Responsible AI Governance
Auf der Startseite steht das Problem: Die IT-Liste ist nicht das, was tatsächlich genutzt wird, und ohne vollständigen Überblick ist jede Governance-Anstrengung auf einer Lücke gebaut. Diese Seite zeigt, wie der Scan diesen Überblick aufbaut, Schritt für Schritt, und was dafür von Ihnen benötigt wird. Mehr über den Aufbau und die Reichweite des Scans steht auf Was es ist; was der Scan konkret liefert, steht auf Ergebnisse.
Der Scan beginnt mit einem Abfrage-Tool, das an Abteilungen und Mitarbeitende geht, nicht nur an IT. Das ist bewusst so: Schatten-KI wird sichtbar über die Menschen, die sie nutzen, nicht über ein zentrales Register, das per Definition nie vollständig ist. Die Abfrage kann auf mehrere Personen verteilt werden. Ein zentraler Koordinator setzt die Abfrage auf, Abteilungsleiter oder einzelne Mitarbeitende füllen ihren eigenen Teil aus, und die Antworten kommen in einem Überblick zusammen. Was Sie liefern, ist Wissen: welche Tools genutzt werden, wofür, mit welchen Daten, und auf wessen Initiative. Keine technische Dokumentation, keine juristische Einordnung im Vorfeld. Die Zeit geht vor allem in das Einsammeln von Antworten aus der Organisation, nicht in das Ausfüllen selbst; je mehr Abteilungen, desto mehr Runden erfordert das.
Die Antworten aus der Abfrage werden durch geleitete Deskresearch ergänzt: eine strukturierte Suche nach Anwendungen, die formell nie angemeldet wurden, aber wohl Spuren hinterlassen, wie Browsererweiterungen, API-Kopplungen oder einzelne Abonnements. Alles, was zum Vorschein kommt, wird über die aiacta-Datensätze eingeordnet: welche Rolle eine Organisation bei einer Anwendung spielt, Anbieter oder Nutzer, und welches Risikoniveau dazu gehört gemäß dem AI Act. Das ist Maschinenarbeit auf Basis festgelegter Datensätze, keine Interpretation durch einen Berater. Das ist auch, warum das Ergebnis erklärbar bleibt: Jede Klassifizierung lässt sich auf die Regel und den Datensatz zurückführen, auf denen sie basiert, nicht auf eine individuelle Einschätzung, die sich nicht reproduzieren lässt. Wer daran beteiligt ist: derjenige, der die Abfrage verwaltet, und die Personen, die gebeten werden, eine Antwort zu verifizieren, wenn eine Klassifizierung Zweifel aufwirft.
Aus der Klassifizierung folgt eine Zeitlinie: was gemäß den Regeln jetzt schon in Ordnung sein muss, und was später an der Reihe sein kann. Dieser Bericht stellt nicht nur den Status dar, er legt auch offen, wo Accountability, Human Oversight oder Monitoring bei bereits genutzten Anwendungen fehlen. Die Reihenfolge ist dabei wichtiger als eine Deadline: erst sichtbar machen, was los ist, dann erst bestimmen, was dringend ist. Der Bericht liegt in einer Form vor, die sowohl auf Detailebene lesbar ist, pro Anwendung, als auch zusammengefasst, pro Risikokategorie. Wer Zeit hineinsteckt: vor allem derjenige, der die vorherigen Schritte koordiniert hat, um das Ergebnis mit dem abzugleichen, was in der Organisation bekannt ist.
Der letzte Schritt liefert ein Governance-Framework als Vorlagenset, gebaut, um an die bereits vorhandene Risikostruktur anzuschließen. Kein zweiter Prozess neben dem ersten, sondern eine Ausfüllung dessen, was in der bestehenden Struktur fehlt. Daneben gibt es eine Board-Berichterstattung von einer Seite: eine Zusammenfassung, die für einen Vorstandstisch geeignet ist, ohne die zugrunde liegende Detailliste. Was eine spätere Wiederholung bringt, steckt im Horizon-Scanner-Abonnement: ein wiederkehrender Scan, der zeigt, was hinzugekommen ist, was sich in der Risikoklassifizierung geändert hat, und wo die Zeitlinie angepasst werden muss. Schatten-KI steht nicht still; ein einmaliger Scan ist eine Momentaufnahme, das Abonnement macht daraus eine Reihe. Wer daran beteiligt ist: wer Eigentümer der Vorlage innerhalb der Organisation wird, und derjenige, der die Board-Berichterstattung weiterleitet.
Der Scan ist kein AI Act-Compliance-Tool für Register, Klassifizierung und Kompetenz; für dieses vollständige Feld ist aiacta.eu das Zuhause, und diese Grenze verschiebt sich nicht. Der Scan strukturiert, was vorhanden ist, er beweist keine Erfolgsbilanz: Es gibt keine durchgeführten Projekte, auf die verwiesen wird, nur eine Arbeitsweise, die sich auf Datensätze stützt. Und die Vorlagen sind dazu bestimmt, an die bestehende Struktur anzuschließen, nicht daneben einen neuen Prozess entstehen zu lassen.
Was nach dem Bericht passiert, ist eine Wahl. Wer selbst weitermacht, behält Register, Vorlagen und Zeitlinie in eigener Hand, mit Kompetenz, aufgebaut über die aiacta-Sitze. Wer lieber einen Teil abgibt, schaltet einen Partner ein für den Entwurf des Oversight und die Einbettung in die bestehende Risikostruktur. Wer den vollständigen Governance-Prozess auslagern möchte, tut das bei einem Partner, mit dem Scan als Dossier, auf dem aufgebaut wird. Mehr Hintergrund zu diesen Entscheidungen steht in der Wissensdatenbank.
Der hier beschriebene Scan ist noch nicht gebaut; der Button auf dieser Website steht auf Warteliste. Wer sich anmeldet, wird informiert, sobald die erste Version verfügbar ist.
KI-Nutzung sichtbar zu machen ist eine Seite der Geschichte; die andere Seite ist, was es für Aufgaben, Stunden und Systeme in der Organisation bedeutet. Wer das durchrechnen möchte, findet beim Werkscan von [FTE TO AI](https://ftetoai.com) die Fortsetzung dieses Überblicks.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.