Eine KI-Richtlinie, die als loses Dokument neben die bestehenden Richtlinien gelegt wird, wird in der Praxis nicht gelesen. Nicht weil Mitarbeiter unwillig sind, sondern weil ein zweiter Prozess neben einem bestehenden Prozess fast immer verliert. Wer bereits einen Risikorahmen, einen Verhaltenskodex und eine Eskalationslinie hat, wird nicht ein paralleles System für eine einzelne Technologie konsultieren. Die KI-Richtlinie, die funktioniert, ist die Richtlinie, die sichtbar denselben Rahmen verwendet, den der Rest der Organisation bereits kennt.
Jede Organisation mit einigem Umfang hat bereits Rahmenwerke für Risiko, Einkauf, Informationssicherheit und Verhalten. Eine KI-Richtlinie, die lose daneben steht, führt eine neue Sprache, neue Rollen und einen neuen Ort zum Nachschlagen ein. Das ist genau der Grund, warum sie nach der Einführung weggelegt wird. Mitarbeiter folgen dem Weg des geringsten Widerstands, und dieser Weg verläuft über die Struktur, die sie schon kennen. Eine Richtlinie, die eine neue Arbeitsweise neben der alten verlangt, gewinnt diesen Wettbewerb selten.
Die Lösung ist nicht ein besser geschriebenes Dokument. Es ist ein Dokument, das keinen neuen Platz beansprucht, sondern den bestehenden Platz nutzt. Ein KI-Risiko wird dann als Risiko behandelt, mit demselben Eigentümer, derselben Eskalationslinie und derselben Berichtsform wie jedes andere Risiko. Wer das untermauern möchte, findet die Begründung auf der Seite über den Anschluss an die bestehende Risikostruktur statt eines neuen Rahmens daneben.
Eine KI-Richtlinie, die funktioniert, enthält keine Aufzählung dessen, was pro System erlaubt und nicht erlaubt ist. Das ändert sich zu schnell und veraltet innerhalb eines Jahres. Sie enthält stattdessen eine Reihe fester Elemente, die nicht davon abhängen, welches Modell oder welcher Anbieter verwendet wird:
Diese vier Bestandteile bilden zusammen kein separates KI-Governance-System, sondern eine Verfeinerung des bereits bestehenden Risikosystems. Das ist der Unterschied zwischen einer Richtlinie, die gelesen wird, und einer Richtlinie, die in einer Mappe liegen bleibt.
Eine Richtlinie einzubetten hat wenig Sinn, wenn nicht bekannt ist, was genau eingebettet werden muss. Die IT-Liste der genehmigten Systeme ist dafür unzureichend: Sie beschreibt, was angeschafft wurde, nicht was genutzt wird. Schatten-KI, Tools, die Mitarbeiter selbst ohne formelle Genehmigung zu nutzen begonnen haben, fällt außerhalb dieser Liste, während das Risiko dadurch nicht geringer wird.
Die einzige Möglichkeit, dazu einen Überblick zu bekommen, ist zu fragen. Und das funktioniert nur, wenn das Fragen nicht zu einer Abrechnung führt. Wer bei der ersten Bestandsaufnahme sofort Sanktionen mit der Antwort verknüpft, erhält keine Antwort mehr. Eine KI-Richtlinie, die Einbettung in die bestehende Struktur sucht, beginnt also mit einer Bestandsaufnahme, die von der Beurteilung losgelöst ist, und erst danach mit einer Klassifizierung nach Rolle und Risikoniveau.
Der Vorstand hat kein Interesse an einem dicken Richtliniendokument, sondern an einem kompakten Überblick darüber, wo die Risiken liegen und was dagegen unternommen wird. Dieser Überblick sollte dieselbe Form haben wie andere Risikoberichte, die der Vorstand bereits erhält, sodass er nicht als separater KI-Bericht gelesen wird, sondern als Teil des üblichen Risikobilds. Wie dieser Bericht aussieht, steht auf der Seite über einen Board-Bericht einer Seite, der an bestehende Risikoberichte anschließt. Für alle, die zunächst wissen möchten, was ein Vorstandsmitglied im Allgemeinen über KI-Risiko wissen muss, bevor eine Richtlinie festgelegt wird, gibt es die Seite über was ein Vorstandsmitglied über KI-Risiko wissen muss, bevor eine Richtlinie festgelegt wird.
Eine Richtlinie, die an die bestehende Struktur anschließt, beantwortet die Frage, wer worüber entscheidet und wie Risiko überwacht wird. Sie beantwortet nicht die Frage, welcher Teil der tatsächlichen Arbeit von KI übernommen werden kann und welcher nicht. Diese Frage liegt auf Aufgabenebene, und darum geht es beim Werkscan von FTE TO AI: Dieser berechnet pro Aufgabe, welcher Teil der Arbeit übernommen werden kann, sodass Richtlinie und Praxis auf demselben Bild der Organisation beruhen.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.