebaut wird.

In der Praxis hat sich ein vierstufiges Vorgehensmodell bewährt, das Governance, Risiko-Management und operative Steuerung miteinander verbindet und gleichzeitig ausreichend Flexibilität für Innovationen bietet.

Phase 1: Scope und Zielbild definieren

Bevor Governance etabliert werden kann, muss Klarheit darüber bestehen, welche Arten von AI überhaupt im Unternehmen genutzt werden oder künftig genutzt werden sollen.

Viele Organisationen unterschätzen diesen Schritt. Sie sprechen von “AI”, obwohl darunter völlig unterschiedliche Technologien und Risikoprofile verstanden werden.

Zu Beginn sollten daher grundlegende Fragen beantwortet werden:

• Nutzen wir Predictive AI oder Generative AI?
• Kommen Open-Source- oder proprietäre Modelle zum Einsatz?
• Werden AI-Lösungen selbst entwickelt oder von Drittanbietern bezogen?
• Unterstützt AI lediglich Mitarbeitende oder trifft sie eigenständige Entscheidungen?
• Werden AI-Agenten eingesetzt, die selbstständig Aktionen ausführen können?
• Werden personenbezogene oder besonders schützenswerte Daten verarbeitet?

Ziel dieser Phase ist die Entwicklung eines gemeinsamen Verständnisses darüber, welche Rolle AI künftig im Unternehmen spielen soll.

Wichtige Deliverables:

• AI Vision und Zielbild
• Definition des AI-Anwendungsbereichs
• AI-Kategorien und Klassifizierungsmodell
• Erste Governance-Prinzipien
• Definition des Risikoverständnisses

Die zentrale Frage lautet:

Welche Art von AI wollen wir kontrolliert und verantwortungsvoll nutzen?

Erst wenn diese Frage beantwortet ist, kann eine zielgerichtete Governance aufgebaut werden.

Phase 2: Das AI-Portfolio sichtbar machen

Die grösste Governance-Herausforderung vieler Unternehmen ist nicht die Regulierung.

Es ist die fehlende Transparenz.

In zahlreichen Organisationen weiss niemand genau:

• welche AI-Systeme bereits genutzt werden,
• welche Daten verarbeitet werden,
• welche Entscheidungen beeinflusst werden,
• welche Anbieter involviert sind,
• und welche Risiken daraus entstehen.

Deshalb bildet ein zentrales AI-Register das Fundament jeder Governance-Initiative.

Dabei sollten nicht nur produktive Lösungen erfasst werden, sondern auch:

• Pilotprojekte
• Proof of Concepts
• Fachbereichslösungen
• Schatten-AI
• AI-Funktionen innerhalb bestehender Anwendungen

Für jeden AI-Use-Case sollten mindestens folgende Informationen dokumentiert werden:

• Use-Case-Bezeichnung
• Business Owner
• Verantwortlicher AI Owner
• Zweck und Business Value
• Verwendete Datenquellen
• Anbieter oder Modelltyp
• Risiko-Kategorie
• Betriebsstatus
• Letztes Review-Datum

Das AI-Register entwickelt sich damit zur zentralen Transparenz- und Steuerungsplattform.

Eine einfache Regel gilt dabei: Man kann nur steuern, was man kennt.

Wichtige Deliverables:

• AI Register
• AI Use-Case-Katalog
• Verantwortlichkeitsmatrix
• Erste Risiko-Klassifizierung

Phase 3: Minimum Viable AI Governance etablieren

Erst jetzt beginnt der eigentliche Aufbau der Governance.

Dabei geht es nicht darum, sofort ein komplexes Regelwerk zu schaffen.

Ziel ist vielmehr die Einführung eines schlanken Governance-Modells mit klaren Verantwortlichkeiten und nachvollziehbaren Entscheidungswegen.

Die Grundlage bildet ein AI Management System, das organisatorische und regulatorische Anforderungen zusammenführt.

Typische Bausteine sind:

Governance und Rollen

Festlegung klarer Verantwortlichkeiten:

• AI Governance Owner
• Business Owner
• Data Owner
• IT Operations
• Legal & Compliance
• Datenschutz
• Audit

AI Policy

Eine kurze und verständliche Policy definiert:

• erlaubte und verbotene Use Cases
• Umgang mit sensiblen Daten
• Anforderungen an Human Oversight
• Nutzung externer AI-Dienste
• Freigabeprozesse

Risiko-Management

Ein risikobasierter Ansatz ermöglicht die Differenzierung zwischen:

• Minimal Risk
• Limited Risk
• High Risk
• Verbotenen Anwendungen

AI Literacy

Governance funktioniert nur dann, wenn Mitarbeitende die Risiken und Möglichkeiten von AI verstehen.

Daher gehören Schulungen und Sensibilisierungsmassnahmen von Beginn an dazu.

Wichtige Deliverables:

• AI Policy
• Rollenmodell
• Risk Assessment Template
• AI Literacy Programm
• Freigabeprozess für neue Use Cases

Das Ziel dieser Phase lautet:

Klare Regeln schaffen, ohne Innovation zu behindern.

Phase 4: Governance in den Betrieb integrieren

Viele Governance-Initiativen enden nach der Erstellung von Richtlinien und Prozessen.

Die eigentliche Wertschöpfung beginnt jedoch erst im operativen Betrieb.

AI-Systeme verändern sich kontinuierlich:

• Modelle werden aktualisiert.
• Daten ändern sich.
• Risiken entwickeln sich weiter.
• Regulatorische Anforderungen werden angepasst.

Deshalb muss Governance Teil des täglichen Betriebs werden.

Für jeden AI-Use-Case werden abhängig von Risiko und Kritikalität geeignete Kontrollen aktiviert.

Typische Massnahmen sind:

Datenschutz und Compliance

• Datenschutz-Folgenabschätzungen
• Vendor Assessments
• Nachweis der Rechtsgrundlagen

Human Oversight

• Freigabe kritischer Entscheidungen
• Eskalationsmechanismen
• Dokumentation von Übersteuerungen

Monitoring

• Modell-Performance
• Qualitätskennzahlen
• Drift-Erkennung
• Nutzungsmuster

Sicherheit

• Logging
• Zugriffskontrollen
• Incident Management
• Security Monitoring

Lifecycle Management

• Change Management
• Re-Testing
• Rezertifizierung
• Ausserbetriebnahme

Governance wird damit von einer einmaligen Aktivität zu einem kontinuierlichen Steuerungsprozess.

Wichtige Deliverables:

• Monitoring-Konzept
• Incident Procedure
• Human Oversight Procedure
• Change- und Release-Prozess
• AI Management Dashboard

Vom Governance-Projekt zur AI-Fähigkeit

Die vier Phasen bilden keinen einmaligen Projektplan, sondern den Beginn einer langfristigen Entwicklung.

Unternehmen starten mit Transparenz und grundlegender Governance. Anschliessend werden Kontrollen, Betriebsprozesse und organisatorische Fähigkeiten schrittweise erweitert.

Das Ergebnis ist nicht einfach ein weiteres Compliance-Framework.

Es entsteht eine organisationale Fähigkeit, AI kontrolliert, verantwortungsvoll und gleichzeitig skalierbar einzusetzen.

Genau darin liegt der Unterschied zwischen einer AI Governance Initiative und einem echten AI-driven Operating Model.

Das AI-driven Operating Model

Viele Unternehmen konzentrieren sich bei der Einführung von Künstlicher Intelligenz zunächst auf einzelne Technologien, Plattformen oder Anwendungsfälle. Die eigentliche Herausforderung liegt jedoch nicht in der Auswahl des richtigen AI-Modells oder des passenden Anbieters. Die Herausforderung besteht darin, AI nachhaltig, kontrolliert und skalierbar in der Organisation zu verankern.

Genau an diesem Punkt setzt ein AI-driven Operating Model an.

Während AI Governance die Regeln, Verantwortlichkeiten und Kontrollmechanismen definiert, beschreibt das Operating Model, wie AI in der Praxis geplant, entwickelt, bereitgestellt, genutzt und überwacht wird. Es schafft die organisatorischen Fähigkeiten, um AI nicht nur punktuell einzusetzen, sondern als strategische Unternehmenskompetenz aufzubauen.

Ein wirksames AI-driven Operating Model verbindet Menschen, Prozesse, Technologien und Governance zu einem integrierten Gesamtsystem. Dabei steht nicht die Technologie im Mittelpunkt, sondern die Wertschöpfung für Kunden, Mitarbeitende und das Unternehmen.

Services und Produkte im Zentrum

Der Ausgangspunkt jedes AI-driven Operating Models sind die Services und Produkte des Unternehmens.

Zu häufig beginnt die Diskussion mit Fragen wie:

• Welche AI-Plattform sollen wir einsetzen?
• Welches Large Language Model ist das leistungsfähigste?
• Welche Agenten-Technologie verspricht die grössten Effizienzgewinne?

Diese Fragen sind wichtig, greifen jedoch zu kurz.

Erfolgreiche Unternehmen beginnen stattdessen mit der Frage:

Welchen geschäftlichen Mehrwert wollen wir durch AI schaffen?

AI darf kein Selbstzweck sein. Jede AI-Initiative muss einen nachvollziehbaren Beitrag zur Wertschöpfung leisten. Dies kann die Automatisierung von Prozessen, die Verbesserung von Kundenerlebnissen, die Unterstützung von Entscheidungen oder die Entwicklung neuer datengetriebener Geschäftsmodelle sein.

Services und Produkte bilden deshalb den Kern des AI-driven Operating Models. Alle weiteren Elemente dienen dazu, diese erfolgreich zu entwickeln, bereitzustellen und kontinuierlich weiterzuentwickeln.

Die vier Dimensionen des AI-driven Operating Models

Damit AI langfristig erfolgreich eingesetzt werden kann, müssen vier organisatorische Dimensionen zusammenspielen.

Organisation und Menschen

AI verändert nicht nur Technologien, sondern vor allem die Art und Weise, wie Menschen arbeiten.

Deshalb benötigt jedes Unternehmen klare Rollen, Verantwortlichkeiten und Kompetenzen.

Hierzu gehören unter anderem:

• AI Governance Owner
• AI Product Owner
• Data Owner
• AI Engineers
• Compliance und Risk Management
• Datenschutz
• Audit
• Fachverantwortliche

Gleichzeitig wird AI Literacy zu einer Schlüsselkompetenz. Mitarbeitende müssen verstehen, welche Chancen und Risiken AI mit sich bringt, welche Grenzen die Technologie besitzt und wie AI verantwortungsvoll genutzt werden kann.

Viele AI-Initiativen scheitern nicht an der Technologie, sondern an fehlendem Wissen, unklaren Verantwortlichkeiten oder mangelnder Akzeptanz.

Informationen und Technologie

AI ist datengetrieben.

Die Qualität der Ergebnisse hängt unmittelbar von der Qualität der zugrunde liegenden Daten ab. Deshalb bilden Datenmanagement und Technologieplattformen eine zentrale Grundlage des Operating Models.

Hierzu gehören:

• Data Governance
• Datenqualität
• Datenarchitekturen
• AI-Plattformen
• Modellmanagement
• MLOps und LLMOps
• Monitoring und Observability
• Integrationen

Besondere Bedeutung kommt dabei der Transparenz und Nachvollziehbarkeit zu. Unternehmen müssen jederzeit verstehen können, welche Daten verwendet werden, welche Modelle im Einsatz sind und wie Entscheidungen zustande kommen.

Partner und Lieferanten

Die wenigsten Unternehmen entwickeln ihre AI-Lösungen vollständig selbst.

In der Praxis basieren die meisten AI-Anwendungen auf einem komplexen Ökosystem aus Cloud-Anbietern, Modellherstellern, Softwarelieferanten und spezialisierten Dienstleistern.

Deshalb wird das Lieferantenmanagement zu einer zentralen Fähigkeit des Operating Models.

Zu den wesentlichen Aufgaben gehören:

• Vendor Assessments
• Vertragsmanagement
• Transparenzanforderungen
• Auditrechte
• Security Reviews
• Compliance-Prüfungen
• Leistungsüberwachung

Auch wenn Technologien von Dritten bereitgestellt werden, verbleibt die Verantwortung für Risiken und Compliance letztlich beim Unternehmen selbst.

Governance als verbindendes Element

Die vierte Dimension bildet den äusseren Rahmen des gesamten Operating Models.

Governance sorgt dafür, dass AI nicht nur innovativ, sondern auch sicher, nachvollziehbar und regelkonform eingesetzt wird.

Zu den zentralen Governance-Bausteinen gehören:

• AI Governance Framework
• AI Policy
• Risiko-Management
• Datenschutz
• Human Oversight
• Compliance Management
• Audit und Assurance
• AI Literacy

Governance begleitet dabei den gesamten Lebenszyklus eines AI-Systems und ist nicht lediglich eine Kontrollinstanz am Ende eines Projektes.

Die vier Value Streams eines AI-driven Operating Models

Analog zu den Prinzipien von IT4IT wird AI als digitales Produkt betrachtet, das einen vollständigen Lebenszyklus durchläuft. Jeder Schritt dieses Lebenszyklus erzeugt einen konkreten Geschäftswert und wird durch einen eigenen Value Stream unterstützt. Die IT4IT-Referenzarchitektur verfolgt dabei denselben Grundgedanken eines durchgängigen Managements digitaler Produkte über deren gesamten Lebenszyklus hinweg.

Strategy to AI Portfolio

Von der AI-Strategie zum AI-Investment

Dieser Value Stream verbindet die Unternehmensstrategie mit dem AI-Portfolio.

Geschäftliche Herausforderungen, Innovationsideen, regulatorische Anforderungen und technologische Entwicklungen werden identifiziert, bewertet und priorisiert. Ziel ist es, diejenigen AI-Initiativen auszuwählen, die den grössten Geschäftsnutzen versprechen und gleichzeitig mit den strategischen Zielen des Unternehmens übereinstimmen.

Zu den zentralen Aktivitäten gehören:

• Definition der AI-Strategie
• Bewertung neuer AI-Potenziale
• Risiko- und Nutzenanalyse
• AI Portfolio Management
• Architektur- und Governance-Vorgaben
• Priorisierung von Investitionen

Das Ergebnis ist ein transparentes und steuerbares AI-Portfolio mit klaren Verantwortlichkeiten und Prioritäten.

AI Requirement to Deploy

Von der Idee zur produktiven AI-Lösung

In diesem Value Stream werden priorisierte AI-Initiativen in konkrete Lösungen überführt.

Hier entstehen die eigentlichen AI-Produkte. Fachliche Anforderungen werden spezifiziert, Daten analysiert, Modelle entwickelt, Risiken bewertet und Lösungen getestet.

Typische Aktivitäten umfassen:

• Use-Case-Analyse
• Datenaufbereitung
• Modelltraining
• Prompt Engineering
• Testing und Validierung
• Risikoanalysen
• Compliance-Prüfungen
• Release und Deployment

Besondere Bedeutung haben AI-spezifische Kontrollen wie Bias-Prüfungen, Explainability, Human Oversight und Modellvalidierung.

Das Ergebnis ist eine produktionsreife AI-Lösung, die sowohl fachliche als auch regulatorische Anforderungen erfüllt.

AI Request to Fulfill

Vom AI-Service zur Wertschöpfung

Dieser Value Stream fokussiert auf die Bereitstellung und Nutzung von AI-Services.

Die entwickelten AI-Lösungen werden für interne oder externe Nutzer verfügbar gemacht und als standardisierte Services betrieben.

Hierzu gehören beispielsweise:

• AI-Assistenten
• Generative-AI-Plattformen
• AI-Agenten
• Predictive Analytics Services
• Fachspezifische AI-Anwendungen

Typische Aktivitäten sind:

• Servicekatalog-Management
• Benutzer-Onboarding
• Berechtigungsmanagement
• Service Requests
• SLA-Steuerung
• Nutzungsmonitoring
• Kostenkontrolle

Ziel ist die sichere und kontrollierte Nutzung von AI-Fähigkeiten innerhalb der Organisation.

Detect to Correct

Vom Monitoring zur kontinuierlichen Optimierung

AI-Systeme sind dynamische Systeme.

Daten verändern sich.
Modelle altern.
Nutzungsverhalten entwickelt sich weiter.
Neue regulatorische Anforderungen entstehen.

Deshalb endet die Verantwortung nicht mit dem Deployment.

Dieser Value Stream stellt sicher, dass AI-Lösungen kontinuierlich überwacht, bewertet und verbessert werden.

Zu den wichtigsten Aktivitäten gehören:

• Modell-Monitoring
• Drift Detection
• Security Monitoring
• Incident Management
• Problem Management
• Compliance Reviews
• Risikobewertungen
• Audits
• Retraining und Optimierung

Dadurch wird sichergestellt, dass AI-Systeme dauerhaft leistungsfähig, vertrauenswürdig und regelkonform bleiben.

Kontinuierliches Lernen als Erfolgsfaktor

Das AI-driven Operating Model ist kein linearer Prozess.

Erkenntnisse aus dem laufenden Betrieb, aus Monitoring, Incidents, Audits und Nutzerfeedback fliessen kontinuierlich zurück in das AI-Portfolio und beeinflussen neue Investitions- und Entwicklungsentscheidungen.

Dadurch entsteht ein geschlossener Kreislauf:

Strategie → Entwicklung → Nutzung → Überwachung → Optimierung → Innovation

Genau diese kontinuierliche Lern- und Verbesserungsfähigkeit unterscheidet ein AI-driven Operating Model von einer klassischen Governance-Initiative.

Unternehmen, die AI erfolgreich skalieren, betrachten AI nicht als Sammlung einzelner Projekte. Sie entwickeln eine integrierte organisatorische Fähigkeit, bei der Menschen, Prozesse, Daten, Technologien und Governance gemeinsam wirken.

Erst dadurch entsteht eine nachhaltige AI-Fähigkeit, die Innovation ermöglicht, Risiken beherrscht und langfristigen Geschäftswert schafft.

Die zehn Bausteine eines AI Operating Models

Ein AI-driven Operating Model entsteht nicht durch die Einführung einer einzelnen Richtlinie oder Plattform. Es entwickelt sich schrittweise durch den Aufbau organisatorischer Fähigkeiten, die AI über ihren gesamten Lebenszyklus hinweg steuern.

Die gute Nachricht dabei: Unternehmen müssen nicht von Anfang an ein vollständiges Governance-System etablieren. In der Praxis hat sich ein pragmatischer Ansatz bewährt, der mit den wichtigsten Grundlagen beginnt und schrittweise erweitert wird.

Die folgenden zehn Bausteine bilden eine bewährte Roadmap für den Aufbau eines nachhaltigen AI Operating Models.

1. AI Use Cases inventarisieren

Der erste Schritt besteht darin, Transparenz zu schaffen.

Viele Unternehmen verfügen bereits über eine Vielzahl von AI-Anwendungen – oft ohne es zu wissen. Neben offiziellen Projekten existieren Pilotlösungen, Fachbereichsinitiativen und nicht selten auch Schatten-AI.

Deshalb gilt:

Man kann nur steuern, was man kennt.

Ziel ist die vollständige Erfassung aller bestehenden und geplanten AI-Anwendungen in einem zentralen AI Register.

2. Rollen und Verantwortlichkeiten festlegen

AI benötigt klare Verantwortlichkeiten.

Wer entscheidet über neue Use Cases? Wer trägt die Verantwortung für Risiken? Wer überwacht den Betrieb? Wer ist Ansprechpartner für Datenschutz oder regulatorische Fragen?

Ohne eindeutige Ownership entstehen Unsicherheiten und Governance-Lücken.

Ein funktionierendes Operating Model definiert deshalb von Beginn an klare Rollen und Verantwortlichkeiten.

3. Eine AI Policy etablieren

Die AI Policy bildet das Regelwerk für den verantwortungsvollen Umgang mit AI.

Sie beantwortet grundlegende Fragen:

• Welche Anwendungen sind erlaubt?
• Welche Daten dürfen verwendet werden?
• Welche Freigaben sind erforderlich?
• Wann ist Human Oversight notwendig?

Eine gute AI Policy ist dabei nicht juristisch kompliziert, sondern verständlich, pragmatisch und handlungsorientiert.

4. Risiken klassifizieren

Nicht jede AI-Anwendung birgt die gleichen Risiken.

Ein interner Schreibassistent stellt andere Anforderungen als ein AI-System, das Kreditentscheidungen unterstützt oder Bewerbungen bewertet.

Deshalb benötigt jedes Unternehmen ein risikobasiertes Klassifizierungsmodell.

Je höher das Risiko, desto umfangreicher werden die erforderlichen Kontrollen.

5. Pflichtprüfungen definieren

Nach der Risikoklassifizierung werden die erforderlichen Prüfungen festgelegt.

Je nach Anwendungsfall können dies beispielsweise sein:

• Datenschutz-Folgenabschätzungen
• Vendor Assessments
• Security Reviews
• Bias-Analysen
• Human-Oversight-Prüfungen

Dadurch wird sichergestellt, dass Risiken frühzeitig erkannt und adressiert werden.

6. Das Kontrollframework implementieren

Governance wird erst wirksam, wenn Kontrollen tatsächlich umgesetzt werden.

Hierzu gehören unter anderem:

• Daten-Governance
• Modellvalidierung
• Explainability
• Logging
• Change Control
• Sicherheitskontrollen

Die Kontrollen werden nicht pauschal angewendet, sondern orientieren sich am jeweiligen Risiko des Use Cases.

7. AI Literacy aufbauen

Technologie allein schafft keinen Erfolg.

Mitarbeitende müssen verstehen, wie AI funktioniert, welche Chancen sie bietet und welche Risiken berücksichtigt werden müssen.

AI Literacy umfasst dabei weit mehr als technische Schulungen. Sie richtet sich an Führungskräfte, Fachbereiche, Entwickler, Compliance-Verantwortliche und Anwender gleichermassen.

Nur informierte Mitarbeitende können AI verantwortungsvoll einsetzen.

8. Betrieb und Monitoring etablieren

Mit der Einführung einer AI-Lösung beginnt die eigentliche Verantwortung.

AI-Systeme müssen kontinuierlich überwacht werden.

Wichtige Fragestellungen sind:

• Erreicht das Modell weiterhin die gewünschte Qualität?
• Haben sich Daten oder Nutzungsmuster verändert?
• Entstehen neue Risiken?
• Werden regulatorische Anforderungen eingehalten?

Monitoring schafft die notwendige Transparenz über Leistung, Risiken und Compliance.

9. Lieferanten und Partner steuern

Die meisten Unternehmen nutzen AI-Plattformen, Modelle oder Services externer Anbieter.

Damit entstehen neue Abhängigkeiten.

Ein professionelles AI Operating Model berücksichtigt deshalb auch:

• Transparenzanforderungen
• Audit-Rechte
• Sicherheitsanforderungen
• Vertragsklauseln
• Dokumentationspflichten

Verantwortung kann ausgelagert werden – Haftung und Risiko meist nicht.

10. Kontinuierliche Verbesserung etablieren

AI entwickelt sich schneller als jede andere Technologie der vergangenen Jahre.

Neue Modelle entstehen, regulatorische Anforderungen verändern sich und Geschäftsanforderungen entwickeln sich weiter.

Deshalb ist AI Governance kein einmaliges Projekt.

Regelmässige Reviews, Audits, Re-Assessments und Management-Reports sorgen dafür, dass das Operating Model kontinuierlich weiterentwickelt wird.

Genau dieser Verbesserungszyklus macht aus einer einmaligen Initiative eine nachhaltige Unternehmensfähigkeit.

Klein anfangen – konsequent skalieren

Nicht jedes Unternehmen benötigt sofort ein umfassendes AI Governance Framework.

Erfolgreicher ist häufig ein schrittweiser Ansatz:

1. Transparenz schaffen
2. Verantwortlichkeiten definieren
3. Regeln festlegen
4. Risiken bewerten
5. Kritische Use Cases absichern
6. Monitoring etablieren

Dieser sogenannte Minimum Viable Governance Ansatz ermöglicht schnelle Fortschritte, ohne Innovation zu behindern. Mit zunehmender Reife werden weitere Kontrollen, Prozesse und organisatorische Fähigkeiten ergänzt.

So entsteht Schritt für Schritt ein AI-driven Operating Model, das Innovation fördert, Risiken beherrscht und langfristigen Geschäftswert schafft.

Wo Unternehmen beginnen sollten

Die Einführung von AI Governance wird häufig unnötig kompliziert gemacht.

Viele Unternehmen versuchen zunächst, ein vollständiges Governance Framework aufzubauen, sämtliche regulatorischen Anforderungen zu analysieren und umfangreiche Prozesse zu definieren. Das Ergebnis sind oft monatelange Diskussionen, Governance-Dokumente mit geringer Akzeptanz und gleichzeitig eine weiterhin unkontrollierte Nutzung von AI im Unternehmensalltag.

Der pragmatischere Weg besteht darin, mit den wesentlichen Grundlagen zu starten und die Governance schrittweise auszubauen.

Genau dies empfiehlt auch der ISACA AI Governance Brief. Im Mittelpunkt stehen dabei nicht einzelne Technologien, sondern die grundlegenden Fragen nach Nutzen, Risiken, Verantwortlichkeiten, Ressourcen und der organisatorischen Bereitschaft für AI. Entscheidend ist, dass AI-Initiativen einen messbaren Geschäftswert schaffen, Risiken verstanden und gesteuert werden und eine angemessene Governance-Struktur vorhanden ist.

Die folgenden Fragen können als praktische Standortbestimmung und Qualitätssicherung für den Einstieg in ein AI-driven Operating Model genutzt werden.

Die AI Governance Start-Checkliste

1. Strategie und Geschäftsnutzen

☐ Gibt es eine klare Vorstellung, welchen Beitrag AI zur Unternehmensstrategie leisten soll?

☐ Sind die erwarteten Nutzen und Geschäftsergebnisse definiert?

☐ Werden Nutzen, Kosten und Risiken systematisch bewertet?

☐ Existieren Kennzahlen zur Messung des AI-Erfolgs?

☐ Werden AI-Initiativen anhand ihres Geschäftswerts priorisiert?

2. Transparenz über AI schaffen

☐ Sind alle produktiven AI-Anwendungen bekannt?

☐ Sind Pilotprojekte und Proof of Concepts erfasst?

☐ Werden eingesetzte AI-Funktionen von Standardsoftware berücksichtigt?

☐ Existiert ein zentrales AI Register?

☐ Sind für alle Use Cases Business Owner und Verantwortliche definiert?

3. Governance und Verantwortlichkeiten etablieren

☐ Existiert ein AI Governance Owner oder AI Steering Committee?

☐ Sind Verantwortlichkeiten zwischen Business, IT, Datenschutz, Legal, Compliance und Risiko-Management eindeutig geregelt?

☐ Sind AI-bezogene Entscheidungswege dokumentiert?

☐ Wurden bestehende Governance-Gremien auf ihre AI-Verantwortung überprüft?

4. Risiken systematisch bewerten

☐ Wurden die Risiken aller relevanten AI-Anwendungen identifiziert?

☐ Sind Risiken hinsichtlich Datenschutz, Sicherheit, Compliance, Transparenz und Bias bewertet?

☐ Sind AI-Risiken im Enterprise Risk Management integriert?

☐ Existieren dokumentierte Massnahmen zur Risikobehandlung?

☐ Werden Risiken regelmässig neu bewertet?

5. Richtlinien und Leitplanken definieren

☐ Existiert eine AI Policy?

☐ Sind erlaubte und verbotene Use Cases definiert?

☐ Gibt es Regeln für die Nutzung sensibler Daten?

☐ Sind Anforderungen an Human Oversight festgelegt?

☐ Sind Anforderungen an externe AI-Anbieter definiert?

6. Compliance und regulatorische Anforderungen berücksichtigen

☐ Werden Anforderungen des EU AI Act bewertet?

☐ Sind Datenschutzanforderungen berücksichtigt?

☐ Werden Transparenz- und Dokumentationspflichten eingehalten?

☐ Existieren Prozesse für Compliance Reviews?

☐ Werden regulatorische Änderungen überwacht?

7. Daten und Technologie beherrschen

☐ Sind die verwendeten Datenquellen bekannt?

☐ Werden Datenqualität und Datenherkunft überprüft?

☐ Sind Modelle und Plattformen dokumentiert?

☐ Existieren Anforderungen an Sicherheit und Zugriffsschutz?

☐ Werden Modelländerungen kontrolliert und dokumentiert?

8. Menschen befähigen

☐ Gibt es ein AI Literacy Programm?

☐ Werden Führungskräfte gezielt geschult?

☐ Verstehen Mitarbeitende Chancen und Risiken von AI?

☐ Sind ausreichende interne und externe Ressourcen verfügbar?

☐ Wurden Change-Management-Massnahmen eingeplant?

9. Betrieb und Monitoring sicherstellen

☐ Werden AI-Systeme kontinuierlich überwacht?

☐ Existieren Leistungs- und Qualitätskennzahlen?

☐ Werden Modellabweichungen erkannt?

☐ Sind Incident- und Eskalationsprozesse definiert?

☐ Werden regelmässige Reviews durchgeführt?

10. Kontinuierliche Verbesserung etablieren

☐ Werden AI-Initiativen regelmässig überprüft?

☐ Werden Erfahrungen aus Betrieb und Nutzung zurück in die Weiterentwicklung geführt?

☐ Existiert ein Management Reporting für AI?

☐ Werden Governance und Kontrollen regelmässig angepasst?

☐ Wird die Reife des AI Operating Models kontinuierlich erhöht?

Fazit: Von AI-Projekten zur AI-Fähigkeit

Die Diskussion über Künstliche Intelligenz wird heute häufig von Technologien, Modellen und regulatorischen Anforderungen dominiert. Unternehmen vergleichen Large Language Models, evaluieren AI-Plattformen und beschäftigen sich mit den Auswirkungen des EU AI Act.

Dabei gerät leicht in Vergessenheit, worum es eigentlich geht.

AI ist kein Technologieprojekt.

AI ist eine neue organisatorische Fähigkeit.

Der langfristige Erfolg wird deshalb nicht von der Auswahl des besten Modells abhängen, sondern von der Fähigkeit einer Organisation, AI kontrolliert, verantwortungsvoll und gleichzeitig skalierbar einzusetzen.

Genau hier liegt die Bedeutung von AI Governance und einem AI-driven Operating Model.

Governance schafft die notwendigen Leitplanken. Sie definiert Verantwortlichkeiten, steuert Risiken und stellt sicher, dass regulatorische Anforderungen eingehalten werden. Ohne Governance entsteht schnell eine unübersichtliche AI-Wildnis mit Schatten-AI, unklaren Verantwortlichkeiten und schwer beherrschbaren Risiken.

Governance allein reicht jedoch nicht aus.

Erst ein AI-driven Operating Model verbindet Strategie, Menschen, Prozesse, Daten, Technologien und Governance zu einem integrierten Gesamtsystem. Es schafft die organisatorischen Voraussetzungen, um AI-Ideen systematisch zu identifizieren, zu priorisieren, zu entwickeln, bereitzustellen, zu überwachen und kontinuierlich weiterzuentwickeln.

Die erfolgreichsten Unternehmen werden deshalb nicht diejenigen sein, die am schnellsten neue AI-Werkzeuge einführen.

Erfolgreich werden diejenigen Organisationen sein, die AI als strategische Unternehmensfähigkeit aufbauen und dauerhaft beherrschen.

Der Weg dorthin muss nicht mit einem komplexen Governance-Framework beginnen.

Viel wichtiger ist es, die richtigen Grundlagen zu schaffen:

• Transparenz über eingesetzte AI-Systeme
• Klare Verantwortlichkeiten
• Risikobasierte Steuerung
• Verlässliche Governance-Prozesse
• Kontinuierliches Monitoring und Lernen

Aus diesen Grundlagen entsteht Schritt für Schritt eine Organisation, die AI nicht nur nutzt, sondern aktiv steuert.

Die eigentliche Frage lautet deshalb nicht:

„Wie führen wir AI ein?“

Die entscheidende Frage lautet:

„Wie entwickeln wir die Fähigkeit, AI nachhaltig und verantwortungsvoll zu nutzen?“

Unternehmen, die diese Frage frühzeitig beantworten, werden AI nicht nur als Effizienzwerkzeug einsetzen. Sie werden AI als strategischen Hebel nutzen, um Innovation zu beschleunigen, neue Geschäftsmodelle zu entwickeln und ihre Wettbewerbsfähigkeit langfristig zu stärken.

Denn am Ende geht es nicht darum, möglichst viel AI einzusetzen.

Es geht darum, die richtige AI auf die richtige Weise einzusetzen – mit klarem Nutzen, kontrolliertem Risiko und einem Operating Model, das Innovation und Verantwortung dauerhaft miteinander verbindet.