Jede Organisation mit einigem Umfang verfügt bereits über eine Risikostruktur. Einen Risikoausschuss, ein Audit-Committee, eine Linie von Control-Funktionen, ein Format, in dem Risiken aufgenommen, besprochen und abgeschlossen werden. Dieser Prozess hat einen Rhythmus, eine Sprache und Eigentümer, die wissen, woran sie sind.
Wenn AI-Governance daneben gestellt wird — ein eigener Ausschuss, eine eigene Berichtslinie, ein eigener Kalender — entsteht ein zweiter Prozess. Und ein zweiter Prozess neben einem bestehenden Prozess wird nicht ausgeführt. Nicht weil Menschen unwillig sind, sondern weil Kapazität bereits dem Prozess zugewiesen ist, der schon existiert. Wer AI-Risiko als separates Thema behandelt, verlangt zusätzliche Zeit, zusätzliche Besprechungen und zusätzliche Berichte neben allem, was bereits läuft. Das verliert jedes Mal.
Die Inventarisierung und Klassifizierung von AI-Systemen liefern kein neues Risikorahmenwerk. Sie liefern Input für das Rahmenwerk, das bereits besteht. Das bedeutet konkret:
Das aus dem Scan resultierende Governance-Set ist daher kein eigenständiges Dokument. Es ist ein Set, das geschrieben wurde, um auf das zu passen, was bereits vorhanden ist: die Risikomatrix, die Berichtsstruktur, die Eskalationslinien. Wo diese Dinge noch nicht so funktionieren, wie sie sollten, gilt dieselbe Logik wie bei AI: Es geht um Einbettung, nicht um ein neues System. Wie das für einen konkreten Bestandteil aussieht, ist beschrieben in wie eine AI-Richtlinie in bestehende Entscheidungsprozesse eingebettet wird, statt separat daneben zu stehen, in wie eine Oversight-Entscheidungsliste in das bereits bestehende Gremium eingebettet wird und in wie Eskalationspfade für AI in die bestehende Vorfalllinie eingebettet werden.
Ein separates AI-Risikorahmenwerk klingt sorgfältig, schafft aber einen Parallelkreislauf. Es entstehen zwei Wahrheiten: die Risikoberichterstattung, die der Vorstand bereits kennt, und eine AI-Berichterstattung, die daneben existiert, mit eigenen Definitionen des Risikoniveaus und eigenen Eigentümern. In dem Moment, in dem diese beiden Kreisläufe nicht mehr zueinander passen — und das geschieht früher oder später —, ist unklar, welcher Kreislauf Geltung hat. Das ist genau das Szenario, in dem Aufsicht auf dem Papier existiert, in der Praxis aber niemand ansprechbar ist.
Das aus der Inventarisierung resultierende Governance-Set ist daher darauf ausgelegt, im bestehenden Prozess zu verschwinden. Kein neues Dashboard, keine neue Besprechung, kein neues Genehmigungsformular — sondern eine Erweiterung des Formats, das der Risikoausschuss bereits verwendet, mit AI als festem Bestandteil. Das ist auch die Art, wie ein Vorstand davon profitiert: nicht als separater AI-Bericht, der durchgeblättert wird, sondern als Zeile in dem Bericht, der bereits gelesen wird. Wie dieser Bericht aussieht, wenn er kompakt genug ist, um tatsächlich gelesen zu werden, ist beschrieben unter dem Aufbau eines Board-Berichts, der auf eine Seite passt.
Der Grund, warum der Anschluss an die bestehende Struktur auch rechtlich und organisatorisch die stärkere Wahl ist, liegt in der Nachweisbarkeit. Eine Aufsichtsbehörde oder ein Prüfer, der fragt, wie AI-Risiko gesteuert wird, erhält lieber die Antwort „über den Risikoprozess, den wir bereits führen, mit AI als festem Bestandteil" als „über einen separaten AI-Pfad, der neben dem regulären Prozess läuft". Die erste Antwort zeigt eine Organisation, die Risiko integral steuert. Die zweite zeigt eine Organisation, die AI als Ausnahmefall behandelt — mit dem Risiko, dass diese Ausnahme, sobald sich die Aufmerksamkeit verschiebt, fallen gelassen wird.
Dieselbe Logik gilt für Monitoring. Ein separates AI-Dashboard, das niemand konsultiert, bringt nichts. Monitoring, das in die Übersicht eingebettet ist, die Risikomanager und der Vorstand bereits verwenden, wird gesehen, weil es bereits an der Stelle steht, an der geschaut wird. Was dafür erforderlich ist, wird erläutert unter wie Monitoring von AI-Systemen in die bereits verwendete Übersicht eingebettet wird und, breiter gefasst, unter wie der Anschluss an die bestehende Risikostruktur in der Praxis aufgebaut wird.
Eine Risikostruktur, die AI eingebettet hat, gibt Antwort auf die Frage, was läuft und wer dafür verantwortlich ist. Das ist eine andere Antwort als die Frage, was AI in der täglichen Arbeit übernehmen könnte. Diese zweite Frage wird durch den Werkscan von FTE TO AI beantwortet, der pro Aufgabe berechnet, welcher Teil der Arbeit für eine Übernahme in Betracht kommt. Beide Antworten gehören zusammen: Die Risikostruktur legt fest, unter welchen Bedingungen AI eingesetzt werden darf, der Werkscan zeigt, wo dieser Einsatz die Arbeit tatsächlich verändert.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.