KI-Governance: Drei Modelle für den Mittelstand

In den vergangenen Wochen ist eine Debatte in Bewegung geraten, die die Governance-Frage rund um KI-Modelle neu sortiert. Drei prominente Stimmen mit sehr unterschiedlicher Haltung. Alle drei stimmen überein, dass unabhängige Prüfung vor Release nötig ist. Uneinig sind sie, wer diese Prüfung tragen soll, wie viel Zwang dazugehört und wer im Zweifel Nein sagen darf.

Für Unternehmen im DACH-Mittelstand ist das mehr als amerikanische Innenpolitik. Die drei Modelle lassen sich auf jede Organisation herunterbrechen, die KI-Tools einführt. Wer prüft im eigenen Haus? Darf diese Stelle Nein sagen? Ist die Prüfung dokumentiert? Wer die eigenen Antworten kennt, sieht seine KI-Governance realistisch.

Warum drei Modelle auf dem Tisch liegen

Die aktuelle Debatte hat einen konkreten Anlass. Frontier-Modelle mit Fähigkeiten, die sich der bisherigen Testkapazität entziehen, kommen in immer kürzerer Frequenz auf den Markt. Kein US-Gesetz verlangt heute eine externe Freigabe vor dem Release. Das US AI Safety Institute testet freiwillig, mit begrenztem Personal und ohne Vetorecht. Die drei Vorschläge auf dem Tisch versuchen, diese Lücke unterschiedlich zu schließen.

Modell 1: Hassabis · Selbstregulierung nach FINRA-Vorbild

Quelle: Demis Hassabis (CEO Google DeepMind), Interview mit The Economist vom 14. Juli 2026 sowie eigener Essay „A Framework for Frontier AI and the Dawning of a New Age“ auf Substack und X, veröffentlicht am selben Tag.

Hassabis schlägt ein neues Frontier AI Standards Body vor. Als Vorbild nennt er die FINRA, die Selbstregulierungs-Organisation der US-Wertpapierhandels-Industrie. Die Kernmerkmale:

• US-geführt, mit Ausstrahlung als internationaler Standard-Setter.
• Privat- und industriefinanziert, kein Steuergeld.
• Überwiegend besetzt mit unabhängigen Experten, nicht mit Vertretern der prüfenden Firmen.
• Zunächst freiwillige Einreichung von Frontier-Modellen 30 Tage vor Release.
• Prüfung auf Cyber-Sicherheit, biologische Risiken und Täuschungspotenzial.
• Späterer Übergang von freiwillig zu verpflichtend als Bedingung für den US-Marktzugang.

Hassabis begründet den Vorschlag mit einer Zeithorizont-Aussage, die für sich diskussionswürdig ist. Er beschreibt AGI als „wenige Jahre entfernt“ und nennt die aktuelle Phase die „foothills of the singularity“. Das ist Hassabis' Einordnung, nicht die einer Aufsichtsbehörde.

Analytische Einordnung

Der FINRA-Ansatz hat einen offensichtlichen Vorteil: Schnelligkeit. Selbstregulierung kann Standards in Monaten setzen, wo Gesetzgebung Jahre braucht. Der Nachteil liegt in der Konstruktion selbst. Eine Selbstregulierungs-Organisation ist strukturell abhängig von den Interessen ihrer Mitglieder. Bei Wertpapierhandel hat das über Jahrzehnte funktioniert, weil ein Vertrauensverlust an der Börse die eigenen Umsätze aller Mitglieder gefährdet. Ob dieser Mechanismus bei Frontier-KI gleich stark trägt, ist offen.

Modell 2: Amodei · Staatsbehörde nach FAA-Vorbild

Quelle: Dario Amodei (CEO Anthropic), in wiederholten öffentlichen Statements der vergangenen Monate. Analogie „FAA für KI“ als sein prägender Vorschlag.

Amodei fordert eine echte Staatsbehörde nach dem Muster der US-Luftfahrtbehörde FAA. Die Kernmerkmale:

• Behördlich, mit gesetzlicher Grundlage und Weisungsbefugnis.
• Durchgriffsrecht: Kann Modell-Releases im Zweifel untersagen.
• Analog zur FAA-Type-Certification, bei der ein neues Flugzeug ohne behördliche Freigabe nicht fliegen darf.
• Zentrale Instanz, keine Verhandlungsposition der Prüfling-Firmen.

Analytische Einordnung

Der FAA-Ansatz ist der härteste der drei. Er stellt Frontier-KI strukturell einem Verkehrsflugzeug gleich, das ohne behördliche Type-Certification nicht in die Luft darf. Der Vorteil liegt in der klaren Durchsetzung. Der Nachteil in der Zeit: Solche Behörden brauchen Jahre bis zur operativen Handlungsfähigkeit. Für die aktuelle Release-Frequenz von Frontier-Modellen ist das die langsamste Option.

Modell 3: Altman · freiwillige Tests ohne Zwang

Quelle: Sam Altman (CEO OpenAI), in Kongressanhörungen und öffentlichen Statements der letzten Monate. Ablehnung verpflichtender Behörden-Freigabe vor Rollout.

Altmans Position lässt sich in zwei Sätzen zusammenfassen. Erstens: Der Staat sollte mehr Ressourcen für freiwillige Sicherheitstests bereitstellen. Zweitens: Eine verpflichtende Freigabe vor Release wäre ein Innovations-Hemmnis. Die Kernmerkmale:

• Keine bindende Vor-Release-Genehmigung durch eine Behörde.
• Ausbau des US AI Safety Institute und vergleichbarer Institutionen.
• Freiwillige Kooperation der Anbieter mit staatlichen Test-Institutionen.
• Keine Veto-Rechte einer externen Instanz.

Analytische Einordnung

Altmans Position ist strukturell nahe am Status quo. Sie stärkt die staatliche Test-Kapazität, ändert aber am Anbieter-Souveränitäts-Prinzip nichts. Der Vorteil: schnellere Iteration, weniger regulatorische Reibung. Der Nachteil: Bei einem sicherheitskritischen Vorfall gibt es keine Instanz, die vorher hätte stoppen können.

Was daraus für den Mittelstand folgt

Alle drei Vorschläge diskutieren die Regulierung von Frontier-KI-Anbietern. Für ein Unternehmen im DACH-Mittelstand ist die Übertragung ins eigene Haus die relevantere Perspektive. Denn die Kernfrage bleibt in beiden Kontexten gleich: Wer prüft, bevor ein KI-System live geht?

Die drei Modelle lassen sich auf interne Governance eins zu eins übertragen:

• Hassabis · FINRA → Interne, fachbereichsmitfinanzierte Prüfstelle. Zunächst freiwillige Einreichung neuer Tools 30 Tage vor Rollout, perspektivisch verpflichtend. Erkennungszeichen: „Wir haben ein Gremium. Nutzung ist bislang informell freiwillig.“
• Amodei · FAA → Zentrale Governance-Stelle mit echtem Vetorecht. Kein KI-Tool geht ohne dokumentierte Freigabe live. Erkennungszeichen: „Ohne Freigabe des KI-Owners passiert nichts. Punkt.“
• Altman · freiwillige Tests → Zentrale Beratungs-Stelle ohne Stopprechte. Nutzung freiwillig, Fachbereich entscheidet selbst. Erkennungszeichen: „Wir haben jemanden, den man fragen kann. Muss man aber nicht.“

Die unbequeme Wahrheit für viele mittelständische Betriebe: Keines der drei Modelle ist heute strukturiert im Einsatz. In der Praxis läuft die Prüfung neuer KI-Tools meist so ab: Ein Fachbereich testet, findet es gut, informiert die IT, die IT fragt sicherheitstechnisch nach, und irgendwann rollt es. Ohne benannte Rolle, ohne dokumentiertes Verfahren, ohne definiertes Nein.

Was der EU AI Act bereits regelt

Während in den USA über Modelle debattiert wird, ist in der EU vieles davon geltendes Recht. Ein Überblick der relevanten Fristen:

• Seit 2. Februar 2025: Artikel 4 EU AI Act. KI-Kompetenz-Pflicht für alle Mitarbeitenden mit KI-Zugang. Die betriebliche Ausbildung muss nachweisbar sein.
• Ab 2. August 2026: Hochrisiko-Pflichten. Betroffene Systeme (unter anderem in HR, Kreditvergabe, kritischer Infrastruktur) unterliegen einer Konformitätsbewertung, dokumentierten Risikobewertung und laufender Aufzeichnungspflicht.
• Ab 2. August 2026: Artikel 50 Transparenz-Pflichten. Kennzeichnung von Chatbots, synthetischen Inhalten, Emotionserkennung und Deepfakes.

Strukturell verlangt der EU AI Act damit bereits jetzt vieles, was Hassabis, Amodei und Altman erst diskutieren. Konformitätsbewertung entspricht der FAA-Logik. Aufzeichnungs- und Risikobewertungs-Pflichten entsprechen der FINRA-Logik. Wer in der EU wirtschaftet, hat nicht die Wahl zwischen freiwilligem und verpflichtendem Modell. Für die betroffenen Anwendungskategorien ist die Prüfung Pflicht.

Für alle anderen KI-Anwendungen außerhalb der Hochrisiko-Kategorien greift der EU AI Act nicht direkt. Genau dort entscheidet die interne Governance. Und dort ist der Nachholbedarf im DACH-Mittelstand am größten.

Selbstcheck: drei Fragen für die eigene KI-Governance

Der Rest dieses Beitrags ist ein einfacher Test. Drei Fragen, ehrlich beantwortet. Wer bei einer ins Stocken kommt, weiß, wo die Lücke liegt.

Frage 1 · Gibt es eine benannte Person oder Stelle, die neue KI-Tools vor Einführung prüft?

Nicht eine Rolle „irgendwo in der IT“, sondern eine explizit benannte, im Organigramm sichtbare Position. Bei einem Mittelständler kann das ein KI-Owner, ein Compliance-Beauftragter oder ein Datenschutz-Verantwortlicher mit erweitertem Mandat sein. Wichtig ist, dass die Person im Zweifel weiß, dass sie zuständig ist. Und dass der Fachbereich das auch weiß.

Frage 2 · Kann diese Stelle eine Einführung tatsächlich stoppen, oder ist sie rein beratend?

Die Antwort trennt die Amodei- von der Altman-Welt. Beratend heißt, dass der Fachbereich am Ende entscheidet. Stopprecht heißt, dass es ohne Freigabe nicht weitergeht. Beides ist eine legitime Konstruktion. Nicht legitim ist Unklarheit. Wenn niemand weiß, ob ein Nein bindend ist, gibt es faktisch kein Nein.

Frage 3 · Wird die Prüfung dokumentiert, oder verlässt man sich auf mündliche Absprachen?

Ohne Dokumentation ist die beste Prüfung nach zwei Monaten unauffindbar. Wenn der Wirtschaftsprüfer, ein Kunde oder eine Aufsichtsbehörde später fragt, wer wann was geprüft hat, zählt nur, was schriftlich vorliegt. Das muss kein bürokratisches Monster sein. Eine strukturierte Freigabe-Notiz mit Datum, Prüfer, Ergebnis und Auflagen reicht in den meisten Fällen.

Wer alle drei Fragen mit einem klaren Ja beantworten kann, hat die eigene Governance strukturiert. Wer bei zwei oder drei Fragen zögert, hat konkreten Handlungsbedarf. Nicht in Form eines großen Governance-Projekts, sondern in Form dreier klarer Entscheidungen: Wer? Mit welchem Recht? Wo dokumentiert?

Diese Einordnung ist keine Rechtsberatung. Konkrete Compliance-Fragen zu EU AI Act oder anderen Regulierungsrahmen sollten mit einer qualifizierten juristischen Beratung geklärt werden.