Data Governance unter Druck: Was CDOs 2026 richtig machen müssen

Ein Finanzdienstleister in Frankfurt hat 18 Monate lang einen Data LakeData LakeEin Data Lake ist ein zentraler Speicher, der große Datenmengen im Rohformat ablegt, von strukturierten Tabellen bis zu unstrukturierten Dateien, bis sie gebraucht werden.Vollständige Definition ansehen → auf dem neuesten Stand aufgebaut. Saubere Ingestion-Pipelines, solides Metadaten-Tagging, eine moderne LakehouseLakehouseEine hybride Architektur, die die Flexibilität eines Data Lake mit den analytischen Fähigkeiten eines Data Warehouse auf einer einzigen Storage-Schicht verbindet.Vollständige Definition ansehen →-Architektur. Dann stellte ein Prüfer der BaFin eine einfache Frage: Wer hat die Nutzung dieses Kundendatensatzes für das Modelltraining genehmigt, und wo ist das dokumentiert? Die Antwort lautete: nirgends. Das Projekt wurde gestoppt. Der CDO ging sechs Monate später.

Dieses Szenario ist längst kein Sonderfall mehr. Über Branchen und Rechtsräume hinweg ist die Lücke zwischen technischer Datenkompetenz und Governance-Reife der häufigste Fehlerpunkt für Datenverantwortliche. Und 2026 sind die Folgen dieser Lücke härter als je zuvor.

Der Governance-Druck kommt aus mehreren Richtungen gleichzeitig

Der EU AI Act ist 2024 in seine erste Durchsetzungsphase eingetreten, und die Pflichten für Hochrisiko-KI-Systeme sind inzwischen vollständig wirksam. Für CDOs in regulierten Branchen heißt das: Datenherkunft, Dokumentation der Trainingsdaten und laufendes Monitoring sind nicht optional. Der AI Act verlangt ausdrücklich, dass Daten zum Training von Hochrisiko-Modellen relevant und repräsentativ sowie „so weit wie möglich" fehlerfrei sind. Diese Formulierung klingt weich, bis eine Aufsichtsbehörde den Nachweis verlangt.

Parallel dazu hat sich die DSGVO-Durchsetzung über erste Abmahnschreiben hinaus entwickelt. Die Rekordbußgelder der irischen Datenschutzbehörde gegen Meta, in mehreren Entscheidungen zusammen über 1,3 Milliarden Euro, haben gezeigt, dass die Aufsichtsbehörden nicht mehr im Lernmodus sind. Sie gleichen mit bekannten Verstoßmustern ab und handeln schnell. CDOs in multinationalen Unternehmen mit EU-Geschäft behandeln Datenschutz-Folgenabschätzungen heute nicht mehr als einmalige Übung, sondern als wiederkehrende operative Anforderung, jedes Mal wenn ein Datensatz oder ein Modell neu verwendet wird.

Außerhalb Europas ist das Bild fragmentiert, aber in Bewegung. Die brasilianische LGPD wird seit 2023 deutlich stärker durchgesetzt. Mehrere US-Bundesstaaten, darunter Kalifornien, Texas und Virginia, haben inzwischen aktive Verbraucherdatenschutzgesetze mit unterschiedlichen Definitionen sensibler Daten, unterschiedlichen Opt-out-Mechanismen und unterschiedlichen Durchsetzungsfristen. Es gibt keine einheitliche Compliance-Vorlage, die für alle funktioniert. CDOs mit globalen Datenbeständen müssen parallele Governance-Stränge pflegen, und die Komplexität wächst mit jedem Rechtsraum, der sein eigenes Framework in Kraft setzt.

Zum regulatorischen Druck kommt der KI-Faktor. Der Einsatz generativer KI in Unternehmen hat neue Kategorien von Datenrisiken geschaffen, die Governance-Frameworks aus 2019 oder 2020 nicht vorhergesehen haben. Retrieval-augmented-Generation-Systeme etwa greifen zur Inferenzzeit auf interne Dokumentenspeicher zu. Enthalten diese Speicher personenbezogene Daten, geschäftlich sensible Informationen oder Daten aus Lizenzvereinbarungen mit Dritten, kann der KI-Output mehrere Pflichten gleichzeitig verletzen, ohne dass ein Mensch auch nur einen Datensatz gesehen hätte. Governance-Frameworks, die KI nicht als Datenkonsumenten mitdenken, sind bereits veraltet.

Was das für den CDO bedeutet

Die erste praktische Konsequenz: Data LineageData LineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen → ist heute ein rechtliches Artefakt, nicht nur eine technische Bequemlichkeit. CDOs müssen für jeden Datensatz in einem Produktivsystem beantworten kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen: Woher stammen diese Daten, welche Transformationen wurden angewendet, wer hat sie autorisiert, und welche nachgelagerten Systeme nutzen sie. Tools wie Alation, Collibra und Informatica haben ihre Lineage-Funktionen in den letzten zwei Jahren ausgebaut, aber die Technik nützt nur, wenn der Governance-Prozess vorschreibt, dass Lineage bei der Ingestion erfasst und nicht nachträglich während eines Audits rekonstruiert wird.

Die zweite Konsequenz betrifft die Ownership. Die meisten Governance-Frameworks weisen Data Ownership nominell den Fachbereichen zu. In der Praxis ist Ownership entweder diffus oder zeremoniell. Wenn eine Aufsichtsbehörde fragt, wem die Trainingsdaten des Customer-Churn-Modells gehören, ist „das Analytics-Team" keine akzeptable Antwort. CDOs müssen Data StewardshipData StewardshipEin Verantwortlicher auf Fachseite, der für Qualität, Konsistenz und sachgerechte Nutzung der Daten in seiner Domäne zuständig ist.Vollständige Definition ansehen → als Rolle mit echter Entscheidungsbefugnis formalisieren, nicht als Etikett für denjenigen, der gerade Zeit hat. Unternehmen wie Novartis und Lufthansa haben Details zu ihren föderierten Governance-Modellen veröffentlicht, in denen Domain Data OwnerDomain Data OwnerEin Verantwortlicher auf Fachseite, der für Qualität, Konsistenz und sachgerechte Nutzung der Daten in seiner Domäne zuständig ist.Vollständige Definition ansehen → ausdrückliche Freigabebefugnis für Daten-Use-Cases haben, KI eingeschlossen. Dieses Modell lohnt eine genauere Betrachtung.

Die dritte Konsequenz ist Geschwindigkeit. Die Fristen behördlicher Anfragen werden kürzer. In mehreren jüngeren Verfahren erwarteten die Behörden erste Dokumentationsantworten innerhalb von 30 bis 72 Stunden nach formaler Anfrage. Ein CDO, der solche Fragen mit manuell zusammengestellten Spreadsheets beantwortet, hält dieses Zeitfenster nicht ein. Governance-Tooling muss Echtzeit-Reporting unterstützen, nicht nur periodische Audits.

Dazu kommt eine Talentdimension, die CDOs unterschätzen. Data GovernanceData GovernanceData Governance umfasst die Regeln, Rollen und Prozesse, die sicherstellen, dass Daten in einer Organisation korrekt, sicher, klar definiert und verantwortungsvoll genutzt werden.Vollständige Definition ansehen → braucht Menschen, die einen Rechtsrahmen lesen, eine Datenarchitektur verstehen und mit Fachbereichen sprechen können, oft im selben Meeting. Dieses Profil ist wirklich selten. Viele Organisationen bauen ihre Governance-Funktion inzwischen so auf, dass Data Engineers mit Legal- oder Compliance-Spezialisten zusammenarbeiten, statt zu erwarten, dass eine Person beide Felder abdeckt.

Die Grundlagen richtig legen, bevor der nächste Druckanstieg kommt

• Führen Sie ein Lineage-Audit gezielt für jeden Datensatz durch, der ein KI- oder Machine-Learning-System im Produktivbetrieb speist. Warten Sie nicht auf einen regulatorischen Anlass, um Lücken zu entdecken.
• Prüfen Sie Ihr Data-Stewardship-Modell an den tatsächlichen Entscheidungen, nicht an Titeln im Organigramm. Wenn ein Data Owner einen Use Case, den ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → für nicht konform hält, nicht stoppen kann, ist er kein echter Owner.
• Gleichen Sie Ihr aktuelles Governance-Framework mit den Anforderungen des EU AI Act an Hochrisiko-Systeme ab, auch wenn Sie nicht in der EU sitzen. Mehrere Rechtsräume außerhalb der EU orientieren sich eng an dieser Struktur, und wer jetzt vorarbeitet, spart sich eine zweite Nachbesserungsrunde.
• Etablieren Sie einen dokumentierten Eskalationsweg für neuartige Daten-Use-Cases, besonders bei generativer KI. Die Frage „Dürfen wir diese Daten für diesen Zweck nutzen?" braucht einen definierten Prozess, einen definierten Freigebenden und ein dokumentiertes Ergebnis.
• Testen Sie Ihre Reaktionsfähigkeit mit einer simulierten Prüfanfrage. Geben Sie Ihrem Team 48 Stunden, um Lineage-Dokumentation, Einwilligungsnachweise und Belege zur Zweckbindung für einen bestimmten Datensatz zu liefern. Die Lücken, die Sie dabei finden, sind ehrlicher als jede interne Selbsteinschätzung.

Data Governance ist 2026 eine operative Disziplin, kein Policy-Papier. Die CDOs, die das so behandeln, die es angemessen finanzieren, die Stewards echte Befugnisse geben und die Reaktionsfähigkeit aufbauen, bevor sie gebraucht wird, sind diejenigen, deren Organisationen regulatorische Prüfungen ohne strukturelle Schäden überstehen. Die Frankfurter Geschichte oben ist eine Warnung, aber auch ein wiederkehrendes Muster. Die Variablen ändern sich, das Muster nicht.