Eine Organisation mit mehreren Standorten hat selten eine einzige Stelle, an der Entscheidungen über Software getroffen werden. Der eine Standort schließt eine Lizenz ab, der andere nutzt eine kostenlose Version desselben Hilfsmittels, und ein dritter hat einen lokalen IT-Partner, der ohne Rücksprache etwas eingerichtet hat. Ein KI-Inventar, das das erfassen soll, darf also nicht von einer einzigen Quelldatei ausgehen, sondern von mehreren Quellen, die sich ergänzen und widersprechen.
Jeder Standort hat eine eigene Beschaffungsgeschichte, eigene Lieferanten und oft ein eigenes Maß an Eigenständigkeit bei IT-Entscheidungen. Was in der Zentrale eine Ausnahme ist, kann an einem anderen Standort zum Standard geworden sein, ohne dass jemand das festgehalten hat. Ein zentrales Inventar, das nur die Zentrale befragt, lässt damit per Definition einen Teil des Bildes aus. Warum die IT-Liste nicht stimmt erklärt, warum eine zentrale Erfassung selten mit dem übereinstimmt, was tatsächlich genutzt wird, und dieses Problem wird größer, je mehr Standorte es gibt.
Die Grundlage ist für jeden Standort dieselbe: welche Anwendung genutzt wird, von wem, für welche Aufgabe und auf Basis welcher Daten. Daneben ist relevant, ob die Anwendung lokal eingekauft oder zentral bereitgestellt wurde, und ob dahinter ein Anbieter steht, der selbst bereits festhält, wie das System funktioniert, oder ob der Standort das System selbst zusammengestellt oder angepasst hat. Diese Unterscheidung bestimmt nämlich, wer für was genau verantwortlich ist. Was Sie pro Anwendung festhalten beschreibt das im Detail, und dieselbe Erfassung gilt unabhängig vom Standort: nur die Art und Weise, wie Sie die Informationen einholen, unterscheidet sich je Standort.
Bei einem einzigen Standort ist es überschaubar, herumzufragen. Bei mehreren Standorten ist das ohne Struktur nicht mehr praktikabel. Zwei Quellen sind dann nebeneinander brauchbar. Die erste ist das, was die IT-Umgebung selbst schon zeigt: Einkaufsunterlagen, Lizenzdateien und technische Signale, die auf die Nutzung von KI hinweisen, auch wenn niemand diese Nutzung ausdrücklich gemeldet hat. Was Einkaufs- und Lizenzdaten verraten zeigt, welche Hinweise sich darin finden lassen, und welche IT-Signale brauchbar sind geht auf die technische Seite davon ein: welcher Verkehr, welche Abonnements und welche Integrationen auf KI-Nutzung hinweisen, die nirgendwo formell erfasst ist.
Die zweite Quelle ist der Mitarbeiter selbst. Kein technischer Scan erfasst, warum jemand ein Tool nutzt, für welche Aufgabe genau oder wie oft. Das weiß nur derjenige, der die Arbeit tatsächlich ausführt. Bei mehreren Standorten bedeutet dies, dass Sie eine Methode benötigen, um diese Frage überall auf dieselbe Weise zu stellen, ohne dass sich der eine Standort stärker kontrolliert fühlt als der andere. Wie Sie es fragen, ohne dass es zur Abrechnung führt beschreibt, warum diese Voraussetzung entscheidend für die Verlässlichkeit dessen ist, was Sie einholen: Wer eine Konsequenz fürchtet, antwortet unvollständig oder gar nicht, und dieser Effekt ist nicht notwendigerweise gleich verteilt über Standorte mit unterschiedlichen Kulturen oder Führungsstilen.
Eine Anwendung, die am Standort A eingekauft und am Standort B informell übernommen wurde, bleibt dieselbe Anwendung mit derselben Rolle und demselben Risikoniveau. Das Inventar darf also nicht pro Standort separat klassifiziert werden, sondern pro Anwendung, mit einem Vermerk, wo und von wem sie genutzt wird. So verhindern Sie, dass dasselbe Tool an zwei Stellen unterschiedlich bewertet wird, und dass ein Risiko, das an einem Standort bereits erkannt wurde, an einem anderen unbemerkt bleibt. Ebenfalls relevant ist, ob der Standort selbst etwas auf Basis eines KI-Modells gebaut oder eingerichtet hat, oder ob er lediglich ein fertiges Produkt bezieht. Sind Sie Anbieter oder Nutzer hilft, diese Unterscheidung zu treffen, und diese Unterscheidung kann je Standort unterschiedlich ausfallen, auch bei Nutzung derselben zugrunde liegenden Technologie.
Wenn die Daten aus den Standorten vorliegen, ist der nächste Schritt, sie zu einer einzigen Liste ohne Doppelungen zusammenzuführen, mit pro Anwendung einer klaren Rolle, einer Risikoeinschätzung und einer Angabe, wo sie genutzt wird. Dieser Überblick bildet die Grundlage, um zu bestimmen, welche Governance-Maßnahmen erforderlich sind und wo diese zuerst Aufmerksamkeit brauchen. Wie dieser Überblick genau aufgebaut und gepflegt wird, hängt von Größe und Struktur der Organisation ab; einen festen Bauplan für jede Situation gibt es nicht.
Ein Inventar der KI-Nutzung zeigt, was getan wird und mit welchen Mitteln. Eine Folgefrage, die sich daran oft anschließt, ist, welcher Teil dieser Arbeit tatsächlich von KI übernommen werden kann und welcher Teil Handarbeit bleibt. Diese Frage beantwortet der Werkscan von FTE TO AI, der pro Aufgabe berechnet, welcher Anteil für eine Übernahme in Frage kommt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.