AI Governance Manager

Der Governance Manager verantwortet ein konsistentes Kontrollverfahren und die Nachvollziehbarkeit seiner Bewertungen. Er darf Informationen und Nachweise zu betreuten Anwendungen anfordern, Unklarheiten zur Bearbeitung zurückgeben und Abweichungen unmittelbar an die festgelegte Leitung eskalieren. Der Betreiber legt fest, ob eine zustimmende Governance-Bewertung Voraussetzung für bestimmte Freigaben ist. Ein uneingeschränktes Vetorecht oder die rechtliche Vertretungsmacht entstehen nicht automatisch. Vertrauliche Inhalte werden nur im erforderlichen Umfang und für berechtigte Empfänger verarbeitet.

Die rechtliche Einordnung unterscheidet zwischen der Nutzung eines Systems und zusätzlichen Rollen, die durch eigene Entwicklung, Bereitstellung oder wesentliche Änderungen entstehen können. Der Begriff Betreiber im betrieblichen Organisationsmodell ersetzt diese Prüfung nicht. Bei rechtlichen Zweifelsfragen veranlasst die Funktion eine fachkundige Klärung. Sie behauptet weder pauschal eine Hochrisikoeigenschaft noch die Freiheit von besonderen Pflichten. Bewertungen werden mit Annahmen, Geltungsbereich, Rechtsstand und Anlass der nächsten Überprüfung dokumentiert.

Fachverantwortliche bestätigen die Eignung der Anwendung für ihren Prozess; technische Verantwortliche bestätigen die vereinbarten Betriebsbedingungen. Der Governance Manager kontrolliert, ob diese Bewertungen vollständig, widerspruchsfrei und ausreichend belegt sind. Er ersetzt sie nicht durch eine formale Unterschrift. Verbleibende Risiken werden der ausdrücklich zuständigen Entscheidungsinstanz vorgelegt. Gesetzliche Verbote oder zwingende Anforderungen können nicht durch eine interne Risikoakzeptanz aufgehoben werden. Bei Hinweisen auf erhebliche Schäden wird unverzüglich die vorgesehene Unterbrechungs- und Meldekette ausgelöst.

Mit Produktverantwortlichen stimmt die Funktion zulässige Zwecke, Nutzergruppen und Änderungsanlässe ab. Mit Projektleitungen vereinbart sie die frühzeitige Vorlage von Bewertungsunterlagen, damit ungeklärte Anforderungen nicht erst vor der Inbetriebnahme sichtbar werden. Entwicklung und technischer Betrieb liefern Prüfstände, Versionsbezüge und Störungsinformationen. Die menschliche Aufsicht wird mit der zuständigen Betriebsorganisation konkretisiert: Welche Ergebnisse sind zu prüfen, wann ist ein Eingriff erforderlich, welche Befugnisse und welcher Ersatzprozess stehen zur Verfügung?

Recht, Datenschutz und Informationssicherheit bearbeiten ihre jeweiligen Fachfragen. Die zuständige Interessenvertretung wird nach dem anwendbaren Beteiligungsverfahren einbezogen. Der Governance Manager führt daraus die anwendungsbezogenen Anforderungen zusammen, ohne eine eigene umfassende Fachzuständigkeit zu beanspruchen. Bei bezogenen Systemen fordert er über die vereinbarten Beschaffungs- und Vertragswege die notwendigen Anbieterinformationen an. Marketingaussagen, Zertifikate oder Standardunterlagen ersetzen keine Prüfung, ob der konkrete Nutzungszweck und die Betreiberbedingungen tatsächlich abgedeckt sind.

Eine qualifizierte Vertretung muss Systemregister, Bewertungen, Ausnahmen und dringliche Meldefälle nachvollziehen können. Bei neuen Rechtsanforderungen, verändertem Nutzungszweck, auffälligen Auswirkungen auf Personen oder wesentlichen Systemänderungen wird die Bewertung erneut geöffnet. Bei internen oder externen Prüfungen koordiniert die Funktion die Vorlage freigegebener Nachweise. Sie verfolgt Abhilfemaßnahmen und lässt deren Wirksamkeit prüfen. Die Prüfung eigener wesentlicher Entscheidungen wird einer anderen geeigneten Person übertragen; bloße Selbstbestätigung reicht für eine unabhängige Kontrolle nicht aus.

Geeignet ist eine fachlich einschlägige Hochschul- oder Berufsqualifikation mit vertieften Kenntnissen in Governance, Risikomanagement, Recht, Informatik oder einer vergleichbaren Disziplin. Zwingend erforderlich ist die Fähigkeit, organisatorische und technische Eigenschaften einer Anwendung in überprüfbare Anforderungen zu übersetzen. Dazu gehören das Verständnis von Modellgrenzen, Datenabhängigkeiten, Fehlentscheidungen, menschlicher Aufsicht und dem Unterschied zwischen geplanter Funktion und tatsächlicher Nutzung. Ein allgemeiner Grundkurs allein genügt für anspruchsvolle Bewertungsaufgaben nicht.

Die Person benötigt praktische Erfahrung mit dokumentierten Kontrollen, begründeten Risikobewertungen, Maßnahmenverfolgung und der Behandlung von Interessenkonflikten. Sie muss Unsicherheit offenlegen, technische Aussagen kritisch hinterfragen und komplexe Sachverhalte verständlich für Entscheidungsträger aufbereiten können. Kenntnisse der einschlägigen rechtlichen Anforderungen an künstliche Intelligenz sind erforderlich, eine juristische Vollqualifikation dagegen nur, wenn tatsächlich entsprechende Rechtsaufgaben übertragen werden. Vertiefte Kenntnisse in Datenschutz oder Informationssicherheit sind hilfreich, ersetzen aber nicht die jeweiligen Fachfunktionen.

Zusätzliche Erfahrungen mit Managementsystemen, internen Prüfungen, Lieferantennachweisen und Auswirkungen automatisierter Entscheidungen erleichtern die Arbeit. Ein bestimmtes Zertifikat oder eine pauschale Anzahl an Berufsjahren wird nicht vorausgesetzt. Der Betreiber prüft die Eignung anhand der betreuten Systeme, ihrer Reichweite und der übernommenen Entscheidungsbefugnisse. Regelmäßige fachliche Aktualisierung und der Austausch mit technischen sowie rechtlichen Spezialisten gehören zur Aufgabe. Die Tätigkeit verlangt sorgfältige Dokumentation und die Fähigkeit, auch gegenüber einflussreichen Auftraggebern begründet zu widersprechen.

Geeignete Leistungsnachweise sind ein verlässliches Systemregister, nachvollziehbare Bewertungsstände, rechtzeitig erkannter Entscheidungsbedarf und wirksam geschlossene Abweichungen. Die Kontrolltiefe muss zur tatsächlichen Gefährdung passen; die bloße Menge von Formularen ist kein Qualitätsmerkmal. Ebenso ist eine geringe Zahl gemeldeter Vorfälle kein Beleg für einen guten Zustand, wenn Erkennungs- und Meldewege nicht funktionieren. Ausnahmen, abweichende Auffassungen und nicht erledigte Maßnahmen werden sichtbar gehalten. Der Betreiber beurteilt auch, ob Regeln im tatsächlichen Arbeitsablauf verstanden und angewendet werden.