Data Governance versus KI-Governance: warum beide notwendig sind und wie sie zusammenwirken

Data Governance und KI-Governance sind verwandte, aber eigenständige Disziplinen, die unterschiedliche Risiken adressieren und unterschiedliche Verantwortungsstrukturen erfordern. Wer sie verwechselt oder KI-Governance als Teilbereich der Data Governance behandelt, lässt erhebliche Lücken offen, die Aufsichtsbehörden und Prüfer erkennen werden.

Data Governance befasst sich mit der Verwaltung von Datenbeständen über deren gesamten Lebenszyklus: wie Daten erhoben, klassifiziert, gespeichert, abgerufen, genutzt, aufbewahrt und entsorgt werden. Ein ausgereiftes Data-Governance-Programm umfasst ein Datenverzeichnis (Data Dictionary), Verantwortlichkeiten für Dateneigentum und Datenpflege (Ownership und Stewardship), Standards für Datenqualität, Zugriffskontrollen sowie Aufbewahrungs- und Löschpläne, die auf die rechtlichen Pflichten abgestimmt sind. Data Governance gilt für alle Daten, nicht nur für Daten, die in KI-Systemen verwendet werden.

KI-Governance befasst sich mit den spezifischen Risiken, die entstehen, wenn KI-Systeme Daten nutzen, um Entscheidungen zu treffen oder vorzubereiten. Sie umfasst die Dateneingaben in KI-Systeme (Trainingsdaten, Inferenzdaten), die Modelle selbst (Design, Training, Validierung, Bias-Bewertung, Überwachung nach dem Inverkehrbringen), die Entscheidungen, die KI-Systeme hervorbringen (Genauigkeit, Fairness, Erklärbarkeit, menschliche Aufsicht) sowie die organisatorische Verantwortung für diese Entscheidungen (wer verantwortlich ist, wenn ein KI-System Schaden verursacht). KI-Governance bringt Kontrollen und Verantwortungsstrukturen mit sich, für die es in der Data Governance keine Entsprechung gibt: Modellrisikomanagement, algorithmische Audits, KI-spezifische Vorfallreaktion und die Einhaltung KI-spezifischer Gesetzgebung.

Das Verhältnis zwischen beiden: Gute Data Governance ist eine Voraussetzung für gute KI-Governance, denn die Qualität der KI-Ergebnisse hängt unmittelbar von der Qualität der Dateneingaben ab. Data Governance ersetzt jedoch keine KI-Governance. Eine Organisation mit ausgereifter Data Governance, die KI-spezifische Risiken nicht adressiert hat, also Modell-Bias, Halluzinationen, autonome Entscheidungsfindung und die Verantwortlichkeit von KI-Anbietern, trägt ein erhebliches, nicht gesteuertes Risiko.

Was KI-Governance von der Data Governance verlangt

KI-Systeme stellen besondere Anforderungen an die Data-Governance-Infrastruktur, die Organisationen mit zunehmender KI-Nutzung erfüllen müssen:

Qualität und Herkunft (Lineage) der Trainingsdaten. Die Genauigkeit und Fairness eines KI-Modells hängen von der Qualität der Daten ab, mit denen es trainiert wurde. Data Governance muss sich auf Trainingsdatensätze erstrecken: dokumentieren, woher die Trainingsdaten stammen, welche demografischen Gruppen abgebildet (und unterrepräsentiert) sind, wie die Daten bereinigt und aufbereitet wurden und welche Qualitätskontrollen angewendet wurden. Die Data-Governance-Anforderungen des EU AI Act (KI-Verordnung) an Hochrisiko-KI-Systeme (Artikel 10) verlangen, dass Trainings-, Validierungs- und Testdatensätze relevant, hinreichend repräsentativ und im Hinblick auf den beabsichtigten Zweck so fehlerfrei wie möglich sind. Diese Anforderungen lassen sich ohne eine zugrunde liegende Data-Governance-Infrastruktur nicht erfüllen.

Inferenzdaten und Datenschutz. Daten, die während der Inferenz an ein KI-System übermittelt werden, also die Eingaben, die die Ergebnisse des Systems steuern, unterliegen denselben Datenschutzpflichten wie andere personenbezogene Daten. Werden personenbezogene Informationen in Prompts an ein KI-Modell übermittelt (unabhängig davon, ob das Modell intern betrieben oder über eine Anbieter-API genutzt wird), müssen sie im Einklang mit dem Privacy Act 1988 (Australien), der DSGVO (EU) oder anderem anwendbaren Datenschutzrecht behandelt werden. Dazu gehört, eine geeignete Einwilligung oder eine andere Rechtsgrundlage für die Verarbeitung sicherzustellen, Datenminimierung umzusetzen und dafür zu sorgen, dass die Datenverarbeitungspraxis des Anbieters den vertraglichen und regulatorischen Pflichten der Organisation genügt.

Transparenz bei automatisierter Entscheidungsfindung. Der australische Privacy and Other Legislation Amendment Act 2024 hat Transparenzpflichten für automatisierte Entscheidungsfindung (ADM) eingeführt, die ab dem 10. Dezember 2026 gelten. APP-Entitäten müssen künftig in ihren Datenschutzerklärungen Angaben zu den Arten personenbezogener Informationen machen, die in weitgehend automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Einzelpersonen verwendet werden. Die Erfüllung dieser Pflicht erfordert eine Data-Governance-Infrastruktur, die nachverfolgt, welche personenbezogenen Informationen in welchen KI-gestützten Entscheidungsprozessen verwendet werden.

Datenzugriff und Least Privilege für KI-Systeme. KI-Systeme, insbesondere agentische KI, die eigenständig auf Daten zugreifen und auf deren Grundlage handeln kann, müssen denselben Zugriffskontrollen unterliegen wie menschliche Nutzer. Im Schreiben der APRA (Australian Prudential Regulation Authority) vom April 2026 wurde festgehalten, dass Identitäts- und Zugriffsmanagement bislang nicht an nicht-menschliche Akteure wie KI-Agenten angepasst wurde. Data-Governance-Rahmenwerke müssen auf die Identitäten von KI-Systemen ausgeweitet werden: den Zugriff auf ausschließlich jene Daten beschränken, die für die jeweilige Funktion erforderlich sind, Datenzugriffe der KI protokollieren und Widerrufsmöglichkeiten implementieren.

Integrierte Data Governance und KI-Governance aufbauen

Der wirksamste Ansatz behandelt Data Governance und KI-Governance als integrierte, aber eigenständige Programme mit gemeinsamer Infrastruktur und abgestimmter Verantwortlichkeit:

Auf der Datenebene sollte die bestehende Data-Governance-Infrastruktur, also Datenkatalog, Datenqualitätskontrollen, Zugriffsmanagement und Aufbewahrungspläne, ausdrücklich auf KI-Anwendungsfälle ausgeweitet werden. Das bedeutet, Datenbestände mit ihrer KI-Nutzung zu kennzeichnen (im Training verwendet, in der Inferenz verwendet), KI-spezifische Anforderungen an die Datenqualität zu ergänzen und das Zugriffsmanagement auf die Identitäten von KI-Systemen auszudehnen.

Auf der KI-Ebene ergänzt die KI-Governance die modellspezifische Verantwortlichkeit, die Data Governance nicht leisten kann: Modellrisikomanagement (Modellvalidierung, Bias-Bewertung, Leistungsüberwachung), KI-Vorfallreaktion, Sorgfaltsprüfung von KI-Anbietern und die Einhaltung KI-spezifischer regulatorischer Pflichten. Dafür braucht es Verantwortungsstrukturen, typischerweise ein Modellrisikokomitee oder ein KI-Governance-Komitee, in dem Recht, Risiko, Technologie und die Fachbereiche vertreten sind.

Der zentrale Integrationspunkt ist das KI-Inventar: ein Verzeichnis aller eingesetzten KI-Systeme, der von jedem System genutzten Daten, der Entscheidungen, die jedes System beeinflusst, und der jeweils verantwortlichen Person. Dieses Inventar dient sowohl der Data Governance (Verständnis darüber, welche Daten in welchen KI-Systemen verwendet werden) als auch der KI-Governance (Verständnis darüber, welche KI-Systeme einer Aufsicht bedürfen). Die APRA erwartet von beaufsichtigten Unternehmen, ein solches Inventar zu führen; sein Fehlen war eine Feststellung im aufsichtlichen Austausch vom April 2026.

Aus Sicht der regulatorischen Compliance zählen zu den Rahmenwerken, die Data-Governance-Fähigkeiten als Teil der KI-Compliance verlangen: der EU AI Act (Data-Governance-Anforderungen nach Artikel 10 für Hochrisiko-KI), die ADM-Transparenzpflicht des australischen Privacy Act (Dezember 2026), die Anforderungen von CPS 230 an das operationelle Risikomanagement in Bezug auf Datenqualität in kritischen Betriebsabläufen sowie das NIST AI Risk Management Framework (das Datenqualität als zentrale Dimension der Vertrauenswürdigkeit von KI in den Funktionen Map und Measure behandelt).

Verwandte Beiträge

Weiterführende Lektüre: ISO/IEC 42001