Ein Überblick über genehmigte Software zeigt Ihnen, was angeschafft wurde, nicht was tatsächlich genutzt wird. Zwischen diesen beiden liegt ein Unterschied, der größer wird, je niedrigschwelliger KI-Tools werden: eine Browsererweiterung, ein kostenloses Konto, ein Chatbot, den jemand auf eigene Initiative einsetzte, um eine Aufgabe schneller zu erledigen. Was Einkaufs- und Lizenzdaten verraten ist ein Ausgangspunkt, aber kein Endpunkt. Der Rest der Antwort liegt bei den Menschen, die die Arbeit tatsächlich erledigen.
Wenn Sie fragen „nutzen Sie KI-Tools, die nicht genehmigt sind“, erhalten Sie meist keine vollständige Antwort. Nicht weil Menschen etwas verbergen wollen, sondern weil die Frage ein Risiko impliziert. Wer zugibt, ein Tool zu nutzen, das nicht auf der Liste steht, erwartet eine Konsequenz: eine Warnung, ein Gespräch mit einer Führungskraft, einen Vermerk in einer Akte. Diese Aussicht reicht aus, um jemanden zum Schweigen zu bringen, auch wenn die Nutzung harmlos ist und sogar nützlich.
Die Folge ist ein verzerrtes Bild. Nicht weil nichts passiert, sondern weil das, was passiert, nicht gemeldet wird. Eine Inventarisierung, die sich nur auf Meldungen stützt, erfasst vor allem das, was ohnehin schon bekannt war.
Die Frage selbst ändert nichts, wenn der Kontext unverändert bleibt. Was tatsächlich funktioniert, ist eine Kombination mehrerer Elemente: Die Frage wird von einem individuellen Beurteilungsmoment losgekoppelt, die Antworten werden in einer nach oben gehenden Berichterstattung nicht auf einen Namen zurückgeführt, und der Zweck wird vorab erläutert — es geht um einen Überblick über die Organisation, nicht um ein Urteil über eine Person.
Das bedeutet nicht, dass keine Befragung oder kein Gespräch stattfindet. Es bedeutet, dass die Frage innerhalb eines Rahmens gestellt wird, in dem „ja, ich nutze dies“ kein Anlass für eine Korrektur ist. Erst dann verschiebt sich die Antwort von dem, was jemand glaubt, dass Sie hören möchten, zu dem, was tatsächlich geschieht.
Das Ergebnis eines gut geführten Gesprächs ist keine Liste mit Namen von Tools. Es ist ein Satz von Daten, der pro Anwendung auf eine Aufgabe oder einen Prozess zurückführbar ist: welche Anwendung, für welchen Teil der Arbeit, mit welchen Daten, und wer sonst noch damit zu tun hat. Das ist dieselbe Struktur wie was Sie pro Anwendung festhalten müssen, wenn eine Anwendung über Einkauf oder IT ins Blickfeld kommt — nur ist die Quelle hier der Nutzer, nicht der Vertrag.
Konkret bedeutet das: ein Name der Anwendung, eine kurze Beschreibung, wofür sie genutzt wird, eine Einschätzung, wie häufig, und eine Angabe zur Art der Daten, die dort eingegeben werden. Keine technischen Spezifikationen, keine Lieferantenbewertung an diesem Punkt — das kommt später, bei der Klassifizierung. An diesem Punkt geht es darum, Überblick zu gewinnen, nicht darum, zu urteilen.
Diese Gespräche sind einer der Kanäle neben den technischen Signalen, die Sie separat abfragen. Was Sie von Nutzern erfahren, legen Sie neben welche IT-Signale brauchbar sind als eigenständige Spur, und erst beim Zusammenführen entsteht ein vollständigeres Bild, als beide Quellen einzeln liefern würden. Eine Anwendung, die in den Netzwerkprotokollen auftaucht, aber von niemandem erläutert wird, bleibt ein Fragezeichen. Eine Anwendung, die in einem Gespräch genannt wird, aber keine digitale Spur hinterlässt, ist ebenso real — und vielleicht gerade deshalb leichter zu übersehen.
Die Reihenfolge und Wiederholung solcher Befragungen hängt von der Organisation ab: wie viele Abteilungen, wie viel Schichtung in den Berichtslinien, wie viel frühere Erfahrung mit dieser Art der Inventarisierung. Bei einer Organisation mit mehreren Standorten oder einer geschichteten Struktur funktioniert wie Sie es Mitarbeitern fragen ohne Abrechnung etwas anders als bei einem einzelnen Standort mit flacher Struktur, einfach weil die Anzahl der Zwischenebenen, in denen das „Nicht-Abrechnen“ aufrechterhalten werden muss, größer ist.
Eine ehrliche Antwort von Mitarbeitern ist der Rohstoff für den Rest der Inventarisierung. Ohne diesen Rohstoff klassifizieren Sie eine Liste, die Sie selbst schon kannten, und das ist keine Inventarisierung, sondern eine Bestätigung. Mit diesem Rohstoff können Sie weiter zu wie Sie eine KI-Inventarisierung aufbauen auf einer Ebene, die über eine Abteilung oder einen Standort hinausgeht, mit Input aus mehreren Richtungen gleichzeitig.
Der Ton der Frage bestimmt also mit über die Qualität der Antwort. Das ist keine Frage einer geschickteren Formulierung, sondern einer Struktur, in der das Antworten kein Risiko mit sich bringt.
Sobald klar ist, welche Anwendungen tatsächlich im Einsatz sind und für welche Aufgaben, verschiebt sich die Frage von „was nutzen wir“ zu „was bedeutet das für die Arbeit selbst“. Das ist eine andere Frage, mit einem anderen Instrument. Der Arbeitsscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, basierend auf den Aufgaben, die Sie bereits über diese Inventarisierung erfasst haben. Während der Responsible AI Scan die Nutzung und die Risiken abbildet, betrachtet der Arbeitsscan den Arbeitsinhalt: welche Aufgaben sich für eine Übernahme eignen, und in welchem Maß. Diese beiden Fragen liegen nah beieinander, sind aber nicht austauschbar.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.