Kennisbank

Monitoring, das funktioniert, ist Monitoring, das an das anschließt, was bereits besteht

Viel Monitoring von KI-Nutzung entsteht als separate Initiative: ein neues Formular, eine neue Besprechung, ein neues Dashboard. Es sieht zum Zeitpunkt der Einführung vollständig aus. Ein Jahr später ist es verwässert. Nicht weil der Inhalt schlecht war, sondern weil es neben der bestehenden Struktur stand statt darin.

Die Frage ist also nicht nur, was überwacht werden soll, sondern wo dieses Monitoring landet. Ein Prozess, den niemand sich merken muss, weil er bereits Teil einer Routine ist, die ohnehin läuft, überlebt. Ein Prozess, der einen zusätzlichen Schritt von Menschen verlangt, die bereits ausgelastet sind, wird mit der Zeit übersprungen. Das ist kein Unwille. Es ist eine vorhersehbare Folge davon, wie Organisationen mit Zeit und Aufmerksamkeit umgehen.

Warum ein zweiter Prozess unterliegt

Jede Organisation hat bereits einen Rhythmus: Quartalsberichte, Risikoausschüsse, Auditzyklen, Teambesprechungen. Wenn das Monitoring von KI-Nutzung einen neuen Rhythmus einführt, konkurriert es mit allem, was bereits existiert — und verliert meistens. Es gibt keinen Tagesordnungspunkt dafür, keinen Eigentümer, der es als Kernbestandteil seiner Funktion sieht, keinen Moment, in dem es von selbst zur Sprache kommt.

Wird Monitoring dagegen zu einer Frage, die bereits gestellt wird — im bestehenden Risikoausschuss, in der bestehenden internen Kontrolle, in der bestehenden Berichtslinie an den Vorstand — dann muss sich niemand etwas Neues merken. Die Frage "welche KI-Anwendungen sind hinzugekommen oder haben sich verändert" wird dann genauso selbstverständlich wie "gibt es neue Lieferanten" oder "gab es Vorfälle". Wie dieses Anschließen genau Gestalt annimmt, hängt davon ab, wie das Anschließen an die bestehende Risikostruktur bei Ihnen bereits eingerichtet ist — diese Struktur ist der Ansatzpunkt, nicht etwas Zusätzliches.

Was in das Dokument gehört

Ein funktionierendes Monitoringdokument ist kurz genug, um wiederholt verwendet zu werden, und spezifisch genug, um etwas zu melden, wenn sich etwas ändert. Es enthält mindestens:

• Eine aktuelle Liste der KI-Anwendungen, einschließlich dessen, was über IT angemeldet wurde, und dessen, was außerhalb davon genutzt wird. Diese zweite Kategorie ist oft die größte und verschwindet aus jedem Dokument, das nur auf formelle Genehmigung vertraut.
• Eine Risikoklassifizierung pro Anwendung, damit nicht jede Änderung die gleiche Aufmerksamkeit erfordert. Ein Textgenerator für interne Notizen verlangt etwas anderes als ein Modell, das bei der Kundenannahme mitentscheidet.
• Einen Eigentümer pro Anwendung, einen Namen, keine Abteilung. Ohne Eigentümer wird eine Änderung nirgendwo bemerkt.
• Ein festes Intervall, in dem die Liste überprüft wird, verknüpft mit einem Moment, der bereits existiert — nicht ein neuer Moment, der separat eingeplant werden muss.
• Einen Ort, an dem Abweichungen sichtbar werden, damit eine neue Nutzung oder ein veränderter Einsatz nicht erst Monate später auffällt.

Der Wert des Dokuments liegt nicht in der Vollständigkeit am ersten Tag. Diese ist selten erreichbar und auch nicht nötig. Der Wert liegt darin, dass es gepflegt wird und dass diese Pflege keinen separaten Aufwand zusätzlich zu dem erfordert, was bereits geschieht.

Warum Sanktionierung den Informationsfluss stoppt

Monitoring hängt davon ab, was Menschen bereit sind zu melden. Sobald Melden gleichbedeutend damit wird, das Risiko einzugehen, irgendwo zur Rechenschaft gezogen zu werden, versiegt die Information. Wer eine Aufgabe mit einem KI-Tool schneller erledigt als erwartet, meldet das nicht, wenn die Folge davon Budgetkürzung oder ein unangenehmes Gespräch ist. Die Liste bleibt dann formell vollständig und inhaltlich leer — genau das Problem, das Schatten-KI aufrechterhält.

Die Konsequenz ist, dass Monitoring nur funktioniert, wenn Fragen ohne Sanktionierung gestellt werden. Nicht weil Nutzung folgenlos bleiben sollte, sondern weil der erste Schritt — wissen, was vor sich geht — eine andere Haltung erfordert als der zweite Schritt — beurteilen, ob es angemessen ist. Wer diese beiden Schritte zusammenfallen lässt, erhält auf keinen von beiden eine ehrliche Antwort.

Dieser Unterschied ist auch der Punkt, an dem sich Governance und Rechenschaft berühren. Sichtbarkeit für den Vorstand muss nicht bedeuten, dass jede einzelne Anwendung auf den Tisch kommt; es geht um ein Berichtsniveau, das ein Urteil ermöglicht, ohne sich in Details zu verlieren, wie beschrieben bei einem Board-Bericht, der auf eine Seite passt. Was darunter liegt — die Dokumentation von Entscheidungen über konkrete Anwendungen — gehört eher in eine Oversight-Entscheidungsliste als in das Dokument, das nach oben geht.

Ob ein Policy-Dokument selbst gelesen wird, ist eine vergleichbare Frage: Ein Text, den niemand konsultiert, bietet ebenso wenig Halt wie ein Monitoringprozess, den niemand ausfüllt. Siehe dazu eine KI-Policy, die gelesen wird. Und für diejenigen, die sich fragen, welcher Teil dieser Verantwortung am Vorstandstisch liegt und welcher Teil bei der IT-Governance, gibt es den Unterschied zwischen was ein Vorstandsmitglied über KI-Risiko wissen muss und was ein CIO über KI-Risiko wissen muss — beide Fragen verlangen unterschiedliche Detailebenen innerhalb desselben Monitoringprozesses.

Von wissen, was läuft, zu wissen, was es einbringt

Eine Monitoringstruktur, die an das anschließt, was bereits besteht, liefert irgendwann ein zuverlässiges Bild davon, welche KI-Anwendungen im Einsatz sind und wofür. Diese Bestandsaufnahme ist eine andere Frage als die, wie viel der zugrunde liegenden Arbeit tatsächlich von KI erledigt wird und mit welchem Effekt. Wer das pro Aufgabe berechnen lassen möchte — welcher Teil einer Funktion oder eines Prozesses sich an KI übertragen lässt, ausgehend von den Aufgaben, wie sie derzeit ausgeführt werden — findet das im Werkscan von FTE TO AI.