Die meisten Organisationen verfügen inzwischen über eine KI-Richtlinie. Oft ist sie gut geschrieben, juristisch wasserdicht und vollständig. Und oft wird sie nicht gelesen, oder nur an dem Tag gelesen, an dem sie verabschiedet wird, und danach nicht mehr. Das ist keine Frage des schlechten Willens. Es ist eine Frage der Stelle im Prozess.
Mitarbeitende, die mit KI arbeiten, haben bereits einen Prozess: die Arbeit selbst. Eine KI-Richtlinie, die neben dieser Arbeit steht, als separates Dokument, das man nachschlägt, konkurriert mit der Zeit, die jemand ohnehin nicht hat. Wer einen Text schreiben, einen Datensatz analysieren oder eine Kundenfrage beantworten muss, konsultiert nicht erst die Richtlinie. Er benutzt das Tool, das funktioniert, und denkt erst daran, wenn jemand danach fragt.
Die Folge ist vorhersehbar. Es entsteht eine Praxis, die vom Dokument abweicht, ohne dass jemand dies böswillig tut. Niemand hat die Richtlinie aus Unwillen ignoriert; sie passte einfach nicht in den Moment, in dem die Entscheidung getroffen wurde. Eine Richtlinie, die gelesen werden will, darf deshalb nicht neben der Arbeit stehen, sondern muss darin enthalten sein. Das bedeutet, dass sie Antworten auf Fragen gibt, die sich bereits stellen — welches Tool hier erlaubt ist, wer verantwortlich ist, wenn es schiefgeht, was mit dem Output geschieht — in dem Moment, in dem sich diese Frage stellt, nicht drei Kapitel weiter in einem PDF.
Eine KI-Richtlinie, die in der Praxis funktioniert, enthält im Kern ein paar wiedererkennbare Bestandteile. Erstens eine Einteilung nach Risiko: Nicht jede Anwendung von KI erfordert dieselbe Aufmerksamkeit, und ein Dokument, das alles über einen Kamm schert, wird von niemandem ernsthaft angewendet. Zweitens eine klare Antwort auf die Frage, wer entscheidet, wenn ein Fall nicht in die Einteilung passt — das gehört in eine Oversight-Entscheidungsliste, die festlegt, wer wofür zuständig ist, statt in eine Fußnote, die niemand wiederfindet.
Drittens eine Route für das, was geschieht, wenn etwas schiefgeht oder zweifelhaft ist: funktionierende Eskalationspfade beschreiben, wen man anruft, nicht wen man theoretisch informieren sollte. Eine Richtlinie ohne funktionierende Eskalation ist eine Richtlinie, die erst nach dem Vorfall gelesen wird, und dann ist es zu spät, um noch etwas zu steuern.
Viertens eine Form der Nachverfolgung, die nicht bei der Verabschiedung endet. Eine Richtlinie, die einmalig geschrieben und danach nie mehr überprüft wird, veraltet schneller als die Praxis, die sie abdecken soll. Monitoring, das etwas bringt, ist keine zusätzliche Berichtslast, sondern der Mechanismus, mit dem die Richtlinie wissend an dem bleibt, was tatsächlich geschieht.
Ein häufiger Irrtum ist, dass KI-Richtlinien einen neuen Governance-Rahmen benötigen. Das ist meist nicht der Fall. Die meisten Organisationen verfügen bereits über eine Risikostruktur — für Datenschutz, für finanzielle Risiken, für die operative Kontinuität. KI-Risiko passt in den meisten Fällen dort hinein, als zusätzliche Kategorie oder zusätzliche Frage innerhalb bestehender Entscheidungswege, nicht als separater Kreislauf mit eigenen Sitzungen und eigenen Berichtslinien. Der Anschluss an die bestehende Risikostruktur ist genau aus diesem Grund oft effektiver als das Aufsetzen eines neuen Rahmens: Die Menschen kennen den Prozess bereits und müssen nicht erst lernen, wo das neue Dokument liegt.
Dieser Anschluss ist auch die Stelle, an der es praktisch scheitert oder gerade gelingt. Eine Richtlinie, die auf dem Papier gut anschließt, in der Praxis aber ein losgelöstes Dokument bleibt, wird ebenso ignoriert. Die Frage ist nicht nur, was im Dokument steht, sondern wie es eingebettet ist in das, was Menschen bereits tun — Sitzungsstrukturen, Genehmigungsabläufe, Berichtsmomente, die schon existierten, bevor KI ein Thema wurde. Wie das in der Praxis aussieht, hängt davon ab, wie die Organisation bereits jetzt arbeitet, und darauf geht näher ein, was beschrieben steht über wie eine solche Richtlinie in das Bestehende eingebettet wird.
Eine funktionierende Richtlinie lässt sich auch in wenigen Sätzen für diejenigen zusammenfassen, die nicht täglich damit arbeiten. Ein Vorstand benötigt nicht das vollständige Dokument, sondern eine Antwort auf die Frage, ob es unter Kontrolle ist und wo nicht. Eine Board-Berichterstattung von einer Seite ist der Test, ob die Richtlinie funktioniert: Lässt sie sich nicht auf einer Seite zusammenfassen, ist sie wahrscheinlich auch in der Praxis nicht anwendbar.
Eine Richtlinie, die an die Praxis anschließt, setzt voraus, dass Sie wissen, was diese Praxis ist: welche Aufgaben ausgeführt werden und welcher Teil davon bereits mit KI erledigt wird oder erledigt werden könnte. Das ist eine andere Frage als Governance, und diese Frage beantwortet der Werkscan von FTE TO AI: Er berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, sodass die Richtlinie nicht auf Annahmen beruht, sondern auf einem konkreten Bild der Arbeit selbst.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.