Bevor ein Risikoniveau, eine Verpflichtung oder eine Governance-Maßnahme Bedeutung erhält, muss feststehen, welche Rolle Ihre Organisation spielt. Wer ein KI-System auf den Markt bringt, hat andere Verantwortlichkeiten als wer ein System einsetzt, das von einem anderen entwickelt wurde. Der Begriff, der dafür verwendet wird, ist bekannt: Anbieter gegenüber Betreiber. Doch die Einordnung selbst steht nicht in einem Organigramm fest. Sie hängt davon ab, was eine Organisation mit einem bestimmten System tut, und das kann sich je System, je Abteilung und je Zeitpunkt unterscheiden.
Die Kernfrage ist nicht, wer das System gekauft oder installiert hat, sondern wer es auf den Markt gebracht oder unter eigenem Namen bereitgestellt hat. Eine Organisation, die Software einkauft und so nutzt, wie sie geliefert wurde, ist in der Regel Betreiber. Eine Organisation, die ein System entwickelt, unter ihrem Namen entwickeln lässt oder ein bestehendes System so anpasst, dass es funktional etwas anderes wird, kann damit in die Rolle des Anbieters gelangen. Letzteres ist häufig der Punkt, an dem Organisationen sich verschätzen: ein Modell finetunen, eine eigene Schicht auf einem externen System aufbauen oder einen Chatbot mit eigenen Daten trainieren kann die Rolle verschieben, ohne dass jemand dies als bewusste Entscheidung erlebt hat. Was dabei genau als eine rollenverändernde Anpassung zählt, steht beschrieben auf was ändert sich, wenn Sie ein Modell selbst anpassen.
Die meisten Organisationen sind nicht ausschließlich Anbieter oder ausschließlich Betreiber. Eine Bank, die ein externes Sprachmodell für den Kundenservice einsetzt, ist darin Betreiber, doch wenn dieselbe Bank ein intern entwickeltes Risikomodell einer anderen Abteilung oder einem Kunden zur Verfügung stellt, entsteht für dieses System eine Anbieterrolle. Das bedeutet, dass die Einordnung pro Anwendung vorgenommen werden muss, nicht einmal für die gesamte Organisation. Ein Inventar, das pro System festhält, wer es gebaut hat, wer es angepasst hat und wer es nutzt, ist daher der einzige Weg, diese Frage strukturell zu beantworten statt nur gelegentlich.
Die Rolle ist keine feste Eigenschaft einer Organisation, sondern ein Status, der Veränderungen unterliegt. Ein Lieferant kann sein System auf eine Weise ändern, die das Risikoprofil betrifft. Ein interner Entwickler kann ein internes Hilfsmittel zu etwas weiterentwickeln, das außerhalb der Organisation angeboten wird. Ein System, das einst als einfaches Werkzeug eingeführt wurde, kann nach einem Update Aufgaben ausführen, die es in eine andere Risikokategorie einordnen. Zu welchen Zeitpunkten diese Verschiebung konkret auftritt und was das für die Verantwortlichkeit bedeutet, steht erläutert auf wann ändert sich Ihre Rolle. Für Organisationen, die verstehen möchten, was eine Verschiebung hin zu einem höheren Risikoniveau in der Praxis mit sich bringt, bietet was bedeutet ein hohes Risikoniveau für Ihre Organisation eine weitere Ausarbeitung.
Nicht jede Anwendung, die als künstliche Intelligenz bezeichnet wird, fällt unter den Rahmen, für den die Rollenverteilung relevant ist. Manche Systeme fallen außerhalb des Anwendungsbereichs, für den diese Einordnung gemacht wurde, und es ist für eine Organisation ebenso wichtig zu wissen, was außerhalb des Anwendungsbereichs liegt, wie zu wissen, was darinnen liegt. Andernfalls wird Zeit auf die Klassifizierung von etwas verwendet, das keine Klassifizierung benötigte, oder etwas wird übersehen, weil es zu klein erschien. Welche Anwendungen außerhalb dieses Rahmens fallen und warum, steht beschrieben auf welche Anwendungen fallen außerhalb des Anwendungsbereichs.
Die Feststellung der Rolle ist ein erster Schritt, nicht das Ergebnis eines Governance-Prozesses. Nach der Einordnung folgt die Frage, was für jede Rolle und jedes Risikoniveau tatsächlich geschehen muss, und diese Frage zerfällt in zwei Kategorien: was unmittelbare Aufmerksamkeit erfordert und was langfristiger eingeplant werden kann. Diese beiden Kategorien werden häufig durcheinandergebracht, mit der Folge, dass dringende Angelegenheiten liegen bleiben, während Zeit auf etwas verwendet wird, das noch nicht akut ist. Eine Übersicht darüber, was dabei Priorität hat, steht auf was muss jetzt geschehen und was kann geplant werden. Wer die Frage der Rollenverteilung noch weiter vertiefen möchte, mit den genauen Kriterien, die die Grenze zwischen Anbieter und Betreiber bestimmen, findet diese Ausarbeitung auf sind Sie Anbieter oder Betreiber: wovon hängt das ab.
Diese Einordnung ist nur sinnvoll, wenn sie auf das angewendet wird, was tatsächlich in der Organisation läuft, nicht auf das, was auf einer genehmigten Liste steht. Systeme, die ohne Genehmigung eingeführt wurden, zählen ebenso mit, und die dazugehörige Rolle muss ebenso festgestellt werden. Das erfordert ein Inventar, das über die IT-Verwaltung hinausgeht.
Sobald klar ist, welche Rolle eine Organisation pro System spielt, verschiebt sich die Aufmerksamkeit von selbst auf eine andere Frage: was diese Systeme eigentlich tun und welchen Teil der Arbeit sie übernehmen. Diese Frage liegt außerhalb des Governance-Scans, schließt jedoch direkt daran an. Der Arbeitsscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, und liefert damit ein Bild der Auswirkung eines Systems neben dem Bild der dazugehörigen Verpflichtungen.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.