Kennisbank

Eskalationspfade, die funktionieren, eingebettet in das, was bereits besteht

Ein Eskalationspfad für KI-Vorfälle, der neben die bestehende Struktur gelegt wird, wird in der Praxis übersprungen. Nicht, weil niemand ihn nutzen will, sondern weil es bereits einen Pfad gibt: für Datenlecks, für Beschwerden, für operative Störungen. Wer im Moment eines Vorfalls zwischen zwei Routen wählen muss, wählt die Route, die er bereits kennt. Ein zweiter Prozess neben dem ersten ist keine zusätzliche Sicherheit, es ist eine Verzweigung, die unter Druck im ersten verschwindet.

Was ein funktionierender Eskalationspfad verlangt

Die Frage ist nicht, ob es einen Eskalationspfad geben sollte. Die Frage ist, wo er anknüpft. Ein Eskalationspfad für KI funktioniert, wenn er keinen neuen Schalter eröffnet, sondern einem bestehenden Schalter einen zusätzlichen Eingang gibt. Das bedeutet: dieselbe Meldestruktur, die bereits für Vorfälle genutzt wird, ergänzt um eine Frage, die angibt, ob KI eine Rolle spielte. Derselbe Eigner, der bereits für die Risikobehandlung verantwortlich ist, mit einem klaren Bild davon, wann ein KI-bezogenes Signal bei ihm landen muss. Dieselbe Berichtslinie nach oben, ohne eine separate KI-Linie daneben.

Was hineingehört, ist damit weniger eine Liste von Schritten und mehr eine Reihe von Anschlusspunkten: wer meldet, wo es eingeht, wer beurteilt, ob es eskaliert, und an wen. Bei jedem dieser Punkte lautet die Frage nicht "wie sollte das funktionieren", sondern "wo passiert das bereits, und was muss dort hinzugefügt werden, um KI mit einzubeziehen". Ein Eskalationspfad, der auf diese Weise aufgebaut ist, benötigt keine separate Anweisung, weil er kein anderes Verhalten verlangt als das, was bereits bekannt ist.

Warum ein isolierter Prozess ignoriert wird

Es gibt ein erkennbares Muster: Eine Organisation erstellt einen KI-spezifischen Prozess, mit einem eigenen Formular, einem eigenen Ausschuss, einem eigenen Berichtsmoment. Auf dem Papier ist das vollständig. In der Praxis wird es ignoriert, und nicht aus Unwillen. Ein zweiter Prozess erfordert, dass jemand im Moment eines Vorfalls zunächst bestimmt, ob es sich um KI handelt, bevor er weiß, welchen Weg er einschlagen soll. Dieser zusätzliche Schritt entfällt, sobald Zeitdruck entsteht, und der bestehende Pfad — der Pfad, der ohnehin bereits für vergleichbare Situationen genutzt wird — gewinnt.

Hinzu kommt, dass ein isolierter KI-Prozess meist einen separaten Eigner erhält, losgelöst von demjenigen, der bereits allgemein für die Risikoeskalation verantwortlich ist. Das spaltet den Überblick genau in dem Moment, in dem Überblick nötig ist. Wer ein Signal über ein KI-System erhält, das nicht wie beabsichtigt funktioniert, muss dies neben andere Risikosignale einordnen können, nicht in einem isolierten Kanal, in dem es losgelöst vom Rest der Organisation beurteilt wird.

Was Einbettung in der Praxis bedeutet

Einbetten bedeutet, dass der Eskalationspfad für KI kein sichtbar separater Bestandteil ist, sondern eine Erweiterung dessen, was bereits besteht. Das erfordert einige konkrete Entscheidungen, unabhängig von der Branche: welcher bestehende Meldekanal die Frage nach KI-Beteiligung hinzugefügt bekommt, welcher bestehende Risikoeigner die Befugnis erhält, zu beurteilen, ob etwas weiter eskalieren muss, und in welches bestehende Berichtsmoment KI einbezogen wird, statt einen neuen Moment daneben zu setzen.

Diese Entscheidungen hängen davon ab, wie die Organisation bereits aufgestellt ist. Eine Organisation mit einer starken Compliance-Funktion legt die Beurteilung dort ab; eine Organisation, in der Risikomanagement bei der operativen Linie angesiedelt ist, legt sie dort ab. Es gibt kein festes Schema, das für jede Organisation denselben Eskalationspfad ergibt, weil der Eskalationspfad per Definition ein Abbild der Struktur ist, in die er eingefügt wird.

Diese Einbettung berührt, wie Risiken bereits eingeteilt werden — wie dieser Anschluss an die bestehende Risikostruktur aussieht, ist auf der Seite über den Anschluss an die bestehende Risikoklassifizierung ausgearbeitet — und daran, was mit einer Eskalation geschieht, sobald sie den Vorstandstisch erreicht, wie auf der Seite über eine Board-Berichterstattung, die auf eine Seite passt beschrieben. Ohne diesen Anschluss bleibt ein Eskalationspfad ein Dokument, das irgendwo liegt, statt eine Route, die jemand tatsächlich verfolgt, wenn es nötig ist.

Der Zusammenhang mit Monitoring

Ein Eskalationspfad ist erst nützlich, wenn es etwas gibt, das eskaliert. Das erfordert eine Form von Monitoring, die Signale liefert, bevor sich ein Vorfall vollzieht, nicht nur eine Rekonstruktion im Nachhinein. Wie dieser Monitoring-Bestandteil eingerichtet wird, ohne dass er zu einer neuen Berichtslast wird, steht auf der Seite über Monitoring, das an die bestehende Berichterstattung anschließt, statt eine neue Ebene hinzuzufügen. Zusammen bilden Bestandsaufnahme, Monitoring und Eskalation eine Kette: Ohne eines der drei Elemente funktioniert auch der Rest nicht vollständig.

Für wen dies relevant ist

Wer diese Route ausarbeitet, tut dies meist aus einer Rolle mit Verantwortung für Risiko oder Governance. Was ein Vorstandsmitglied in diesem Zusammenhang wissen muss, ist zusammengefasst auf der Seite was ein Vorstandsmitglied über KI-Risiko wissen muss; die technische und operative Seite derselben Frage findet sich auf der Seite was ein CIO über KI-Risiko wissen muss. Beide Blickwinkel kommen im Eskalationspfad selbst zusammen, der an der Schnittstelle von unternehmerischer Verantwortung und operativer Umsetzung wirkt.

Diese Seite beschreibt den Mechanismus; die genaue Einrichtung hängt von der Organisation ab und wird hier nicht festgelegt. FTE TO AI arbeitet an einem Werkzeug, das diese Einbettung unterstützt; wer sich bereits jetzt damit befasst, kann sich für die Warteliste anmelden.

Ein Eskalationspfad regelt, was passiert, sobald etwas schiefgeht oder zu scheitern droht. Eine andere Frage, die davon oft losgelöst bleibt, ist, was KI bereits täglich in der gewöhnlichen Arbeit leistet. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, und liefert damit ein Bild der Seite der KI-Nutzung, die nicht punktuell, sondern strukturell ist — ein Bild, das neben der Risikoinventarisierung, um die es auf dieser Seite geht, nützlich ist.