Entscheidungsrechte für KI. GF, CIO und Fachbereich

Rechte-Matrix

In vielen mittelständischen Häusern läuft KI längst in mehreren Abteilungen. Wer sie dort eingeführt hat, weiß oft niemand mehr genau. Der Vertrieb testet einen Assistenten für Angebotsentwürfe, das Schadenteam ein zweites Werkzeug für Textbausteine, und die Freigabe lief über einen kurzen Draht in die IT. Solange nichts passiert, fällt das niemandem auf. Beim ersten Zwischenfall sucht die Runde einen Eigner und findet keinen.

Dieser Beitrag ordnet die Entscheidungsrechte für KI zwischen Geschäftsführung, CIO und Fachbereich. Sie bekommen ein Arbeitsmodell auf drei Ebenen, eine Rechte-Matrix mit entscheidender Rolle, ausführender Rolle und Vetorolle je Zeile, dazu einen Eskalationsweg, der ohne neues Gremium auskommt. Wie sich das in die größere Frage nach Rollen und Führung einfügt, steht in unserem Überblick zur KI-Arbeitsorganisation im Mittelstand.

Entscheidungsrechte für KI ordnen sich auf drei Ebenen. Auf der ersten darf jemand eine Anwendung erproben, auf der zweiten lässt jemand sie in den Regelbetrieb, auf der dritten entscheidet jemand über Pause und Stilllegung. Der Fachbereich trägt die Anwendung fachlich, der CIO Datenweg und Betrieb, die Geschäftsführung die Grenzfälle. sensified.ai hält die Matrix schriftlich fest.

• Was: Rechte-Matrix auf drei Ebenen, je Zeile mit entscheidender Rolle, ausführender Rolle und Vetorolle.
• Wer: Geschäftsführung und CIO gemeinsam, Bereichsleitung als Eigner.
• Ergebnis: Freigaben, die schriftlich vorliegen und im Zweifel nachlesbar sind.

Quelle: sensified.ai

Warum die Hoheit über KI im Haus verschwimmt

Verstreute Nutzung entsteht selten aus einem Beschluss. Sie entsteht, weil jeder Bereich seinen eigenen Weg in die IT findet und niemand diese Wege zusammenlegt. Zwei Fragen sortieren die Lage: wo fallen die Entscheidungen heute, und was kostet dieser Zustand das Haus.

Wo die Entscheidungen heute fallen

Ein gedachtes Beispiel, konstruiert und nicht aus einem Mandat entnommen. Bei einem Versicherer im gehobenen Mittelstand nutzt das Schadenteam einen Assistenten für Textbausteine, der Vertrieb einen zweiten für Angebote und der Bestand einen dritten für Auskünfte. Jede Abteilung hat ihren eigenen kurzen Weg in die IT gefunden. Entschieden hat am Ende, wer ein Budget und einen Zugang hatte.

Was der Zustand kostet

Mehrere Werkzeuge lösen ähnliche Aufgaben, und das Haus bezahlt jedes davon einzeln. Der zweite Effekt wiegt schwerer. Niemand kann ein Werkzeug stoppen, weil es niemandem gehört. Nur 28 Prozent der Unternehmen mit KI im Einsatz lassen die Governance vom CEO verantworten, 17 Prozent vom Board, und im Schnitt teilen sich zwei Führungskräfte die Aufsicht (McKinsey, The State of AI, 2025). Geteilte Aufsicht ohne Schiedsweg lässt Entscheidungen liegen.

Wo ein Freigabeweg fehlt, entsteht Schatten-KI. Mitarbeitende greifen dann zu privaten Zugängen, und der Datenweg verlässt das Haus, ohne dass ihn jemand geprüft hat. Eine Praxisquelle aus dem Mittelstand beschreibt genau diese Folge, dazu lange Abstimmungsschleifen zwischen IT, Security und Compliance (Möhrle Happ Luther).

Der Aufwand fällt an anderer Stelle an. Die IT prüft dieselbe Frage mehrfach, weil jeder Bereich sie einzeln stellt. Der Datenschutz bearbeitet denselben Sachverhalt in mehreren Vorgängen. Und wenn ein Anbieter seine Konditionen ändert, verhandelt niemand für das ganze Haus.

Was Sie davon mitnehmen: Solange keine benannte Rolle über Einsatz, Freigabe und Abschaltung entscheidet, entscheidet der Zugang zum Budget.

Entscheidungsrechte im Unternehmen auf drei Ebenen

Das Modell auf drei Ebenen ist ein Arbeitsvorschlag von sensified.ai. Es trennt drei Entscheidungen, die im Alltag gern zu einer verschmelzen. Wer sie trennt, kann jede Zeile einer Rolle zuordnen und dazu festlegen, wer ausführt und wer widersprechen darf.

Einsatz

Auf der ersten Ebene steht der Versuch. Sie legen fest, wer eine Anwendung erproben darf und ab welchem Punkt der Versuch endet. Ein Test mit anonymisierten Daten in kleinem Kreis kann mit wenig Vorlauf starten, wenn Sie das so festlegen. Sobald echte Kundendaten hineinlaufen, greift die zweite Ebene. Ob eine Aufgabe überhaupt automatisiert gehört oder besser assistiert wird, klären Sie eine Ebene tiefer, bei der Entscheidung zwischen Automatisieren und Assistieren.

Freigabe

Die Freigabe lässt eine Anwendung in den Regelbetrieb, und sie zerfällt in zwei Teile. Der Fachbereich gibt fachlich frei, weil dort das Urteil über ein brauchbares Ergebnis liegt. Der CIO gibt technisch frei, weil er Datenweg, Betrieb und Anbindung verantwortet.

sensified.ai schlägt vier Angaben vor, die vor jeder Freigabe auf dem Tisch liegen: der Datenweg, der Prüfweg für die Ergebnisse, der benannte Eigner und das Verhalten im Fehlerfall. Fehlt eine davon, ruht der Antrag. Diese Härte kostet beim ersten Mal Geduld und macht später nachvollziehbar, wer was zugesagt hat.

Abschaltung, Pause und Wiederfreigabe

Die dritte Ebene braucht mehr als eine Zeile. Eine sofortige Pause ist eine Betriebsentscheidung, und sie muss in Minuten fallen können. CIO und IT-Security halten eine Anwendung deshalb ohne Rückfrage an, wenn Sicherheit, Datenschutz oder der laufende Betrieb betroffen sind. Der Eigner im Fachbereich hält sie an, wenn die Ergebnisse fachlich unbrauchbar werden.

Die dauerhafte Stilllegung und die Wiederfreigabe nach einem Vorfall sind geschäftliche Entscheidungen und liegen deshalb höher. Über die Wiederfreigabe entscheidet der CIO gemeinsam mit dem Eigner, sobald die Ursache behoben und dokumentiert ist. Bei Grenzfällen mit Außenwirkung hat die Geschäftsführung den letzten Zugriff. In der Erhebungswelle 2024 nannten 29 Prozent der Befragten ein fehlendes Governance-Modell als Barriere für die Bereitstellung generativer KI (Deloitte, State of Generative AI in the Enterprise, 2024).

Quelle: sensified.ai, Arbeitsmodell für die Rechte-Matrix

Wer pausieren darf, entscheidet im Ernstfall

„Solange niemand benannt ist, der über Einsatz, Freigabe und Abschaltung entscheidet, entscheidet der Zufall.“

Berthold Kellner
Gründer & Geschäftsführer

Was Sie davon mitnehmen: Trennen Sie die sofortige Pause von der dauerhaften Stilllegung, sonst wartet die Eindämmung eines Vorfalls auf einen Termin.

Der Zuschnitt für Geschäftsführung, CIO und Fachbereich

Die drei Ebenen brauchen Namen, sonst bleiben sie ein Schaubild. Jede Rolle bekommt deshalb einen eigenen Zuschnitt, der zu ihrem Abstand zum Tagesgeschäft passt. Der Fachbereich sitzt am Ergebnis, der CIO am Datenweg, die Geschäftsführung am Risiko für das ganze Haus.

Der Fachbereich als Eigner der Anwendung

Jede Anwendung braucht einen Namen in der Zeile Eigner. Diese Person verantwortet den Nutzen, die Datenqualität und die Prüfung der Ergebnisse im Alltag. Sie sitzt im Fachbereich, weil dort das Urteil über ein gutes Ergebnis liegt. Ein Praxisrahmen aus dem Mittelstand empfiehlt genau diesen Zuschnitt: übergreifende Verantwortung oben, Eigner im Fachbereich, dazu ein einfacher Freigabeweg (Möhrle Happ Luther).

CIO und Geschäftsführung als Gegengewicht

Der CIO verantwortet Datenweg, Betrieb und Anbindung an bestehende Systeme. Er erteilt die technische Freigabe, er darf sie verweigern, und er begründet das schriftlich. Im laufenden Betrieb liegt bei ihm und bei der IT-Security auch die sofortige Pause, damit ein Vorfall nicht auf einen Termin in der Leitung wartet.

Die Geschäftsführung sitzt eine Stufe darüber. Sie entscheidet über Grenzfälle mit Außenwirkung, über die dauerhafte Stilllegung und über die Wiederfreigabe, wenn ein Fall wesentlich ist. Damit bleibt sie Eskalationsebene und wird im Tagesbetrieb nicht zum Engpass.

In der Erhebungswelle 2026 halten sich 30 Prozent der Unternehmen bei Risiko und Governance für gut vorbereitet, und 46 Prozent nennen Governance und Aufsicht ausdrücklich als Sorge (Deloitte, State of AI in the Enterprise, 2026). Dieselbe Erhebung berichtet höheren Geschäftswert dort, wo die Geschäftsleitung die KI-Governance selbst gestaltet. Dieser Zuschnitt kommt ohne eigene Rolle im Organigramm aus. Wie KI-Verantwortung ohne Chief AI Officer im Mittelstand aussieht, haben wir gesondert beschrieben.

Zum Recht ein Hinweis und nicht mehr. Diese Matrix ist eine Arbeitsgrundlage für den Betrieb und ersetzt keine juristische Prüfung. Wo Haftung, Delegation oder Aufsichtspflichten berührt sind, gehört der Einzelfall vor Ihre Rechtsabteilung oder Ihre Kanzlei. Den regulatorischen Rahmen führen wir im Fahrplan zur KI-Compliance im Mittelstand.

Was Sie davon mitnehmen: Der Eigner sitzt im Fachbereich, die technische Freigabe und die sofortige Pause liegen beim CIO, der Grenzfall bei der Geschäftsführung.

Wenn zwei Rollen nicht einig sind

Ein Rechtemodell wird an seinem Konfliktfall gemessen. Solange alle einer Meinung sind, trägt jede Matrix. Sie zeigt ihren Wert erst, wenn zwei Rollen dieselbe Zeile verschieden lesen und beide sich auf ihr Recht berufen.

Der Eskalationsweg in drei Stufen

Streit entsteht meist zwischen Eigner und IT. Der Fachbereich will starten, die IT sieht den Datenweg. Beide haben recht, und beide warten. Der folgende Weg ist ein Vorschlag von sensified.ai und kommt ohne neues Gremium aus.

Stufe eins klärt der Eigner mit dem zuständigen IT-Kontakt. Bleibt der Streit, entscheiden Bereichsleitung und CIO gemeinsam. Kommen auch die beiden nicht zusammen, geht der Fall in den nächsten Regeltermin der Geschäftsführung.

Die Frist je Stufe ist ein Feld der Matrix, und Sie füllen es nach Ihrem Betrieb. sensified.ai trägt als Startwerte fünf Arbeitstage für die erste und zehn für die zweite Stufe ein. Verbindlich werden beide Werte erst mit Ihrer eigenen Festlegung für Ihren Betrieb.

Die Vorlage, die dafür genügt

Die Vorlage bleibt kurz. Sechs Felder tragen sie: Zweck, Datenweg, Eigner, Prüfweg, Abschaltbedingung und offener Punkt. Das letzte Feld trägt am meisten. Wer den offenen Punkt benennt, verhindert die Scheinentscheidung, die kurz darauf wieder auf dem Tisch liegt.

In der Fertigung läuft derselbe Weg unter härterer Uhr, weil die Schicht nicht auf ein Protokoll wartet. Wie Verantwortliche das lösen, steht in unserem Beitrag zur Werksleitung im KI-Alltag.

Eine Frist macht aus Streit eine Entscheidung

„Ein Eskalationsweg ohne Frist ist eine Warteschleife mit Organigramm.“ Tragen Sie die Frist in dieselbe Zeile wie die Stufe ein, dann hat jeder offene Fall ein Datum, an dem er entschieden ist.

Berthold Kellner
Gründer & Geschäftsführer

Was Sie davon mitnehmen: Drei Stufen und eine Vorlage mit sechs Feldern genügen für den Streitfall, ein neues Gremium braucht es dafür nicht.

Die Matrix im Betrieb halten

Eine Matrix veraltet leise. Rollen wechseln, Anbieter wechseln, und die Tabelle im Laufwerk bleibt stehen. Zwei Dinge halten sie am Leben: eine Liste aller Anwendungen im Haus und ein Anlass, der die Durchsicht auslöst.

Ein Register für jede KI im Haus

Die Matrix wirkt erst mit einer Liste daneben. sensified.ai führt im Register je Anwendung sechs Angaben: Name, Eigner, Freigabestand, Datenweg, Abschaltbedingung und Datum der letzten Kontrolle. Wer freigeben will, trägt vorher ein. Wer pausiert, liest dort nach, wen er anrufen muss.

Das Register hat Leser außerhalb des Alltags. Die Revision fragt danach, sobald sie einen Vorgang nachvollziehen will, und der Datenschutz braucht es, wenn jemand wissen möchte, welche Daten wohin gelaufen sind.

Wann die Matrix eine Aktualisierung braucht

Die Pflege folgt Ereignissen. Vier davon lösen eine Durchsicht aus: ein neuer Datenweg, ein Wechsel des Eigners, ein Anbieterwechsel und jeder Vorfall, der zu einer Pause geführt hat. Wer eine dieser Zeilen ändert, prüft im selben Zug, ob die Rechte noch stimmen.

Über alle Unternehmen in Deutschland hinweg nutzen 36 Prozent KI, weitere 47 Prozent planen oder diskutieren den Einsatz (Bitkom Research, 2025). Jede dieser geplanten Anwendungen wird im Register später zu einer eigenen Zeile mit Eigner, Datenweg und Abschaltbedingung. Der Aufwand für die Pflege steigt also mit jeder Anwendung, die dazukommt, und jede Änderung an einer bestehenden ist der Anlass, die zugehörige Zeile mitzuziehen.

Die Ebene, die das Register im Alltag füllt, ist das mittlere Management. Was dort an Teamführung mit KI-Assistenz hängt, beschreiben wir gesondert. Wann ein eigener Steuerungskreis mit festem Takt dazukommt, ist eine Frage des Organisationsdesigns und in diesem Beitrag ausgeklammert.

Was Sie davon mitnehmen: Ein Register ohne Pflege veraltet, und eine Matrix ohne Register bleibt Papier.

Nächste Schritte

Der Einstieg besteht aus einer Liste und einem Gespräch.

1. Kostenloses Strategiegespräch über 30 Minuten, ohne Verkaufsdruck. Wir sehen uns an, wo Ihre Entscheidungen zu KI heute tatsächlich fallen.
2. Bestandsaufnahme aller laufenden KI-Anwendungen, je Zeile mit Eigner und Freigabestand.
3. Rechte-Matrix schriftlich festhalten, je Zeile mit ausführender Rolle und Vetorolle, und den Eskalationsweg mit Fristen beschließen.

Sie entscheiden nach jedem Schritt neu.

Wenn Sie dazu eine Einordnung von außen möchten, kommen Sie ins Gespräch. Wir hören zu, ordnen Ihren Stand ein und sagen Ihnen, was aus unserer Sicht der nächste tragfähige Schritt wäre: Strategiegespräch buchen.

Hinweis zu KI-Inhalten gemäß Artikel 50 EU AI Act. Text und Bilder dieses Beitrags sind teilweise mit Hilfe Künstlicher Intelligenz erstellt und redaktionell geprüft.