Vom AI-Governance-Workshop zu praxistauglichen Teamregeln

Die Rechtsabteilung schickt ein PDF mit KI-Richtlinien im Anhang einer Rundmail. Zwei Wochen später nutzt die Hälfte des Teams weiterhin dieselben nicht freigegebenen Tools wie vorher, aus einem simplen Grund: Niemand aus der eigentlichen Arbeit war an der Richtlinie beteiligt. Regeln, die am Schreibtisch der Rechtsabteilung entstehen, ohne die Praxis der Menschen zu kennen, die sie befolgen sollen, halten selten dem Alltag stand. AI Governance ist deshalb weniger ein Dokumentationsproblem als ein Moderationsproblem: ein Aushandlungsprozess, der die Perspektiven derer braucht, die die Tools tatsächlich nutzen.

Der regulatorische Druck verstärkt das zusätzlich: Der EU AI Act verpflichtet Unternehmen zunehmend zu dokumentierten Prozessen für den KI-Einsatz. Ein Workshop mit echter Beteiligung liefert dafür eine bessere Grundlage als ein Dokument, das ohnehin niemand liest.

Die Fragen, die vor der eigentlichen KI-Frage stehen

Ein überraschend großer Teil dessen, was als „KI-Governance-Problem“ auftaucht, ist bei genauerem Hinsehen ein Problem, das schon vor modernen KI-Tools ungelöst war: Wo liegen unsere Daten überhaupt? Welche Cloud-Dienste sind grundsätzlich freigegeben? Wer entscheidet, wenn ein neues Tool auftaucht? KI-Tools machen diese Lücken nur sichtbarer, weil plötzlich jede Person mit einem Chat-Fenster potenziell Firmendaten in ein fremdes System eintippt.

Manchmal braucht es dafür gar keine neue KI-Richtlinie – nur die Erkenntnis, dass eine bestimmte Aufgabe gar kein Cloud-Tool mit Datenrisiko erfordert. Für Workshop-Planung etwa reicht ein Tool, das komplett ohne Account und ohne Cloud-Speicherung im Browser läuft – wie Sessionplan.de. Wie sich dieses Prinzip auf weit mehr Aufgabenbereiche übertragen lässt, zeigt unser Beitrag mit 30 privacy-first Alternativen zu teurer Software. Und wie sich KI trotzdem sinnvoll und mit klaren Grenzen einbinden lässt, beschreibt unser Beitrag zur verantwortungsvollen Nutzung von KI in Sessionplan.

Sechs Bausteine eines AI-Governance-Workshops

1. Bestandsaufnahme: Welche Tools werden bereits genutzt?

Ohne ehrliche Bestandsaufnahme entstehen Regeln für eine Realität, die es nicht gibt. Sammle offen und ohne Bewertung, welche Tools bereits im Einsatz sind – auch informell. Ehrlichkeit entsteht nur, wenn niemand mit Konsequenzen für bisherige Nutzung rechnen muss.

2. Erlaubte Tools & Freigabeprozess

Eine Positivliste, die festlegt, welche Tools für welche Zwecke freigegeben sind, funktioniert besser als eine Verbotsliste – und definiert zugleich einen klaren Weg, wie ein neues Tool überhaupt geprüft und freigegeben werden kann.

3. Datenklassen & Datenumgang

Lege fest, welche Daten – Kundendaten, Quellcode, Geschäftsgeheimnisse – überhaupt in welche Art von Tool eingegeben werden dürfen. Diese Klassifizierung ist meist der eigentliche Kern der „KI-Frage“.

4. Urheberrecht & Kennzeichnung

Kläre, wann KI-generierte Inhalte gekennzeichnet werden müssen und wer die inhaltliche Qualität vor Veröffentlichung prüft.

5. Verantwortung & Freigaben

Definiere, wer für KI-unterstützte Ergebnisse inhaltlich verantwortlich bleibt. Die Verantwortung verschiebt sich nie auf das Tool selbst – sag das ausdrücklich, statt es stillschweigend vorauszusetzen.

6. Review-Rhythmus

KI-Tools und ihre Fähigkeiten verändern sich schneller als die meisten Unternehmensrichtlinien. Ein fester Überprüfungstermin verhindert, dass die Regeln nach sechs Monaten schlicht veraltet sind.

Zeitbudget für die 110-minütige Agenda

Die sechs Bausteine lassen sich in einer einzigen Session unterbringen, wenn du das Zeitbudget vorab festlegst:

Baustein	Zeit	Format
1. Bestandsaufnahme	20 Min.	Stille Einzelsammlung, dann Vorstellung im Plenum
2. Erlaubte Tools & Freigabeprozess	20 Min.	Kleingruppen, danach Zusammenführung
3. Datenklassen & Datenumgang	20 Min.	Gemeinsame Kategorisierung am Board
4. Urheberrecht & Kennzeichnung	15 Min.	Kurzinput, dann offene Diskussion
5. Verantwortung & Freigaben	15 Min.	Rollenklärung im Plenum
6. Review-Rhythmus	10 Min.	Termin direkt im Kalender fixieren
Consent-Entscheidung	10 Min.	Reihum-Abfrage nach Einwänden

Wichtig: Die ersten drei Bausteine bekommen bewusst am meisten Zeit – sie liefern die inhaltliche Grundlage, auf der die späteren Entscheidungen aufbauen. Wird hier zu sehr gekürzt, wirken Bausteine 4 bis 6 wie reine Formalie.

Häufige Stolperfallen

• Nur Verbote, keine Alternativen: Ein reines Verbot ohne freigegebene Alternative treibt die Nutzung nur weiter in den Schatten. Zu jedem verbotenen Tool gehört ein freigegebener Ersatz.
• Rechtsabteilung moderiert statt das Team: Sitzt Legal am Steuer der Diskussion, kippt der Workshop schnell zurück in die Genehmigungslogik, die eigentlich überwunden werden sollte.
• Nur Textgeneratoren im Blick: Bildgenerierung, Code-Assistenten, Meeting-Transkription und automatisierte Zusammenfassungen fallen in der Bestandsaufnahme oft unter den Tisch, obwohl sie dieselben Datenrisiken bergen.
• Kein Owner für den Review-Termin: Ohne benannte verantwortliche Person verstreicht der Review-Termin aus Baustein 6 erfahrungsgemäß ungenutzt.

So moderierst du den Workshop

Die erarbeiteten Regeln bleiben am Ende ein konkreter Vorschlag, kein fertiger Beschluss von oben – verabschiedet per Consent-Entscheidung: Reihum nach schwerwiegenden Einwänden fragen, Einwände integrieren, erneut prüfen. Wer eine noch strukturiertere Entscheidungsgrundlage braucht, findet sie im Beitrag zu den 7 Bausteinen moderierter Entscheidungen – inklusive Owner und Review-Termin, die auch für KI-Regeln unverzichtbar sind.

Praxisbeispiel: Ein 12-köpfiges Produktteam bringt Schatten-KI ans Licht

Ein Produktteam mit zwölf Personen ging mit der Erwartung in den Workshop, dass ChatGPT das einzige genutzte KI-Tool sei. Die anonyme Bestandsaufnahme zu Beginn förderte sechs verschiedene Tools zutage – darunter zwei, die Kundendaten in ihre Prompts kopierten, ohne dass es der Rechtsabteilung je aufgefallen war. Am Ende der 110 Minuten stand eine Positivliste mit drei freigegebenen Tools, eine klare Regel, welche Datenklassen niemals in ein Cloud-Tool dürfen, und ein fester Review-Termin in sechs Wochen. Der entscheidende Unterschied zur gescheiterten Vorgänger-Richtlinie: Alle zwölf Personen hatten mitentschieden, welche Tools auf der Liste stehen – nicht nur die IT-Abteilung.

AI-Governance-Workshop – Häufig gestellte Fragen

Wie lange dauert so ein Workshop?
Das Template ist auf 110 Minuten ausgelegt. Für Teams mit besonders vielfältiger Tool-Landschaft lohnt es sich, Baustein 1 und 2 auf einen eigenen 60-Minuten-Termin vorzuziehen und den Rest in einer zweiten Session zu klären.

Wer sollte teilnehmen?
Das Team, das die Tools tatsächlich nutzt – plus eine Person mit Entscheidungsbefugnis für Freigaben. Rechtsabteilung oder IT-Security sind als beratende Stimme wertvoll, sollten aber nicht allein entscheiden, sonst wiederholt sich das ursprüngliche Problem.

Was, wenn die Rechtsabteilung nicht mitzieht?
Lade sie explizit als Teilnehmende ein, nicht als Genehmigungsinstanz im Nachhinein. Die meisten Bedenken lösen sich, wenn Rechtsabteilung und Team gemeinsam am selben Board stehen, statt Dokumente per E-Mail hin- und herzuschicken.

Reicht ein einmaliger Workshop?
Nein – genau deshalb ist Baustein 6, der Review-Rhythmus, keine Formalie. KI-Tools verändern sich schneller als jede Jahresrichtlinie. Ohne festen Folgetermin verfällt die Vereinbarung innerhalb weniger Monate.

Gilt das auch für Freelancer und externe Mitarbeitende?
Ja, sogar besonders dringend – externe Personen haben oft die geringste Bindung an interne Prozesse und die höchste Wahrscheinlichkeit, ein privates KI-Tool aus Gewohnheit weiterzunutzen. Beziehe sie explizit in die Bestandsaufnahme ein, statt sie nachträglich nur zu informieren.

Nach dem Workshop: Die Regeln verankern

Der Workshop selbst ist nur der Anfang. Ohne klaren Rollout-Plan versickert das Ergebnis in einem Wiki-Artikel, den niemand liest. Drei Schritte helfen: Erstens die verabschiedeten Regeln in einem einzigen, kurzen Dokument statt einer langen Richtlinie festhalten. Zweitens die Positivliste dort sichtbar machen, wo Entscheidungen tatsächlich fallen – etwa im Onboarding neuer Teammitglieder oder direkt im Tool-Beschaffungsprozess. Drittens den Review-Termin aus Baustein 6 nicht nur im Kalender, sondern auch im Dokument selbst mit Datum festhalten, damit er nicht in der nächsten Reorganisation verloren geht.

AI Governance, die hält, entsteht im Raum mit den Menschen, die die Tools täglich nutzen – nicht am Schreibtisch der Rechtsabteilung. Wer Bestandsaufnahme, Datenumgang und Verantwortung gemeinsam moderiert, statt sie von oben zu verordnen, bekommt Regeln, die auch nach dem ersten neuen Tool-Update noch Bestand haben.