Leistung · Prototyp und KI

KI-Governance und EU AI Act für Energieversorger: Aufbau, Register und Betriebsmodell

Seit dem 29. Juli 2026 ist die Bundesnetzagentur Aufsicht für KI. Wir bauen mit Ihnen Rollen, KI-Register, Risikoeinstufung und Schulung auf und klären danach, wer das auf Dauer betreibt.

Umsetzungs-Check vereinbaren

30 Minuten zu dem Vorhaben, das bei Ihnen gerade drängt. Ohne Verkaufsschleife.

Mitarbeiterin der IT steht mit einem Klemmbrett am Ende einer Rackreihe im Serverraum eines Stadtwerks und arbeitet die Schränke ab

Am 29. Juli 2026 ist das KI-MIG in Kraft getreten. Seitdem ist die Bundesnetzagentur Marktüberwachungsbehörde für die KI-Verordnung. In vielen Häusern regelt bis heute eine Nutzungsrichtlinie, welche Werkzeuge erlaubt sind und welche Daten nicht hineingehören. Für eine Aufsicht ist das zu wenig.

Zusammenfassung

KI-Governance für Energieversorger heißt bei innobu: Wir erfassen, welche KI im Haus läuft und welche Pflichten aus KI-Verordnung, KI-MIG, Datenschutz und Informationssicherheit daran hängen. Dann bauen wir mit Ihnen Rollen, Regelwerk, KI-Register, ein Verfahren zur Risikoeinstufung und Schulungen auf. In einer zweiten Phase entscheidet die Geschäftsführung, ob sie das intern, gemischt oder mit externer Fachunterstützung betreibt. Einzelfälle prüfen wir nicht rechtlich, und wir zertifizieren nicht.

Für wen die Leistung gedacht ist

  • GeschäftsführungSie tragen die Verantwortung, wenn die Aufsicht fragt, und wollen wissen, welche KI im Haus läuft und wer sie freigegeben hat.
  • Leitung IT und DigitalisierungFachbereiche nutzen KI-Assistenten und Prognosemodelle. Ein Verzeichnis darüber führt niemand.
  • Compliance, Revision, ISB und DSBSie sollen KI prüfen und brauchen dafür Kriterien, ein Register und Nachweise, an denen eine Prüfung ansetzen kann.
  • ProgrammverantwortlicheIhr KI-Vorhaben wartet auf eine Freigabe, und keiner kann sagen, wer sie erteilt.
  • StadtwerkeOft ohne eigenes KI-Team, mit Querverbund aus Netz, Vertrieb, Bädern und Verkehr, mit kommunalen Gremien und bei Eigenbetrieben mit Personalrat statt Betriebsrat. Hier zählt, was mit wenigen Leuten tragfähig bleibt.
  • Größere Versorger und NetzbetreiberMehrere Gesellschaften, KRITIS-Pflichten und eigene Entwicklung. Die Frage ist, wer konzernweit einstuft und wer in der Gesellschaft entscheidet.

Ausgangslage

Warum eine Nutzungsrichtlinie nicht mehr reicht

Eine Nutzungsrichtlinie sagt, was Beschäftigte mit einem Chatbot tun dürfen. Die KI-Verordnung fragt etwas anderes: Welche Systeme laufen? Ist das Unternehmen dabei Anbieter oder Betreiber? Und wer hat die Einstufung entschieden?

Die PwC-Studie zur Energiewirtschaft vom April 2026 zählt 79 Prozent der Unternehmen mit eingeführter KI, eine KI-Roadmap hat jedes vierte. Viel KI im Haus, wenig Ordnung darüber. In diese Lage kommt jetzt die Aufsicht.

Und das Netz? KI im Betrieb der Strom-, Gas-, Wärme- oder Wasserversorgung kann nach Anhang III Nr. 2 Hochrisiko sein, wenn sie als Sicherheitsbauteil dient. Der Leitlinien-Entwurf der Kommission vom 19. Mai 2026 zieht die Grenze enger: Das System muss die physische Integrität unmittelbar schützen, und der Betreiber muss als kritische Einrichtung nach der CER-Richtlinie eingestuft sein, in Deutschland über das KRITIS-Dachgesetz. Final ist der Entwurf nicht. Wer heute einstuft, sollte die Begründung so festhalten, dass sie sich später anpassen lässt.

Hintergrund in unseren Artikeln: KI-MIG und die Aufsicht durch die Bundesnetzagentur und welche KI im Stadtwerk wirklich Hochrisiko ist.

Die Termine

  • seit 2. Februar 2025Art. 4: Anbieter und Betreiber ergreifen Maßnahmen für die KI-Kompetenz ihres Personals.
  • seit 29. Juli 2026KI-MIG in Kraft. Die Bundesnetzagentur ist Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. Ihr KI-Service-Desk bietet ein Online-Werkzeug zur ersten Einschätzung der Risikoklasse.
  • seit 2. August 2026Transparenzpflichten nach Art. 50, etwa für Chatbots im Kundenservice und für KI-erzeugte Inhalte.
  • ab 2. Dezember 2027Pflichten für Hochrisiko-Systeme nach Anhang III. Betreiber müssen nach Art. 26 unter anderem eine menschliche Aufsicht bestimmen, Protokolle mindestens sechs Monate aufbewahren und die Arbeitnehmervertreter vor dem Einsatz am Arbeitsplatz informieren. Verschoben hat den Termin der Digital Omnibus, VO (EU) 2024/1689 in der Fassung der VO (EU) 2026/1744.

Einordnung für typische Rollen, keine Prüfung Ihres Einzelfalls und keine Rechtsberatung. Stand der Angaben: 17.10.2026. Alle Termine im Fristenkalender.

Phase 1

Aufbau: was wir mit Ihnen erarbeiten

Elf Bausteine, nicht alle in gleicher Tiefe. Ein Stadtwerk ohne KI-Team braucht weniger Gremium und mehr Vorlage. Bei einem Versorger mit mehreren Gesellschaften ist es umgekehrt.

  • BestandsaufnahmeWelche KI läuft schon, auch in Standardsoftware und bei Dienstleistern? Wir erfassen die Anwendungen und legen sie neben die Pflichten aus KI-Verordnung, Datenschutz und Informationssicherheit. Heraus kommt eine Lückenliste mit Reihenfolge.
  • ZielorganisationRollen, Gremien, Entscheidungsbefugnisse, Eskalationswege. Wer meldet einen Anwendungsfall an, wer stuft ein, wer gibt frei, wer stoppt?
  • RegelwerkEine Richtlinie auf Leitungsebene und Arbeitsanweisungen, die Fachbereiche ohne Übersetzung anwenden können.
  • Durchgängiger AblaufVon der Anmeldung eines Anwendungsfalls über Einstufung und Freigabe bis zur Änderung und Stilllegung. Mit Formularen und Zuständigkeiten, damit der Ablauf auch ohne Schaubild funktioniert.
  • RisikoeinstufungEin Verfahren mit Vorlagen, das Fachbereiche selbst durchlaufen: verbotene Praktik, Hochrisiko nach Anhang III, Transparenzpflicht oder übrige KI. Grenzfälle gehen an Ihre Rechtsberatung.
  • KI-RegisterEin zentrales Verzeichnis mit Verantwortlichen, Einstufung und Begründung, Freigabestand und nächstem Prüftermin. Ohne Register bleibt jede andere Regel Papier.
  • Prüfzyklen und AuffälligkeitenWer prüft wann, was wird dokumentiert? Und was passiert, wenn ein System falsche Ergebnisse liefert oder der Anbieter das Modell wechselt?
  • Erste AnwendungsfälleZwei oder drei echte Fälle aus den Fachbereichen laufen gemeinsam mit uns durch den neuen Ablauf. Dabei zeigt sich, welche Vorlage hakt.
  • SchulungskonzeptGeschäftsführung, Fachbereiche, Entwicklung und Einkauf brauchen verschiedene Inhalte. Art. 4 verlangt Maßnahmen für die KI-Kompetenz. Ein Einheitsseminar für alle erfüllt das schlecht.
  • BerichtswesenEin Bericht an die Geschäftsführung in festem Rhythmus: Bestand, offene Einstufungen, Auffälligkeiten.
  • ÜbergabeWir dokumentieren so, dass Ihre Organisation ohne uns weiterarbeitet. Darauf läuft die erste Phase hinaus.

Ablauf

So läuft es

Ein Aufbau dauert in der Regel mehrere Monate. Wie viele, hängt an der Zahl der Gesellschaften und Anwendungsfälle.

  1. Bestandsaufnahme

    Gespräche mit Fachbereichen, IT, Datenschutz und Informationssicherheit, dazu Verträge und Systeme. Danach liegt die Lückenliste auf dem Tisch.

  2. Organisation und Regelwerk

    Rollen und Einstufungsverfahren entstehen als Entwurf und gehen durch Ihre Gremien, bei Bedarf auch durch Betriebsrat oder Personalrat.

  3. Probelauf

    Erste Anwendungsfälle laufen durch Ablauf und Register. Was hakt, ändern wir vor den Schulungen.

  4. Übergabe und Betriebsmodell

    Die Verantwortlichen im Haus übernehmen. Die Geschäftsführung bekommt eine Entscheidungsvorlage, wer die KI-Governance künftig betreibt.

Phase 2

Betriebsmodell: wer das auf Dauer trägt

Am Ende der ersten Phase steht eine Entscheidung der Geschäftsführung. Wir bereiten sie vor und vergleichen je Variante Aufwand, Risiken, Nutzen und Verantwortung.

Intern

Eigene Stellenanteile für Register und Prüfungen, mit Vertretung. Passt, wenn laufend neue Anwendungsfälle entstehen und das Wissen im Haus bleiben soll.

Gemischt

Die Verantwortung bleibt im Haus, für Einstufungen und Schulungen kommt Fachunterstützung dazu. Für viele Stadtwerke ohne eigenes KI-Team aus unserer Sicht der naheliegende Weg.

Mit externer Fachunterstützung

Ein Dienstleister führt Register und Prüfzyklen. Die Pflichten als Betreiber bleiben beim Unternehmen. Auslagern lässt sich die Arbeit, die Verantwortung nicht.

Schnittstellen

Wo KI-Governance auf bestehende Pflichten trifft

Das meiste hängt an Stellen, die es im Haus schon gibt. KI-Governance verbindet sie, statt neben ihnen eine eigene Welt aufzubauen.

  • DatenschutzRechtsgrundlage, Datenschutz-Folgenabschätzung und Auftragsverarbeitung bleiben beim DSB. Die Datenschutzkonferenz hat dazu die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ (Mai 2024) und eine Orientierungshilfe zu generativer KI mit RAG (Oktober 2025) veröffentlicht. Das Register verweist auf die DSFA, statt sie zu wiederholen.
  • InformationssicherheitKI-Systeme laufen im ISMS mit: für Netz- und Anlagenbetreiber nach dem IT-Sicherheitskatalog nach § 5c EnWG (früher § 11 Abs. 1a und 1b), für NIS2-Einrichtungen zusätzlich nach dem BSIG. KI bringt eigene Angriffsflächen mit, etwa Prompt-Injection. Das BSI beschreibt sie in seinen Papieren zu LLM-Systemen.
  • RechtOb eine Pflicht im Einzelfall greift, entscheidet Ihre Rechtsabteilung oder Kanzlei. Wir bereiten die Fälle so auf, dass sie schnell entscheiden kann.
  • Betriebsrat oder PersonalratDas BetrVG nennt KI seit 2021 ausdrücklich, in § 80 Abs. 3, § 90 Abs. 1 Nr. 3 und § 95 Abs. 2a. Mitbestimmung nach § 87 Abs. 1 Nr. 6 greift, wenn ein System Leistung oder Verhalten überwachen kann. Eigenbetriebe und Anstalten öffentlichen Rechts fallen unter das Personalvertretungsgesetz des Landes. Art. 26 Abs. 7 der KI-Verordnung kommt für Hochrisiko-Systeme am Arbeitsplatz hinzu.
  • EinkaufVerträge mit KI-Anbietern brauchen Regeln zu Dokumentation, Modelländerungen, Protokollen und Mitwirkung bei Prüfungen. Bei Anbietern von Hochrisiko-Systemen lohnt die Frage nach ihrem Qualitätsmanagement. Die 2026 veröffentlichte europäische Norm EN 18286 beschreibt es für Anbieter.
  • ITZugriffe, Protokollierung, Freigabe neuer Modellversionen und das Abschalten. Viele KI-Funktionen kommen per Update in Standardsoftware, ohne dass ein Fachbereich sie bestellt hat.

Bezugsrahmen

Normen und Leitfäden, an denen wir uns orientieren

Öffentliche Normen geben das Gerüst. Eine Zertifizierung bieten wir nicht an. Ihr Aufbau lässt sich aber so anlegen, dass eine spätere Zertifizierung nach ISO/IEC 42001 nicht bei null beginnt.

  • ISO/IEC 42001Managementsystem für KI, veröffentlicht 2023. Gleiche Grundstruktur wie ISO/IEC 27001, deshalb lassen sich Risikobewertung, interne Audits und Managementbewertung mit dem ISMS zusammen führen.
  • ISO/IEC 27001Das ISMS, das Netzbetreiber über den IT-Sicherheitskatalog ohnehin zertifizieren lassen.
  • EN 18286Qualitätsmanagement nach Art. 17 der KI-Verordnung, gerichtet an Anbieter von Hochrisiko-KI. Für Energieversorger relevant, wenn sie selbst Anbieter werden oder Anbieter bewerten.
  • BSI„Generative KI-Modelle: Chancen und Risiken für Industrie und Behörden“ und die gemeinsam mit der französischen ANSSI veröffentlichten Gestaltungsprinzipien für LLM-Systeme nach Zero Trust.

Was am Ende bei Ihnen liegt

  • LückenlisteBestand gegen Pflichten, mit Reihenfolge.
  • OrganisationRollen, Gremien, Befugnisse und Eskalationswege, beschlossen.
  • RegelwerkRichtlinie und Arbeitsanweisungen.
  • Ablauf mit VorlagenAnmeldung, Einstufung, Freigabe, Änderung.
  • KI-RegisterBefüllt mit den ersten Anwendungsfällen.
  • PrüfplanWer wann prüft und was nach einer Auffälligkeit geschieht.
  • SchulungskonzeptJe Zielgruppe.
  • Bericht an die GeschäftsführungFormat und Rhythmus.
  • EntscheidungsvorlageDas Betriebsmodell mit seinen Varianten.

Grenzen

Was wir nicht machen

Wir ordnen ein und setzen um. Ob eine Pflicht für Ihr Unternehmen gilt, prüft Ihre Rechtsberatung, und diese Einordnung ist die Vorgabe, auf der wir aufbauen. Wir zertifizieren nicht und bescheinigen keine Konformität. Software verkaufen wir auch nicht: Welches Werkzeug Register und Ablauf trägt, entscheiden Sie anbieterneutral. Für den Anfang genügt oft, was im Haus schon läuft.

Ist die KI-Governance Teil eines größeren Programms, etwa neben NIS2 und IT-Sicherheitskatalog, übernehmen wir auch die Programmleitung. Wer zuerst einen Anwendungsfall bauen will, findet den Weg vom Prototyp in den Betrieb unter Prototyp und KI.

Fragen

Häufig gestellte Fragen

Die KI-Verordnung schreibt keinen KI-Beauftragten vor. Sie verlangt Maßnahmen zur KI-Kompetenz des Personals (Art. 4) und bei Hochrisiko-Systemen eine menschliche Aufsicht durch Personen mit der nötigen Kompetenz und Befugnis (Art. 26 Abs. 2). Wer das koordiniert, legt jedes Haus selbst fest. Im Stadtwerk kann die Rolle bei der Leitung IT, beim ISB oder beim DSB liegen, solange Befugnisse und Vertretung geregelt sind.

Nein. Anhang III Nr. 2 erfasst KI, die als Sicherheitsbauteil im Betrieb der Strom-, Gas-, Wärme- oder Wasserversorgung dient. Nach dem Leitlinien-Entwurf der Kommission vom 19. Mai 2026, der noch nicht final ist, greift das nur, wenn das System die physische Integrität unmittelbar schützt und der Betreiber als kritische Einrichtung eingestuft ist. Lastprognosen zur Netzoptimierung nennt der Entwurf als Beispiel außerhalb. Wie ein konkretes System einzuordnen ist, klärt Ihre Rechtsberatung.

Je Anwendungsfall: Zweck und Fachbereich, die Rolle des Unternehmens als Anbieter oder Betreiber, Verantwortliche, Einstufung mit Begründung, Datenkategorien, eingesetztes Modell oder Produkt, Freigabestand und nächster Prüftermin, dazu Verweise auf Datenschutz-Folgenabschätzung und ISMS. Ein internes Register nennt die KI-Verordnung nicht ausdrücklich. Ohne eines lässt sich die eigene Einstufung aber kaum belegen.

KI-Systeme sind IT-Systeme und laufen im bestehenden Risikomanagement nach IT-Sicherheitskatalog und BSIG mit. KI-Governance ergänzt Fragen, die ein ISMS nicht stellt: Zweck, Einstufung nach der KI-Verordnung, menschliche Aufsicht, Qualität der Ergebnisse. ISO/IEC 42001 folgt derselben Grundstruktur wie ISO/IEC 27001. Risikobewertung, interne Audits und Managementbewertung lassen sich deshalb gemeinsam führen.

Häufig ja. Nach § 90 Abs. 1 Nr. 3 BetrVG ist der Betriebsrat zu unterrichten, wenn der Arbeitgeber den Einsatz von KI plant. § 87 Abs. 1 Nr. 6 gibt ein Mitbestimmungsrecht, sobald ein System Leistung oder Verhalten der Beschäftigten überwachen kann. Das ArbG Hamburg hat 2024 im Eilverfahren die Mitbestimmung verneint, als Beschäftigte ChatGPT nur über private Konten im Browser nutzten (24 BVGa 1/24). Für Eigenbetriebe und Anstalten öffentlichen Rechts gilt das Personalvertretungsrecht des Landes.

Das entscheidet die Geschäftsführung am Ende der ersten Phase. Intern braucht feste Stellenanteile und eine Vertretung. Gemischt hält die Verantwortung im Haus und holt Fachwissen für Einstufung und Prüfungen dazu. Extern führt ein Dienstleister Register und Prüfzyklen, die Pflichten als Betreiber bleiben trotzdem beim Unternehmen. Wir legen die Varianten mit Aufwand, Risiken, Nutzen und Verantwortung nebeneinander.

Zusammenarbeit

Nächster Schritt

Sie haben eine Nutzungsrichtlinie und eine Liste von KI-Werkzeugen, aber kein Register? Im Erstgespräch ordnen wir Ihren Stand ein und sagen, welche Bausteine zuerst kommen.

Umsetzungs-Check vereinbaren Mehr über innobu

Energie und Messtechnik seit 2010 · innobu GmbH seit 2014 · Sitz in Schleswig-Holstein

Wer pitcht, liefert auch: Wer das Erstgespräch führt, bleibt Ihr Ansprechpartner bis ins Steering, im Projekt mit festen Partnern. Direkt: info@innobu.com