Wenn KI ins Geld geht: Warum Unternehmen trotz Hype Verluste schreiben – und wie CFOs sofort gegensteuern

Ein mittelständisches Unternehmen führt eine KI-Lösung im Kundenservice ein. Der Copilot wirkt überzeugend: kürzere Antwortzeiten, weniger Routinearbeit, bessere Auswertungen. Nach einigen Monaten kippt jedoch das Bild. Cloud- und Betriebsrechnungen steigen, Daten müssen aufwendig nachbearbeitet werden, und die Integration in bestehende Systeme bindet mehr Kapazität als geplant.

Das Muster ist typisch. KI wird oft wie eine klassische Softwarebeschaffung behandelt. Tatsächlich ist sie ein dauerhaftes Betriebsmodell mit laufender Datenarbeit, Monitoring, Modellpflege und Compliance-Aufgaben. CFOs stehen dadurch vor einer Doppelrolle: Innovation ermöglichen und gleichzeitig Kosten, Haftung und regulatorische Risiken kontrollierbar machen.

Dieser Beitrag erklärt die wichtigsten versteckten Kosten, zeigt, wie KI Governance als Steuerungsinstrument wirkt, und ordnet ISO/IEC 42001 sowie den EU AI Act ein. Ziel ist ein pragmatischer, finanzorientierter Handlungsrahmen.

Die größten Kosten entstehen selten bei der Lizenz oder dem Modellzugang, sondern davor und danach. Der erste Treiber ist Datenarbeit: Bereinigung, Harmonisierung, Rechteklärung, Labeling und laufende Qualitätssicherung. Wenn Daten nicht stabil verfügbar sind, steigt der Aufwand für Workarounds und Nachbesserungen. Das drückt den Nutzen, obwohl die KI „funktioniert“.

Der zweite Treiber ist Infrastruktur und Betrieb. Rechenleistung und Speicher skalieren mit Nutzung, Lastspitzen und Sicherheitsanforderungen. Was im Pilot in einem kleinen Rahmen läuft, kann im Produktivbetrieb deutlich teurer werden, wenn Monitoring, Logging, Redundanz, Backup und Zugriffskontrollen hinzukommen.

“Die größten Budgetabweichungen entstehen dort, wo KI als einmaliges Projekt statt als laufendes Betriebsmodell kalkuliert wird.”

Ein dritter Bereich ist Integration. KI muss in Prozesse, Datenflüsse und Legacy-Systeme passen. Schnittstellen, Berechtigungskonzepte, Fehlerbehandlung, Testautomatisierung und Change-Prozesse kosten Zeit und Geld. Dazu kommen Schulungen: Mitarbeitende müssen verstehen, wie Ergebnisse zu interpretieren sind, welche Grenzen gelten und wann eskaliert werden muss. Ohne Training steigen Fehlentscheidungen und Rework-Kosten.

Schließlich wirken regulatorische und sicherheitsrelevante Anforderungen wie ein Kostenmultiplikator. Datenschutz, Informationssicherheit, Auditierbarkeit und (je nach Use Case) Risikoanalysen sind nicht optional. Wird das erst spät berücksichtigt, sind Umbauten teurer als eine frühe, saubere Architektur.

Ein Überblick über typische Kostenfallen:

Die Quintessenz: CFOs sollten KI nicht als CapEx-Einmalinvestition sehen, sondern als Kombination aus Einführungs- und laufenden Betriebskosten (TCO). Im nächsten Kapitel: Wie Governance diese Kosten planbar macht.

KI Governance bedeutet, den Einsatz von KI über klare Regeln, Rollen und Kontrollen zu steuern. Das Ziel ist einfache Planbarkeit: Welche Systeme gibt es, wer ist verantwortlich, wie werden Risiken bewertet, wie wird Betrieb überwacht und wie werden Änderungen freigegeben.

Aus CFO-Sicht ist Governance vor allem ein Steuerungsinstrument. Sie reduziert Überraschungen, weil sie Entscheidungen und Kostenströme sichtbar macht. Typische Bausteine sind ein KI-Inventar, definierte Freigabeprozesse, Mindestanforderungen an Tests und Dokumentation sowie Monitoring im Betrieb. Dadurch sinkt der Anteil teurer Nachbesserungen, weil Probleme früher erkannt werden.

“Gute Governance verhindert nicht Innovation. Sie verhindert, dass Innovation in ungeplante Dauerprojekte kippt.”

Risikomanagement ist der Kern. Es geht um Themen wie Datenherkunft, Bias-Risiken, Datenschutz, IT-Sicherheit, Vendor-Risiken und Betriebsrisiken (z. B. Modell-Drift). Governance schafft klare Eskalationswege und definiert, wann ein System pausiert oder zurückgerollt wird. Das schützt Budgets genauso wie Reputation.

Pragmatischer Einstieg: Setzen Sie ein kleines, bereichsübergreifendes Governance-Team auf (Finance, Legal/Compliance, IT-Security, Data/AI). Definieren Sie eine Minimum-Policy (z. B. Datenfreigabe, Testkatalog, Logging/Monitoring, Verantwortlichkeiten) und starten Sie mit den wichtigsten Use Cases. Die nächste Stufe ist die Anbindung an Standards wie ISO/IEC 42001.

Fazit dieses Kapitels: Governance ist keine Zusatzlast, sondern die Voraussetzung, um KI finanziell kontrollierbar zu skalieren.

ISO/IEC 42001 ist ein internationaler Standard für ein KI-Managementsystem. Er beschreibt, wie Organisationen KI systematisch planen, betreiben, überwachen und verbessern. Im Gegensatz zu rein technischen Leitfäden ist ISO 42001 prozessorientiert: Verantwortlichkeiten, Risikoanalysen, Kontrollen, Dokumentation und kontinuierliche Verbesserung stehen im Mittelpunkt.

Für CFOs ist der Standard vor allem aus zwei Gründen relevant. Erstens erleichtert er Auditierbarkeit und Compliance: Anforderungen werden in wiederholbare Prozesse übersetzt. Zweitens reduziert er Doppelarbeit, weil er sich mit bestehenden Managementsystemen (z. B. ISO 27001 für Informationssicherheit) verzahnen lässt.

“ISO/IEC 42001 übersetzt KI-Risiken in Managementprozesse, die sich messen, auditieren und kontinuierlich verbessern lassen.”

In der Praxis beginnt die Einführung häufig mit einer Gap-Analyse: Welche KI-Systeme existieren, welche Kontrollen gibt es bereits, wo fehlen Verantwortlichkeiten oder Dokumentation. Danach folgt eine Pilotierung an einem priorisierten Use Case, bevor das Managementsystem skaliert wird. Das ist besonders für KMU sinnvoll, weil Aufwand und Nutzen schrittweise in Balance bleiben.

Wichtig: ISO 42001 ist kein Renditeversprechen. Der Nutzen liegt in Risikoreduktion, operativer Stabilität und schnellerer Skalierung, weil Entscheidungen auf klaren Regeln basieren. Im nächsten Kapitel wird klar, warum das mit Blick auf den EU AI Act strategisch sinnvoll ist.

Beispielhafte Nutzenfelder in einer CFO-Lesart:

Der EU AI Act führt ein risikobasiertes Regelwerk ein. Entscheidend ist nicht, ob ein System „KI“ ist, sondern welche Risiken es für Menschen, Rechte und Sicherheit erzeugen kann. Daraus folgen unterschiedliche Pflichten. Für CFOs bedeutet das: Ohne Inventar und Klassifizierung ist keine saubere Finanzplanung möglich.

Bei General Purpose AI (GPAI) gelten insbesondere Pflichten für Anbieter und Entwickler, etwa Transparenz- und Dokumentationsanforderungen. Unternehmen, die GPAI-Lösungen einsetzen, haben wiederum Pflichten rund um sicheren Einsatz, Governance, Daten- und Prozesskontrollen – abhängig davon, ob sie nur nutzen, integrieren oder selbst weiterentwickeln.

“Regulatorik wird beherrschbar, wenn Rollen (Anbieter, Integrator, Nutzer) sauber getrennt und Pflichten pro Use Case abgeleitet werden.”

Typische Fallstricke sind fehlende Dokumentation, unklare Zuständigkeiten und unzureichende Kontrollen im Betrieb. Das führt weniger zu „Strafen über Nacht“, sondern zu Verzögerungen, Rework und blockierten Rollouts – also zu realen Kosten. Wer früh Governance-Strukturen etabliert, reduziert diese Friktion deutlich.

Praktischer CFO-Plan: Erstellen Sie eine AI-Inventur, klassifizieren Sie Systeme nach Risikostufe, definieren Sie Mindestkontrollen (Tests, Monitoring, Dokumentation) und budgetieren Sie eine Reserve für Compliance- und Auditaufwände. ISO/IEC 42001 kann hier als Prozessrahmen dienen, um Anforderungen in wiederholbare Abläufe zu übersetzen.

Vereinfachte Übersicht (als Orientierung, keine Rechtsberatung):

KI bringt Produktivität, aber auch Kostenfallen. Die größten Treiber sind Datenarbeit, Integration, laufender Betrieb sowie Schulung und Wartung. Wer KI wie ein einmaliges IT-Projekt kalkuliert, riskiert Budgetüberschreitungen und teure Nachbesserungen.

KI Governance schafft finanzielle Steuerbarkeit: klare Verantwortlichkeiten, standardisierte Freigaben, Risikokontrollen und Monitoring. ISO/IEC 42001 bietet dafür einen international anschlussfähigen Managementrahmen. Der EU AI Act erhöht den Druck auf saubere Prozesse – und belohnt Organisationen, die früh strukturieren.

Handeln Sie jetzt: Starten Sie mit einer AI-Inventur, definieren Sie Mindestkontrollen, rechnen Sie TCO statt Lizenzkosten und verankern Sie Governance in Finance, Compliance und IT. So wird KI skalierbar – ohne dass das Budget entgleist.