Gratwanderung zwischen REO, TRESU und Künstlicher Intelligenz

Governance, Verantwortung und Sicherheit im Zeitalter algorithmischer Entscheidungen

Die Integration Künstlicher Intelligenz in unternehmerische Wertschöpfungsprozesse schreitet mit hoher Dynamik voran. Während Effizienzsteigerungen, Automatisierungspotenziale und Skaleneffekte vielfach im Vordergrund stehen, wird die strukturelle Komplexität der Implementierung häufig unterschätzt. Der produktive Einsatz von KI bewegt sich nicht allein auf einer technologischen Ebene, sondern erfordert eine präzise Balance zwischen regulatorischen, ethischen, organisatorischen und sicherheitstechnischen Anforderungen.

Diese mehrdimensionale Steuerungsaufgabe lässt sich mit zwei von uns entwickelten Ordnungsrastern strukturieren: REO (Regulatorik, Ethik, Organisation) und TRESU (Technologie, Risiko, Externe Schnittstellen, Sicherheit, Unternehmensintegration). Es handelt sich dabei nicht um einen anerkannten Standard, sondern um ein Arbeitsmodell aus unserer Beratungspraxis. Erst das Zusammenspiel beider Perspektiven ermöglicht aus unserer Sicht eine verantwortungsvolle, rechtskonforme und zugleich innovationsfähige KI-Governance.

REO als strategischer Governance-Rahmen

Der REO-Ansatz beschreibt die übergeordneten Steuerungsdimensionen, innerhalb derer KI in Organisationen verankert werden muss.

Regulatorik
Hierunter fallen sämtliche rechtlichen und normativen Vorgaben, die Entwicklung und Einsatz von KI begrenzen oder strukturieren. Dazu zählen insbesondere die europäische KI-Verordnung (Verordnung (EU) 2024/1689, AI Act), das Datenschutzrecht, branchenspezifische Compliance-Vorgaben sowie haftungsrechtliche Fragen. Die KI-Verordnung ist seit dem 1. August 2024 in Kraft und gilt gestaffelt: Die Verbote und die Vorgaben zur KI-Kompetenz gelten seit dem 2. Februar 2025, die meisten übrigen Vorschriften, darunter die Transparenzpflichten nach Art. 50, seit dem 2. August 2026. Durch die Verordnung (EU) 2026/1744 wurden die Pflichten für Hochrisiko-KI-Systeme verschoben; sie gelten für Systeme nach Anhang III ab dem 2. Dezember 2027 und für Systeme nach Anhang I ab dem 2. August 2028. KI-Systeme müssen nicht nur leistungsfähig, sondern rechtssicher, dokumentierbar und auditierbar betrieben werden.

Ethik
Die ethische Dimension adressiert Fragen algorithmischer Fairness, Transparenz und Nachvollziehbarkeit. Themen wie Bias in Trainingsdaten, Diskriminierungsrisiken, Entscheidungsintransparenz oder fehlende Erklärbarkeit rücken in den Fokus. Organisationen müssen definieren, welche Entscheidungsräume delegierbar sind und wo menschliche Letztverantwortung zwingend erhalten bleiben muss.

Organisation
Die organisatorische Perspektive beschreibt die strukturelle Einbettung von KI. Rollenmodelle, Freigabeprozesse, Kontrollinstanzen, Schulungskonzepte und Richtlinien entscheiden darüber, ob KI gesteuert oder unkontrolliert eingesetzt wird. Schulungskonzepte haben dabei auch eine rechtliche Seite: Anbieter und Betreiber von KI-Systemen müssen nach Art. 4 KI-Verordnung (seit dem 27. Juli 2026 in der Fassung der Verordnung (EU) 2026/1744) Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Ohne institutionalisierte Governance droht der Einsatz fragmentierter Insellösungen mit erhöhtem Risiko.

TRESU als operative Implementierungsebene

Während REO den strategischen Ordnungsrahmen bildet, beschreibt TRESU die operative Umsetzungsdimension innerhalb der technischen und sicherheitsbezogenen Integration.

Technologie
Hierzu zählen Modellarchitektur, Trainingsmethoden, Hosting-Strategien, Datenverarbeitungsketten sowie Integrationen in bestehende IT-Systeme. Entscheidungen über On-Premise-Betrieb, Cloud-Nutzung oder hybride Architekturen besitzen unmittelbare Auswirkungen auf Sicherheit und Compliance.

Risiko
KI erzeugt neue Bedrohungslagen. Halluzinationen, Fehlklassifikationen, manipulierte Trainingsdaten, Prompt-Injection-Angriffe oder unkontrollierter Datenabfluss sind reale Risikoszenarien. Diese müssen systematisch in bestehende Risikomanagementprozesse integriert werden.

Externe Schnittstellen
Jede Anbindung an Drittsysteme, Datenlieferanten oder Cloud-Services erweitert die Angriffsfläche und erhöht regulatorische Anforderungen. Schnittstellen müssen daher sowohl technisch abgesichert als auch vertraglich und datenschutzrechtlich bewertet werden.

(IT-)Sicherheit
Der produktive Betrieb verlangt robuste Schutzmechanismen. Zugriffskontrollen, Verschlüsselung, Protokollierung, Monitoring, sichere API-Anbindungen sowie Zero-Trust-Architekturen bilden die sicherheitstechnische Grundlage vertrauenswürdiger KI-Systeme.

Unternehmensintegration
Erst die revisionssichere Einbettung in Geschäftsprozesse schafft realen Mehrwert. Dokumentation, Nachvollziehbarkeit, Versionierung und Auditierbarkeit sind Voraussetzung für nachhaltige Nutzung.

Die eigentliche Gratwanderung

Die Herausforderung liegt in der Gleichzeitigkeit aller Dimensionen. Technologische Machbarkeit bedeutet nicht regulatorische Zulässigkeit. Rechtliche Zulässigkeit garantiert keine ethische Vertretbarkeit. Ethische Vertretbarkeit allein schafft keine organisatorische Steuerbarkeit, und organisatorische Steuerbarkeit ersetzt keine IT-Sicherheit.

Unternehmen bewegen sich damit dauerhaft in einem Spannungsfeld:

• Innovationsdruck versus Compliance-Anforderungen
• Automatisierungspotenziale versus Kontrollfähigkeit
• Effizienzgewinne versus Haftungsrisiken

Besonders sensibel ist diese Balance in Anwendungsfeldern mit unmittelbaren Rechts- oder Personenbezügen, etwa bei automatisierter Vertragsanalyse, HR-Entscheidungsunterstützung, Cyber-Security-Automatisierung, Finanzrisikobewertungen oder medizinischen Voranalysen.

KI-Einführung als Governance-Projekt

Ein verbreiteter Implementierungsfehler besteht darin, KI als reine Softwareeinführung zu behandeln. Tatsächlich handelt es sich um ein unternehmensweites Governance-Projekt. Bewährt haben sich daher strukturierte Steuerungsinstrumente, unter anderem:

• KI-Leitlinien und Nutzungsrichtlinien
• Use-Case-Risikoklassifizierungen
• Freigabeprozesse vor Produktivsetzung
• Human-in-the-Loop-Kontrollmechanismen
• Auditierbare Entscheidungsprotokolle

Diese Elemente schaffen die Grundlage für eine Zertifizierung, etwa nach ISO/IEC 42001:2023 (Managementsystem für Künstliche Intelligenz), sowie für Revisionsfähigkeit und regulatorische Anschlussfähigkeit.

Anschlussfähigkeit an bestehende Managementsysteme

KI-Governance ist kein isoliertes Steuerungsfeld. Vielmehr bestehen enge Synergien zu etablierten Managementsystemen, insbesondere zu:

• Informationssicherheitsmanagement
• Risikomanagement
• Datenschutzmanagement
• Compliance-Management
• Business-Continuity-Management

Organisationen mit bereits implementierten Governance-Strukturen haben daher bei der Umsetzung einen deutlichen Vorsprung.

Fazit

Der produktive Einsatz Künstlicher Intelligenz erfordert weit mehr als technologische Kompetenz. Erst das strukturierte Zusammenspiel von REO und TRESU ermöglicht aus unserer Sicht eine verantwortungsvolle, rechtskonforme und zugleich innovationsfähige Nutzung.

Die zentrale Managementaufgabe besteht darin, Innovationsgeschwindigkeit und Kontrolltiefe in ein belastbares Gleichgewicht zu überführen. Unternehmen, denen diese Balance gelingt, werden KI nicht nur effizient, sondern auch nachhaltig und verantwortungsvoll einsetzen können.

Die Gratwanderung bleibt bestehen. Doch sie ist gestaltbar.

Wie sich die Pflichten der KI-Verordnung zeitlich staffeln und was Unternehmen für ihre KI-Governance daraus ableiten sollten, behandeln wir ausführlicher in unserem Beitrag „EU AI Act ab August 2026: Zeitplan und KI-Governance im Unternehmen“.