Ein Vorstand erhält periodisch Berichte: finanziell, operativ, über Risiken, die bereits einen Platz in der bestehenden Struktur haben. Ein Bericht über KI, der davon losgelöst daneben steht, mit einem eigenen Rhythmus und einem eigenen Format, wird in der Praxis übersprungen. Nicht weil das Thema unwichtig ist, sondern weil ein zweiter Prozess neben einem bestehenden Prozess einen separaten Aufwand erfordert, der mit allem konkurriert, was bereits auf der Agenda steht. Was tatsächlich gelesen wird, ist das, was in die bestehende Berichtslinie passt: derselbe Rhythmus, dieselbe Länge, derselbe Platz in der Sitzung.
Eine Board-Berichterstattung über KI braucht keine vollständige technische Inventur. Der Vorstand braucht eine Antwort auf eine begrenzte Anzahl von Fragen: Welche KI-Anwendungen gibt es, in welche Risikokategorie fallen sie, was hat sich seit dem letzten Bericht geändert, und gab es Eskalationen. Letzterer Punkt ist der, bei dem die meisten Berichte leer bleiben — nicht weil nichts passiert, sondern weil kein Weg existiert, auf dem ein Signal den Vorstand erreicht. Ohne funktionierende Eskalationspfade, die funktionieren ist ein Bericht eine Momentaufnahme ohne Geschichte: Er zeigt, was jetzt ist, nicht, was unterwegs schiefgelaufen ist oder fast schiefgegangen wäre.
Der Bericht stützt sich auf das, was bereits festgehalten ist. Eine Oversight-Beschlussliste mit Angaben zu wer was genehmigt hat, ist die Quelle, aus der die Seite zusammengefasst wird, nicht ein separates Dokument, das losgelöst daneben existiert. Was auf der Seite steht, ist eine Verdichtung bereits getroffener Entscheidungen; es ist keine neue Beurteilung, die der Vorstand selbst anhand von Rohdaten vornehmen muss.
Organisationen haben bereits eine Risikostruktur: einen Prüfungsausschuss, ein Risikokomitee, einen festen Platz auf der Vorstandsagenda für operative Risiken. Eine KI-Berichterstattung, die einen eigenen Ausschuss, einen eigenen Kalender oder eine eigene Vorlage einführt, verlangt von jedem, der bereits daran beteiligt ist, etwas Zusätzliches zu tun neben dem, was er bereits tut. Diese zusätzliche Arbeit wird verschoben, sobald die Agenda voll wird, und die Agenda wird immer voll. Die Folge ist, dass die Berichterstattung nach ein paar Malen wegfällt, nicht weil jemand entschieden hat, dass KI-Risiko nicht wichtig ist, sondern weil niemand entschieden hat, dass es wichtiger war als das, was bereits vorlag.
Die Lösung liegt nicht in mehr Betonung des Themas, sondern in weniger Reibung bei dessen Aufnahme. Eine Seite, die im selben Quartalsrhythmus erscheint wie die anderen Risikoberichte, die dasselbe Layout verwendet und an derselben Stelle im Paket steht, wird gelesen, weil das Lesen keine separate Handlung erfordert. Was nicht funktioniert, ist ein separater KI-Governance-Zyklus, der losgelöst vom bestehenden Zyklus läuft — der wird ignoriert, sobald der erste stressige Monat kommt.
Ein einseitiger Bericht kann nur kurz sein, wenn die zugrunde liegende Struktur vollständig ist. Er setzt einen Überblick wie was muss ein Vorstandsmitglied über KI-Risiko wissen über Rollen und Verantwortlichkeiten voraus, damit die Seite nicht jedes Mal erneut erklären muss, wer für was verantwortlich ist. Sie setzt eine Inventur voraus, die nicht nur enthält, was die IT genehmigt hat, sondern auch, was Abteilungen selbst zu nutzen begonnen haben, ohne dies zu melden — Schatten-KI, die erst sichtbar wird, wenn Menschen ohne Konsequenzen sagen dürfen, was sie tatsächlich nutzen. Ein Bericht, der nur die genehmigte Liste zeigt, berichtet eine Fiktion.
Die Seite setzt auch voraus, dass zwischen den Berichten etwas passiert: Monitoring, das etwas liefert, statt ein Logbuch, das niemand einsieht. Ohne diese zwischengeschaltete Ebene ist die Quartalsseite bei jeder Ausgabe eine Überraschung, statt eine Zusammenfassung von etwas, das das ganze Quartal über bereits verfolgt wurde. Und sie setzt voraus, dass die zugrunde liegende Richtlinie keine Dokumentation zur Form ist, sondern eine KI-Richtlinie, die gelesen wird von den Menschen, die die Systeme täglich nutzen — denn ein Bericht über die Einhaltung einer Richtlinie, die niemand kennt, berichtet vor allem über sich selbst.
Die Vorstandsseite ist eine Verdichtung; die Begründung liegt eine Ebene tiefer, bei demjenigen, der die Systeme kennt. Was ein CIO dazu beiträgt, ist beschrieben unter was muss ein CIO über KI-Risiko wissen, und diese beiden Ebenen — Vorstandsüberblick und operatives Wissen — müssen aufeinander abgestimmt sein, bevor die Seite mit einer Viertelstunde Lesezeit tatsächlich etwas darüber aussagt, was in der Organisation geschieht.
Diese Struktur wird aufgebaut, nicht als fertiges Produkt angeboten. Wer den Scan möchte, der diese Inventur, Klassifizierung und Berichtsstruktur liefert, kommt auf eine Warteliste; es befindet sich im Aufbau und wird nicht als schlüsselfertiges Instrument verkauft, bevor es das tatsächlich ist.
Sobald klar ist, welche KI läuft und in welche Risikokategorie sie fällt, folgt eine andere Frage, die nicht das Risiko betrifft, sondern die Gestaltung der Arbeit selbst: welcher Teil der derzeit ausgeführten Aufgaben sich dafür eignet, von KI übernommen zu werden. Das ist eine separate Rechnung, die nicht auf Risiko, sondern auf Aufgaben aufgebaut ist. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit für eine Übernahme in Frage kommt, als Folgeschritt, sobald klar ist, was an KI bereits in der Organisation vorhanden ist.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.