Viele Organisationen gehen davon aus, dass die Einordnung als Anbieter oder Nutzer einmalig ist: Ein System wird irgendwo eingekauft, und damit ist die Rolle der eigenen Organisation festgelegt. In der Praxis ist das differenzierter. Die Rolle, die Sie gegenüber einem KI-System einnehmen, hängt davon ab, was Sie damit tun, nicht davon, woher das System stammt. Dieselbe Organisation kann bei einem System Nutzer sein und bei einem anderen, ohne dass jemand das so benannt hat, Anbieter.
Die Kernfrage ist nicht, wer das System gebaut hat, sondern wer es auf den Markt bringt oder unter eigenem Namen einsetzt. Eine Organisation, die ein fertiges KI-System bezieht und für den eigenen Prozess nutzt, ist in der Regel Nutzer. Sobald dieselbe Organisation ein System anpasst, weiterentwickelt, umlabelt oder unter eigenem Namen anderen anbietet, verschiebt sich dieses Bild. Auch das Maß der Kontrolle über das Modell spielt eine Rolle: Wer bestimmt, mit welchen Daten trainiert wird, wer legt die Parameter fest, wer trägt die Verantwortung für das Verhalten des Systems im produktiven Einsatz. Diese Fragen werden nicht einmalig bei der Anschaffung beantwortet, sondern bleiben relevant, solange das System in Gebrauch ist.
Die Rolle einer Organisation ist also kein festes Label, sondern ein Ergebnis der tatsächlichen Nutzung. Das bedeutet, dass interne Änderungen — eine neue Anwendung eines bestehenden Systems, eine Anpassung durch die eigene IT-Abteilung, die Weiterlieferung einer KI-Funktion an einen Kunden oder eine Tochterorganisation — die Einordnung ändern können, ohne dass dem ein formeller Beschluss vorausgegangen ist. Was das für die Praxis bedeutet und in welchem Moment sich eine Rolle tatsächlich verschiebt, wird auf der Seite über den Moment, in dem sich Ihre Rolle gegenüber einem KI-System ändert weiter ausgeführt. Wichtig ist, dass diese Verschiebung häufig nicht bemerkt wird, weil sie sich auf Abteilungsebene abspielt, weit entfernt von dort, wo die Richtlinien festgelegt werden.
Die Frage, ob Sie Anbieter oder Nutzer sind, steht nicht für sich allein. Sie ist verknüpft mit der Frage, welches Risikoniveau eine Anwendung hat, und mit der Frage, ob eine Anwendung in den Anwendungsbereich der Regulierung fällt. Ein System, das als Nutzer mit geringer Auswirkung eingesetzt wird, kann eine andere Behandlung erfordern als wenn dieselbe Organisation das System weiter anpasst und damit näher an die Rolle des Anbieters heranrückt. Was ein höheres Risikoniveau konkret für die eigene Organisation bedeutet, wird auf der Seite über was ein hohes Risikoniveau für die eigene Organisation bedeutet beschrieben. Auch fällt nicht jede Anwendung in den Anwendungsbereich derselben Anforderungen; welche Anwendungen davon ausgenommen sind und wovon das abhängt, steht auf der Seite über welche Anwendungen außerhalb des Anwendungsbereichs fallen.
Der Grund, warum diese Einordnung für viele Organisationen unklar bleibt, ist nicht, dass die Regeln fehlen. Der aktuelle Text und die genauen Kriterien stehen anderweitig und ändern sich nicht durch diesen Beitrag. Das Problem liegt davor: Um zu wissen, welche Rolle zutrifft, muss zunächst bekannt sein, welche KI-Systeme tatsächlich in Gebrauch sind, von wem, und mit welchem Maß an Anpassung. Diese Inventarisierung fehlt in den meisten Organisationen. Die offizielle Liste der von der IT genehmigten Tools beschreibt selten, was tatsächlich genutzt wird. Abteilungen nehmen Tools in Gebrauch, passen Modelle mit eigenen Daten an oder bauen eine KI-Funktion in einen internen Prozess ein, ohne dass dies irgendwo zentral erfasst wird. Wer wissen will, ob die Organisation Anbieter oder Nutzer ist, muss also zunächst wissen, was läuft — und das ist eine Frage, die nicht mit einem Richtliniendokument beantwortet wird, sondern mit einer Inventarisierung, die es wagt, Menschen zu fragen, was sie nutzen, ohne dies mit einer Abrechnung zu verbinden.
Da sich die Rolle einer Organisation ohne formellen Beschluss verschieben kann, ist es für Vorstand und Aufsichtsgremien wichtig, dass Berichte dies mitverfolgen. Ein Governance-Ansatz, der von einer statischen Rollenverteilung ausgeht, übersieht den Moment, in dem eine interne Anpassung die Organisation tatsächlich in eine andere Position bringt. Wie eine KI-Richtlinie so aufgestellt werden kann, dass sie solche Verschiebungen sichtbar macht, statt sie zu verbergen, und dass sie tatsächlich von denjenigen gelesen wird, die dafür verantwortlich sind, wird auf der Seite über eine KI-Richtlinie, die zur Praxis passt statt in der Schublade zu verschwinden behandelt.
Die Frage, ob Ihre Organisation Anbieter oder Nutzer ist, betrifft Verantwortung und Verpflichtungen. Sie sagt noch nichts darüber aus, was KI für die Arbeit selbst bedeutet: welche Aufgaben dadurch übernommen, verändert oder unterstützt werden. Diese Frage schließt an die Rollenbestimmung an, erfordert aber einen anderen Blick — nicht auf Governance, sondern auf den Arbeitsinhalt. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, unabhängig davon, welche Rolle die Organisation gegenüber dem zugrunde liegenden System einnimmt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.