Jede Organisation mit einer gewissen Größe hat bereits eine Risikostruktur. Ein Risikoausschuss, eine Auditfunktion, eine Berichtslinie an den Vorstand, ein Format, in dem Risiken eingeschätzt und verfolgt werden. Wer daneben einen neuen Prozess aufbaut, speziell für KI, mit einem eigenen Ausschuss, einem eigenen Kalender und einer eigenen Sprache, erhält innerhalb eines Jahres einen Prozess, den niemand mehr ausfüllt. Nicht weil KI als unwichtig gilt, sondern weil eine zweite Struktur mit der ersten um Zeit, Aufmerksamkeit und Mandat konkurriert. Die bestehende Struktur gewinnt fast immer, denn sie ist in Beurteilungen, Funktionszyklen und Vorstandsagenden eingebettet. Die neue Struktur steht außerhalb.
Die Frage ist also nicht, wie Sie eine KI-Governance-Struktur aufbauen. Die Frage ist, wie KI einen Platz in der bereits bestehenden Struktur erhält.
Die meisten Risikostrukturen kennen bereits eine Reihe fester Bestandteile: eine Risikoinventur, die periodisch aktualisiert wird, eine Klassifizierung nach Schweregrad und Wahrscheinlichkeit, einen Eigentümer pro Risiko, eine Eskalationslinie zu einer höheren Ebene, wenn eine Grenze überschritten wird, und eine Berichterstattung an den Vorstand zu festen Zeitpunkten. Das ist die Struktur, in die KI passen muss, nicht daneben.
Das bedeutet, dass eine KI-Anwendung nicht in einem separaten KI-Register stehen sollte, sondern als Risikoposten im bestehenden Register, mit denselben Feldern wie jedes andere Risiko: Eigentümer, Schweregrad, Wahrscheinlichkeit, Minderungsmaßnahme, Statusdatum. Die Klassifizierung nach Risikoniveau, die zu einer Inventur der KI-Nutzung gehört, muss an die Skala anschließen, die bereits für operationelles Risiko verwendet wird, nicht an eine neue Skala, die nur für KI erfunden wurde. Wer was ein CIO über KI-Risiko wissen muss liest, sieht, dass dieser Anschluss genau dort ist, wo es häufig schiefgeht: eine technisch korrekte KI-Risikobewertung, die niemand mit dem Rest des Risikoregisters vergleichen kann.
Zwei Dinge erschweren die Einbettung. Das erste ist die Sprache. Risikomanager arbeiten mit Begriffen wie Wirkung, Wahrscheinlichkeit und Minderungsmaßnahme. KI-Anbieter und technische Teams arbeiten mit Modellversionen, Trainingsdaten und Leistungskennzahlen. Ein Governance-Set, das nur in der technischen Sprache geschrieben ist, wird vom Risikoausschuss nicht gelesen. Ein Governance-Set, das nur in Risikosprache geschrieben ist, wird vom technischen Eigentümer nicht ausgefüllt. Das Set muss in beide Richtungen lesbar sein: technisch genug, um zu stimmen, bestuurlich genug, um zu landen. Dieses Prinzip kommt zurück bei einer KI-Richtlinie, die gelesen wird: einem Dokument, das an die Art anschließt, wie Menschen bereits lesen und entscheiden, statt eine neue Leseweise zu verlangen.
Das zweite ist das Tempo. Ein Risikoausschuss tagt in einem festen Zyklus, oft vierteljährlich oder monatlich. KI-Nutzung ändert sich schneller: Ein Team beginnt diese Woche mit einem neuen Tool, ohne dass dem eine Sitzung vorausgeht. Das Governance-Set darf daher nicht vom Sitzungszyklus abhängig sein, um zu funktionieren. Es muss einen leichteren Mechanismus geben, der Abweichungen zwischen den festen Zeitpunkten aufnimmt und der erst beim nächsten Zyklus formell bestätigt wird. Wie dieser Mechanismus in der Praxis funktioniert, ist beschrieben bei Eskalationswegen, die funktionieren: einem Weg, der kurz genug ist, um genutzt zu werden, bevor der nächste Quartalsausschuss zusammenkommt.
Ein Governance-Set, das an eine bestehende Risikostruktur anschließt, enthält im Wesentlichen: einen Inventurposten pro KI-Anwendung mit Eigentümer und Risikoklasse, eine Verknüpfung mit dem bestehenden Eskalationsweg, damit eine Abweichung nicht in einem separaten Kanal verschwindet, und einen festen Platz in der periodischen Berichterstattung an den Vorstand. Nicht als separates Kapitel über KI, sondern als Zeile in der Tabelle, die der Vorstand bereits kennt. Wie diese Berichterstattung aussehen kann, ohne ein neues Format einzuführen, steht bei wie erhalten Sie eine Board-Berichterstattung auf einer Seite eingebettet in das, was bereits zirkuliert.
Der Inhalt der Regeln selbst, was genau unter welches Risikoniveau fällt und welche Fristen dazugehören, ist an anderer Stelle festgelegt und ändert sich; diese Seite behandelt den Mechanismus, der diesem Inhalt einen Platz in der bestehenden Struktur gibt, nicht den Text dieser Regeln.
Einbettung gelingt nur, wenn die Inventur zunächst stimmt. Und die stimmt nur, wenn Menschen es wagen zu sagen, was sie nutzen. Wer beim Ausfüllen des Risikopostens das Gefühl hat, dass eine ehrliche Antwort zu einem Vermerk in einer Beurteilung führt, füllt es nicht ehrlich aus. Das Governance-Set muss daher bereits von der ersten Version an deutlich machen, dass das Ziel Überblick ist, nicht Sanktion. Ohne diese Zusage bleibt ein Teil der Nutzung außerhalb des Blickfelds, und der Anschluss an die Risikostruktur ist auf einer unvollständigen Liste aufgebaut. Was ein Vorstandsmitglied darüber wissen muss, bevor die erste Inventur beginnt, steht bei was ein Vorstandsmitglied über KI-Risiko wissen muss.
Diese Einbettung betrifft Risiko, Eigentümerschaft und Berichterstattung: Sie sorgt dafür, dass das, was KI tut, innerhalb der bereits bestehenden Struktur sichtbar und beherrschbar ist. Eine andere Frage, die sich logisch daraus ergibt, sobald der Überblick vorhanden ist, ist, was KI innerhalb dieser Arbeit tatsächlich übernehmen kann. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, als Folgeschritt, nachdem die Governance-Seite geregelt ist.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.