Externes KI Governance Board: EU AI Act-konform ab 2026

Phillip Pham, Pexon Consulting | 11 Min. Lesezeit | 30.04.2026

TL;DR

Ein externes KI Governance Board hilft Unternehmen ab 300 Mitarbeitern, KI-Projekte EU AI Act-konform umzusetzen — ohne intern Compliance-Personal aufzubauen. Pexon Consulting (80 MA, ISO-zertifiziert, Microsoft Partner) stellt Tech- und Compliance-Experten als externes Board zur Verfügung. Setup in 6 Wochen, ab 60.000 EUR pro Jahr, dokumentiert für BaFin und Auditoren.

Wann der EU AI Act tatsächlich greift

Wann greift der EU AI Act eigentlich konkret? Die Antwort ist unbequem: Es gibt keine formelle Schonfrist nach dem Anwendungsdatum. Wer am 3. Dezember 2027 ein Hochrisiko-KI-System nach Anhang III ohne Konformitätsbewertung betreibt, macht sich angreifbar.

Drei Stichtage zählen für Unternehmen mit eigenen KI-Anwendungen:

Die Bußgelder sind gestaffelt: Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken. Bis zu 15 Millionen Euro oder 3 Prozent für Verstöße bei Hochrisiko-Systemen — also fehlendes Risikomanagement, mangelhafte Datengovernance oder fehlende menschliche Aufsicht. Bis zu 7,5 Millionen Euro oder 1 Prozent allein dafür, einer Aufsichtsbehörde unvollständige oder irreführende Angaben zu machen.

Was viele IT-Leiter zunächst übersehen: Eine Personal-Software mit KI-basiertem Bewerber-Screening ist Hochrisiko. Ein Kreditscoring-Tool ist Hochrisiko. Ein KI-System für die Wartungsplanung kritischer Infrastruktur ist Hochrisiko. Die Liste in Anhang III des EU AI Act trifft mehr Standardanwendungen als die meisten Unternehmen zunächst glauben.

Was ein externes KI Governance Board konkret tut

Ein Versicherer mit 1.200 Mitarbeitern kam Anfang 2026 zu uns mit einem konkreten Problem: 14 KI-Use-Cases im Haus, davon mindestens 4 Hochrisiko nach Anhang III. Kein zentrales Register, keine Risikoklassifizierung, keine FRIA (Fundamental Rights Impact Assessment). Die Compliance-Abteilung war mit DORA und NIS2 ausgelastet. Der CTO wollte das Thema KI-Governance „irgendwie nebenher“ machen.

Genau hier kommt ein externes KI Governance Board ins Spiel. Es übernimmt die Funktionen, die intern entweder gar nicht oder von überlasteten Compliance-Köpfen „nebenher“ abgedeckt werden:

Zentrales AI Inventory führen. Jedes KI-System im Haus wird klassifiziert (verboten, Hochrisiko, begrenzt, minimal) und im Register dokumentiert — inklusive Datenquellen, Modell-Provider, betroffener Stakeholder und Verantwortlicher. Das Register ist die Pflichtgrundlage für jede behördliche Prüfung.

Risikoklassifizierung pro Use-Case. Für jedes neue KI-Vorhaben gibt das Board eine Risikoeinstufung ab — meist innerhalb von 5 Werktagen. Bei Hochrisiko-Systemen folgt eine FRIA und eine Konformitätsbewertung. Bei minimalem Risiko reicht ein dokumentierter Vermerk.

Stop-Criteria und Override-Regeln. Wann muss ein KI-System abgeschaltet werden? Wer darf eine Compliance-Anforderung im Notfall überstimmen, mit welcher Begründung? Diese Fragen werden nicht ad-hoc beantwortet, sondern sind im Board-Charter dokumentiert.

Post-Market-Monitoring. Nach dem Go-Live prüft das Board quartalsweise: Drift in den Modellausgaben, Beschwerden von Betroffenen, neue regulatorische Anforderungen. Bei einem RAG-System für Schadenbearbeitung haben wir so im Q3 2025 eine Halluzinationsrate festgestellt, die ein Re-Training erforderte.

Schnittstelle zu Aufsichtsbehörden. Bei Anfragen von BaFin, BSI oder den Datenschutz-Aufsichtsbehörden ist das Board die erste Adresse — mit fertiger Dokumentation, nicht mit Excel-Sheets, die in der Compliance-Abteilung verstreut sind.

Internes Komitee oder externes Board — wann was sinnvoll ist

Unsere klare Empfehlung für Unternehmen mit 300-3.000 Mitarbeitern: Externes Board. Begründung in einem Satz: Die Skills für seriöse KI-Governance — Tech-Tiefe, Regulatorik, Audit-Erfahrung, Branchenkenntnis — sind in dieser Unternehmensgröße intern fast nie kombiniert vorhanden.

Wir raten davon ab, das Board nur aus internen Köpfen zu besetzen, wenn:

• Niemand im Haus jemals eine ISO-42001-Konformitätsbewertung durchgeführt hat
• Die Compliance-Abteilung bereits mit DORA, NIS2, DSGVO und MaRisk Vollzeit ausgelastet ist
• Das Unternehmen weniger als 5 produktive KI-Systeme im Einsatz hat (dann sind Vollzeit-Stellen Overkill)
• Keine direkte Haftungsfrage an einen einzelnen Vorstand gehängt werden soll

Big4 ist hier oft nicht die richtige Wahl, obwohl die Beratungen es gerne wären. Tagessätze von 2.500-3.500 Euro pro Senior Partner und ein Modell mit häufigem Personalwechsel zwischen Engagements führen dazu, dass das gleiche Thema dreimal aufgerollt wird. Für ein Board, das über zwei Jahre kontinuierlich arbeitet, ist das wirtschaftlich problematisch.

Internes Komitee ist die bessere Wahl, wenn das Unternehmen über 5.000 Mitarbeiter hat, einen dedizierten Chief AI Officer leistet und mindestens 15 produktive KI-Systeme betreibt. Dann rechnet sich der Aufbau eigener Strukturen.

Welche Rollen ein externes Board haben sollte

Ein funktionierendes KI Governance Board besteht aus mindestens fünf Rollen, idealerweise nicht alle in Vollzeit. Die Mischung ist entscheidend.

Chair / AI Compliance Officer. Führt das Board, verantwortet die Dokumentation, ist Schnittstelle zu Vorstand und Aufsicht. Erfahrung mit ISO 42001 und EU AI Act zwingend. Bei Pexon stellen wir hier eine erfahrene Person mit BSI/BaFin-Hintergrund.

Tech Lead AI / ML Engineer. Bewertet die technische Umsetzung. Versteht den Unterschied zwischen einem Foundation Model, einem fine-tuned Model und einem RAG-System. Kann Trainings-Datensätze auf Bias prüfen und Modell-Drift erkennen.

Legal / Datenschutz. Bringt DSGVO-Tiefe, Vertragskenntnis (insbesondere AVV mit Modell-Providern wie OpenAI, Anthropic oder Mistral) und Erfahrung mit branchenspezifischer Regulatorik (BaFin, KRITIS-Verordnung, MDR bei MedTech).

Branchenexperte. Versteht die fachlichen Risiken: Was passiert, wenn ein KI-System für Schadenregulierung einen Fehler macht? Was kostet eine falsche Kreditentscheidung? Diese Person muss aus der eigenen Branche kommen — nicht von einem Generalisten ersetzbar.

Auditor / Quality Assurance. Prüft die Arbeit des Boards. Wir besetzen diese Rolle bewusst mit jemandem, der kein operatives Mandat hat, sondern unabhängig die Board-Entscheidungen im Quartal reviewt.

Was ein Board nicht braucht: Einen „AI Ethik-Beauftragten“ als Selbstzweck. Ethik ist Querschnittsthema und gehört in die Risikobewertung jedes Mitglieds, nicht in eine eigene Rolle.

ISO 42001 als Foundation: Warum dieser Standard zentral ist

Hier eine direkte Empfehlung: Wenn Sie ein KI Governance Board aufbauen, machen Sie ISO 42001 zur Grundlage — nicht den EU AI Act.

Das klingt zunächst widersprüchlich, weil der EU AI Act die rechtlich bindende Pflicht ist. Aber der Standard und das Gesetz adressieren unterschiedliche Ebenen.

ISO 42001:2023 ist ein AI Management System Standard. Er beschreibt, wie eine Organisation KI-Governance betreibt — Prozesse, Rollen, Dokumentation, kontinuierliche Verbesserung. Der EU AI Act dagegen ist Produkt-Sicherheit: Er definiert, was ein KI-System können muss, bevor es in den Markt darf.

Wer ISO 42001 implementiert, deckt etwa 70-80 Prozent der EU-AI-Act-Anforderungen für Hochrisiko-Systeme automatisch ab. Risikomanagement-Prozesse, Daten-Governance, Dokumentationspflichten, Lieferanten-Management, kontinuierliche Verbesserung — alles bereits in ISO 42001 verankert.

Der zweite Vorteil: ISO 42001 ist zertifizierbar. Eine Zertifizierung über akkreditierte Stellen wie TÜV oder DNV ist ein starkes Signal an Kunden, Aufsicht und Versicherer. Der EU AI Act bietet nichts Vergleichbares — die CE-Kennzeichnung ist eine Selbsterklärung des Herstellers, keine externe Bestätigung.

Was ISO 42001 nicht abdeckt: Die spezifischen Verbote des EU AI Act (Social Scoring, manipulatives KI), die FRIA für Hochrisiko-Systeme im öffentlichen Bereich, die EU-Datenbank-Registrierung. Diese Lücken schließt das Board zusätzlich.

Was ein externes KI Governance Board realistisch kostet

Zwischen 60.000 und 180.000 Euro pro Jahr — abhängig von Anzahl der KI-Systeme, Branchenrisiko und gewünschter Audit-Frequenz. Hier die typischen Pakete bei Pexon:

Was nicht enthalten ist: Die einmalige Setup-Phase (6 Wochen, 35-50k EUR), externe ISO-42001-Zertifizierung, Anwaltskosten bei akuten Rechtsstreitigkeiten.

Vergleichswert: Ein interner AI Compliance Officer mit gleicher Seniorität kostet voll geladen rund 150-180k EUR pro Jahr — plus Recruiting-Aufwand, plus das Risiko, dass die Person nach 18 Monaten wechselt mit dem gesamten Wissen. Für viele Mid-Size-Unternehmen ist das wirtschaftlich schwer zu rechtfertigen, wenn nur 3-5 produktive KI-Systeme begleitet werden müssen.

Setup: Wie ein externes Board in 6 Wochen einsatzbereit ist

Phase 1 (Woche 1-2): Discovery. Wir machen ein vollständiges AI Inventory. Welche KI-Systeme laufen? Welche Datenquellen? Welche Modell-Provider? Welche Verantwortlichen? Output ist eine erste Risikoklassifizierung pro System.

# Beispiel: AI Inventory Eintrag (Auszug)
system_id: AI-INS-007
name: Schadenregulierung Auto-Klassifikation
provider: Azure OpenAI Service (gpt-4-turbo)
data_sources:
  - claims_db (DSGVO-Art-9-Daten)
  - photo_storage_blob
risk_class: Hochrisiko (Anhang III, Punkt 5b)
deployment: Azure Sweden Central
human_oversight: Sachbearbeiter prüft alle Schäden >5.000 EUR
last_review: 2026-03-15
fria_status: in_progress

Phase 2 (Woche 3-4): Board-Konstitution. Wir besetzen die Rollen, schreiben das Board-Charter (Mandate, Eskalationswege, Stop-Criteria), legen den Sitzungsrhythmus fest und richten das Dokumentationssystem ein. Bei Pexon nutzen wir hier in der Regel eine Kombination aus SharePoint für Dokumente und einem dedizierten Compliance-Tool wie OneTrust oder caralegal für das AI Inventory.

Phase 3 (Woche 5-6): Erste Entscheidungen. Das Board nimmt seine Arbeit auf: Risikoklassifizierung der bestehenden KI-Systeme, FRIA-Erstellung für Hochrisiko-Systeme, Mapping ISO 42001 ↔ EU AI Act, erste Quartals-Roadmap.

Was wir parallel aufsetzen: Eine sichere Audit-Trail-Infrastruktur. Auf Azure typischerweise mit Log Analytics + Sentinel + Purview, sodass jede Modell-Inferenz nachträglich rekonstruierbar ist. Der EU AI Act schreibt für Hochrisiko-Systeme eine Mindest-Aufbewahrungsfrist der Logs von sechs Monaten vor — wir empfehlen 24 Monate, weil branchenspezifische Aufsichten (BaFin, BSI) oft längere Fristen einfordern.

Häufig gestellte Fragen

Was kostet ein externes KI Governance Board?

Zwischen 60.000 und 180.000 Euro pro Jahr, abhängig von Unternehmensgröße und Anzahl der KI-Systeme. Die einmalige Setup-Phase mit AI Inventory, Board-Charter und erster Risikoklassifizierung kostet zusätzlich 35.000-50.000 Euro. Im Vergleich zu einem internen Chief AI Officer (150-180k EUR voll geladen, ohne Recruiting-Risiko) ist das deutlich günstiger.

Brauchen wir ein internes oder externes KI Governance Board?

Kommt drauf an. Bei 300-3.000 MA und weniger als 10 produktiven KI-Systemen ist ein externes Board fast immer wirtschaftlicher und schneller einsatzbereit. Ab 5.000 MA mit 15+ KI-Systemen rechnet sich ein internes AI Office. Im Mittelfeld kombinieren manche Unternehmen beides: Interner AI Compliance Officer plus externes Board als Sparringspartner und für Audit-Akzeptanz.

Wie unterscheidet sich ein KI Governance Board vom AI Office?

Das Board entscheidet, das AI Office operationalisiert. Ein Board ist ein Gremium, das in Sitzungen Klassifizierungen, Freigaben und Eskalationen entscheidet — typisch 1x pro Monat plus Ad-hoc-Sitzungen. Ein AI Office ist eine Vollzeit-Stabsfunktion, die Tools, Templates und Schulungen pflegt. Kleine Unternehmen brauchen das Board, große brauchen beides.

Welche Mitglieder sollte ein KI Governance Board haben?

Mindestens fünf Rollen: Chair / AI Compliance Officer, Tech Lead, Legal/Datenschutz, Branchenexperte, Auditor. Bei externen Boards kommen Chair, Tech Lead und Auditor vom Beratungspartner, Legal und Branchenexperte vom Kundenunternehmen. Diese Mischung erhält die Unabhängigkeit und sichert gleichzeitig fachliche Tiefe in der Kundendomäne.

Was ist der Unterschied zwischen ISO 42001 und EU AI Act?

Der EU AI Act ist verpflichtende EU-Gesetzgebung mit Strafen bis 35 Millionen Euro und fokussiert auf Produkt-Sicherheit von KI-Systemen. ISO 42001 ist ein freiwilliger internationaler Standard, der das organisatorische AI Management System beschreibt — also Prozesse, Rollen, kontinuierliche Verbesserung. ISO 42001 deckt etwa 70-80 Prozent der EU-AI-Act-Anforderungen automatisch ab und ist zertifizierbar, der EU AI Act nicht. Die Kombination ist die saubere Lösung.

Nächster Schritt

Wenn der 2. Dezember 2027 der Stichtag ist und Sie heute noch keine vollständige AI-Inventarliste haben, dann ist der Zeitpunkt für eine erste Standortbestimmung jetzt. Sechs Wochen Setup plus drei Monate für die FRIA-Dokumentation der Hochrisiko-Systeme heißt: Spätestens Mitte 2027 muss das Projekt starten, um vor dem Anwendungsdatum auditfähig zu sein.

Verwandte Themen