Ein KI-Inventar ist keine Momentaufnahme dessen, was die IT-Abteilung angeschafft hat. Es ist ein laufender Überblick über das, was in der Organisation tatsächlich zur Arbeit genutzt wird, unabhängig davon, ob diese Nutzung genehmigt, angeschafft oder auch nur bekannt ist bei der Abteilung, die formell über Software entscheidet. Wer ein Inventar aufbauen möchte, das diesen Unterschied abdeckt, muss an mehr Stellen suchen, als die meisten Organisationen gewohnt sind.
Die Liste der genehmigten Anwendungen ist ein logischer Ausgangspunkt, deckt aber nur das ab, was über einen formellen Weg hereingekommen ist. KI-Funktionalität landet auch über Kanäle, die nicht als „neue Anwendung“ erkannt werden: ein Update bestehender Software, eine Browsererweiterung, eine Funktion, die von einem Anbieter aktiviert wird, ohne dass dies separat gemeldet wird. Warum die IT-Liste nicht stimmt beschreibt die Mechanismen, durch die ein Inventar, das sich nur auf diese Liste stützt, per Definition unvollständig ist. Das bedeutet nicht, dass die Liste überflüssig ist — es bedeutet, dass sie eine Quelle neben anderen ist, nicht die einzige.
Rechnungen, Abonnements und Lizenzzählungen erzählen eine andere Geschichte als die IT-Liste, weil Einkauf häufig auf Abteilungsebene stattfindet und nicht immer über einen zentralen IT-Weg läuft. Ein Team, das ein Abonnement für ein Tool mit einer KI-Funktion abschließt, registriert das beim Einkauf oder der Finanzabteilung, nicht notwendigerweise bei der IT. Was Einkaufs- und Lizenzdaten verraten zeigt, welche Muster in diesen Daten auf KI-Nutzung hindeuten, die anderswo noch nicht bemerkt wurde: wiederkehrende kleine Abonnements, Namensgebung von Tools, Wachstum im Datenverkehr zu bestimmten Domänen. Dies ist kein Ersatz für direkte Nachfrage, sondern eine Möglichkeit zu wissen, wohin Sie diese Nachfrage zuerst richten sollten.
Netzwerkverkehr, DNS-Protokolle und Zugriffsverwaltung können Hinweise darauf geben, welche Dienste von Firmengeräten aus angesprochen werden. Nicht jedes Signal ist gleich zuverlässig: Verkehr zu einem KI-Anbieter kann auf aktive Nutzung hinweisen, aber auch auf einen Hintergrundprozess, der nichts mit der täglichen Arbeit zu tun hat. Welche IT-Signale nutzbar sind legt dar, welche technischen Indikatoren Halt bieten und welche zu viel Rauschen erzeugen, um als Basis für ein Inventar zu dienen. Das Ergebnis dieser Signale ist eine Liste von Vermutungen, kein bestätigter Überblick — die Bestätigung kommt von den Menschen, die die Arbeit tatsächlich verrichten.
Kein technisches Signal und kein Einkaufsposten sagt Ihnen, warum jemand ein Tool nutzt, für welche Aufgabe, und ob die Nutzung gelegentlich oder strukturell ist. Diese Information kommt nur zum Vorschein, wenn Mitarbeitende bereit sind, sie zu teilen. Das geschieht nicht von selbst: Wer vermutet, dass eine Antwort auf die Frage „welche KI nutzen Sie“ zu einem Verbot oder einem Vermerk führt, antwortet ausweichend oder gar nicht. Wie Sie es Mitarbeitenden fragen, ohne dass es Konsequenzen hat beschreibt, wie diese Frage so gestellt wird, dass eine ehrliche Antwort wahrscheinlicher wird. Dieser Teil des Inventars liefert oft den größten Teil der Anwendungen, die über keine andere Quelle sichtbar werden.
Ein Inventar, das nur Namen von Tools sammelt, ist für Governance nicht brauchbar. Pro Anwendung ist mehr nötig: wer das Tool nutzt und für welche Aufgabe, welche Art von Daten dort eingegeben werden, ob das Ergebnis eine Rolle in einer Entscheidung über einen Kunden, Mitarbeiter oder Dritten spielt, und welcher Anbieter dahintersteht. Was Sie pro Anwendung festhalten müssen nennt die Felder, die nötig sind, um eine Anwendung später nach Rolle und Risikoniveau klassifizieren zu können, ohne dass Sie die Inventarisierung wiederholen müssen, sobald diese Klassifizierung verlangt wird.
Bei einer Organisation mit mehreren Standorten, Geschäftseinheiten oder Ländern wird die Inventarisierung selbst zu einem Koordinationsproblem: Wer fragt es, in welcher Reihenfolge, und wie werden die Ergebnisse zusammengeführt, ohne dass Abteilungen die Antworten der anderen korrigieren oder abschwächen. Wie Sie ein KI-Inventar bei einer Organisation mit mehreren Teilen aufbauen geht auf diese Größenordnung ein: wo die Koordination ins Stocken gerät und wie die Ergebnisse verschiedener Teile vergleichbar bleiben.
Ein Inventar, das einmal aufgebaut ist, ist ein Foto zu einem bestimmten Zeitpunkt. Um es für Vorstände, CIOs und Risikomanager nutzbar zu halten, muss es wiederholt und mit einer Klassifizierung verknüpft werden, die an die bestehende Risikostruktur der Organisation anschließt. Dieser Teil — inventarisieren, nach Rolle und Risikoniveau klassifizieren und die Anbindung an Governance — ist das, worauf der Responsible AI Scan hinarbeitet. Der Scan ist im Aufbau; wer daran interessiert ist, kann sich für die Warteliste anmelden.
Ein Inventar beantwortet die Frage, welche KI genutzt wird. Eine andere, ergänzende Frage ist, welcher Teil der tatsächlichen Arbeit — Aufgabe für Aufgabe — sich von KI übernehmen lässt. Diese Frage beantwortet der Werkscan von FTE TO AI, der pro Aufgabe berechnet, welcher Teil der Arbeit übernommen werden kann.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.