KI-Governance, wer entscheidet was die Marke darf

KI-Governance im Marketing ist 2026 die meist unterschätzte strategische Disziplin. Wer entscheidet, welche KI-Tools eingesetzt werden, welche Use Cases erlaubt sind, wer den Output verantwortet, wer bei Verstößen reagiert. Ohne klare Antworten landet Verantwortung im Ernstfall bei der Person, die am wenigsten darüber wissen will: bei der Geschäftsführung. Diese Seite ordnet die Governance-Frage strukturell, mit RACI-Matrix und Eskalations-Pfaden.

Was Governance abdecken muss

Sechs Felder, die in einem produktiven KI-Setup geregelt sein sollten.

Feld 1: Tool-Freigabe. Wer entscheidet, welche Tools auf die Whitelist kommen?

Feld 2: Use-Case-Klassifikation. Welche Anwendungen sind unkritisch, welche brauchen Sonder-Prüfung, welche sind verboten?

Feld 3: Output-Verantwortung. Wer haftet, wenn ein KI-augmented Output rechtliche, ethische oder Brand-Probleme erzeugt?

Feld 4: Mitarbeitenden-Schulung. Wer schult, wer prüft, wer dokumentiert?

Feld 5: Audit und Pflege. Wer prüft die Whitelist, die Skills, die AVV, die Verarbeitungsverzeichnis-Einträge?

Feld 6: Eskalation. Wer ist Ansprechpartner bei Vorfällen, wer entscheidet bei Konflikten?

Ohne klare Antwort auf diese sechs Felder ist die Governance lückenhaft.

RACI-Matrix für KI-Use-Cases

RACI steht für Responsible, Accountable, Consulted, Informed. Ein klassisches Verantwortungs-Schema. Für KI-Use-Cases im Marketing sieht es üblicherweise so aus:

Die exakte Belegung der Rollen variiert nach Team-Größe. In kleinen Setups kollabieren Rollen, die KI-Verantwortliche ist häufig in Personalunion mit Datenschutz oder Marketing-Leitung.

Die KI-Verantwortliche als zentrale Rolle

Eine Rolle, die 2026 in den meisten produktiven Setups entsteht: die KI-Verantwortliche (auch als „AI Lead“, „AI Officer“, „Head of AI“) im Marketing.

Verantwortungs-Profil

• Pflegt die Whitelist und das KI-Tool-Setup.
• Verantwortet die Skills-, Custom-GPT- und Brand-Agent-Routine.
• Koordiniert Schulungen und Mitarbeitenden-Handbuch.
• Erste Anlaufstelle bei Vorfällen.
• Reportet an Marketing-Leitung.

Setup-Investment. 0,3 bis 0,5 FTE in mittleren Teams. In großen Setups Vollzeit-Rolle.

Profil-Anforderung. Marketing-Hintergrund plus Technik-Affinität plus Compliance-Sensibilität. Selten als Person verfügbar, häufig als Hybrid-Rolle aus zwei Profilen.

Use-Case-Klassifikation

Drei Stufen, die sich in DACH-Marketing-Teams etabliert haben.

Stufe „Standard“. Routine-Anwendungen, die keine Sonder-Prüfung brauchen. Briefing-Sparring, Caption-Brainstorming, Reporting-Aufbereitung. Mitarbeitende dürfen autonom arbeiten.

Stufe „Geprüft“. Anwendungen mit erhöhtem Risiko, die zentrale Freigabe brauchen. Krisen-Statements, Performance-Copy für Live-Schaltung, Bilder für kommerzielle Marken-Assets. Account-Lead plus KI-Verantwortliche müssen freigeben.

Stufe „Verboten“. Anwendungen, die das Team nicht macht. Deepfakes mit echten Personen ohne Zustimmung, Generierung von Persönlichkeitsrechts-Verletzungen, KI für Hochrisiko-Use-Cases nach EU AI Act (Recruiting-Auswahl, Kreditwürdigkeit), Verarbeitung höchst sensibler Kunden-Daten ohne Zusatz-Setup.

Klassifikation wird im Mitarbeitenden-Handbuch dokumentiert.

Eskalations-Pfade

Drei Eskalations-Stufen für Vorfälle.

Stufe 1: KI-Verantwortliche. Erste Anlaufstelle, klärt die meisten Vorfälle direkt.

Stufe 2: Marketing-Leitung. Wenn Eingriffsmaßnahmen über das Marketing hinaus reichen (Recht, PR, Stakeholder).

Stufe 3: Geschäftsführung. Bei größeren Vorfällen mit Rechtsrisiko, Reputationsrisiko oder externer Kommunikation.

Pro Stufe definiert: wer wird wie informiert, mit welcher Latenz, welche Entscheidungs-Befugnis.

Häufige Governance-Lücken

Vier Stellen, an denen Governance in DACH-Marketingteams häufig lückenhaft ist.

Lücke 1: Niemand ist offiziell verantwortlich. Wenn die Rolle der KI-Verantwortlichen nicht besetzt ist, fällt die Verantwortung im Ernstfall an die Marketing-Leitung, die meistens nicht auf die operativen Details vorbereitet ist.

Lücke 2: Use-Case-Klassifikation fehlt. Mitarbeitende wissen nicht, welche Anwendungen Freigabe brauchen.

Lücke 3: Audit-Routine wird nicht gepflegt. Quartalsweise Prüfungen werden geschoben, das Setup veraltet schleichend.

Lücke 4: Eskalations-Pfade sind unklar. Bei Vorfällen wird zu spät eskaliert, was kleine Probleme zu großen macht.

Trade-offs

Take

KI-Governance ist nicht bürokratisch, sondern operativ entlastend. Ohne Governance landet im Ernstfall jede Verantwortung bei der Geschäftsführung. Mit klarer RACI-Matrix arbeiten Mitarbeitende mit weniger Reibung, und die Marketing-Leitung schläft besser.

Was offen bleibt

Die rechtliche Klärung der Haftung für KI-Output bleibt 2026 in der Entwicklung. Wenn ein KI-augmented Output zu Schaden führt, ist die Haftungs-Verteilung zwischen Anbieter, Unternehmen, Mitarbeitenden und Endverbraucher rechtlich nicht abschließend geregelt. Eine konservative Governance-Linie schützt davor besser als eine offene.