Einem Vorstand, der KI auf die Agenda setzt, werden meist zwei Arten von Unterlagen angeboten: ein dickes Dossier, das niemand vor der Sitzung liest, oder eine Zusammenfassung, die so wenig aussagt, dass sich daraus kein Beschluss ergibt. Ein Board-Bericht auf einer Seite ist keine Zusammenfassung des Dossiers. Es ist eine andere Frage: Was muss ein Vorstandsmitglied wissen, um Verantwortung übernehmen zu können, und was ist Rauschen.
Dieser Unterschied ist nicht trivial. Die meisten KI-Berichte, die wir sehen, zählen Systeme auf. Eine Seite, die nur zählt, wie viele KI-Anwendungen es gibt, sagt einem Vorstand nichts darüber, wo das Risiko liegt. Zählen ist eine IT-Frage. Governance ist eine andere Frage: Welche Anwendungen betreffen Entscheidungen über Menschen, welche sind ohne Aufsicht in Betrieb genommen worden, und welche fallen unter eine Risikoklasse, die eine Unterschrift erfordert.
Eine Seite, die funktioniert, enthält eine begrenzte Anzahl von Elementen, jedes mit einem Grund, warum es aufgenommen wird:
Der Rest — wer welches Modell trainiert hat, welcher Anbieter welche Bedingungen anwendet, welche technische Abmilderung angewendet wurde — gehört in die darunterliegende Schicht. Diese Schicht existiert, wird gepflegt und ist abrufbar. Aber sie gehört nicht auf die Seite, die der Vorstand liest, denn dann liest der Vorstand sie nicht.
Der Grund, warum so viel KI-Governance ins Stocken gerät, ist nicht, dass es keinen Prozess gibt. Es ist, dass es einen zweiten Prozess gibt, neben dem bestehenden. Ein Vorstand hat bereits einen Risikoausschuss, bereits einen Auditkalender, bereits ein Format für die Berichterstattung über operationelles Risiko, über Compliance, über Informationssicherheit. Wer daneben einen separaten KI-Prozess setzt — mit eigener Frequenz, eigener Vorlage, eigenem Eigentümer — fragt nach etwas, das als Erstes übersprungen wird, wenn die Agenda zu voll ist. Das geschieht nicht aus Unwillen. Es geschieht, weil ein zweiter Prozess per Definition weniger Aufmerksamkeit erhält als der erste.
Der Bericht, der tatsächlich gelesen wird, ist der Bericht, der im bestehenden Rhythmus mitläuft: dieselbe Sitzung, dasselbe Format, dieselbe Art der Eskalation, die für andere Risiken bereits besteht. Wie diese Anbindung in der Praxis Gestalt annimmt, steht beschrieben auf der Seite über die Anbindung an die bestehende Risikostruktur, und die Art, wie Entscheidungen anschließend festgehalten werden, kommt zurück auf der Seite über eine Oversight-Entscheidungsliste, die im bestehenden Rhythmus mitläuft.
Ein Bericht auf einer Seite ist nur brauchbar, wenn die dahinterliegende Inventur stimmt. Das ist der Teil, der am häufigsten übersprungen wird: Vorstandsmitglieder erhalten eine Seite mit einer Risikoklassifizierung, ohne dass jemand kontrolliert hat, ob die zugrunde liegende Liste von KI-Anwendungen vollständig ist. Schatten-KI — die Nutzung, die außerhalb der IT-Liste entstanden ist — verschwindet dann stillschweigend aus dem Bild, nicht weil sie unwichtig ist, sondern weil niemand danach gefragt hat. Ein Mitarbeiter, der ein KI-Tool nutzt, ohne dass dieses genehmigt wurde, meldet das nicht von sich aus, wenn eine Abrechnung droht. Er meldet es erst, wenn Fragen ohne Konsequenzen gestellt werden.
Die Seite auf der einen Seite ist also die Spitze eines Prozesses, der bei der Inventur beginnt und über Pfade eskaliert, die bereits bestehen. Wie diese Eskalation funktioniert, ohne eine neue Hierarchie zu schaffen, steht auf der Seite über Eskalationspfade, die tatsächlich genutzt werden. Und was strukturell gepflegt werden muss, um die Seite jedes Mal erneut füllen zu können, ohne dass es zu einer Rekonstruktion wird, steht auf der Seite über Monitoring, das tatsächlich etwas für die Berichterstattung liefert.
Der Responsible AI Scan liefert die Inventur, die Klassifizierung und die Governance-Struktur, die an das Bestehende anknüpft — einschließlich des Formats für einen Bericht, den der Vorstand tatsächlich liest. Der Scan selbst befindet sich im Aufbau; wer hiervon jetzt schon etwas haben möchte, kann sich auf die Warteliste setzen.
Ein Bericht, der aussagt, welcher Teil der Arbeit unter KI-Risiko fällt, ruft von selbst eine andere Frage hervor: welcher Teil der Arbeit selbst durch KI zu übernehmen ist. Das ist eine andere Rechnung, erstellt pro Aufgabe statt pro System, und diese Rechnung erstellt der Werkscan von FTE TO AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.