Kennisbank

Klassifizieren ist keine einmalige Übung

Eine Klassifizierung einer KI-Anwendung beschreibt eine Situation zu einem bestimmten Zeitpunkt: welches Modell, welche Anwendung, welche Nutzer, welches Risiko. Diese Situation verändert sich. Ein Anbieter passt ein Modell an, ein Team nutzt ein Tool für etwas anderes als das, wofür es angeschafft wurde, ein Anbieter fügt eine Funktion hinzu, ohne dass jemand dafür um Erlaubnis fragt. Die Klassifizierung, die Sie letztes Jahr vorgenommen haben, beschreibt dadurch nicht automatisch noch die Situation von heute.

Die Frage "wie oft" hat keine feste Antwort, die für jede Organisation gilt. Es hängt davon ab, wie viele KI-Anwendungen es gibt, wie schnell sich diese verändern, wie divers die Teams sind, die damit arbeiten, und wie streng die Aufsicht über die Branche ist, in der Sie tätig sind. Ein fester jährlicher Zeitpunkt ist ein Ausgangspunkt, keine Garantie, dass Sie zwischendurch nichts übersehen.

Was ein festes Intervall nicht löst

Eine jährliche oder halbjährliche Neubewertung funktioniert gut für Anwendungen, die Sie bereits kennen und die über einen formellen Prozess eingeführt wurden. Für Anwendungen, die niemand angemeldet hat, funktioniert ein festes Intervall nicht, schlicht weil es nichts gibt, das an einem festen Datum neu bewertet werden könnte. Was tun Sie mit Mitarbeitern, die ein Tool nutzen, das niemand genehmigt hat beschreibt, warum sich diese Frage nicht mit einem wiederkehrenden Termin im Kalender löst, sondern mit einer anderen Art, der Organisation Fragen zu stellen.

Außerdem verändert sich Risiko nicht nur durch das, was eine Anwendung tut, sondern auch durch das, womit sie gefüttert wird. Ein Chatfenster, das heute zum Zusammenfassen öffentlicher Texte genutzt wird, kann morgen zum Zusammenfassen eines Vertrags genutzt werden. Was tun Sie mit Unternehmensdaten in einem kostenlosen Chatfenster zeigt, dass sich das Risikoniveau desselben Tools verschieben kann, ohne dass sich das Tool selbst verändert.

Signale, die unabhängig vom Datum nach einer Neubewertung fragen

Neben einem festen Zeitpunkt gibt es Ereignisse, die eine zwischenzeitliche Neubewertung erfordern. Eine Änderung in der Funktion einer Anwendung, eine Erweiterung der Nutzergruppe, ein Vorfall oder Beinahe-Vorfall, eine Änderung der Bedingungen des Anbieters, oder ein Signal eines Mitarbeiters, dass etwas anders genutzt wird als vorgesehen. Diese Signale sind nicht alle gleich schwerwiegend, und nicht jede Organisation wird sie gleich schnell bemerken.

Die Frage, wer auf diese Signale reagiert und wer die Eigentümerschaft über die Neubewertung selbst trägt, ist eine eigene Frage. Wer ist verantwortlich, wenn eine KI-Anwendung einen Fehler macht beschreibt, dass Verantwortung oft erst in dem Moment festgelegt wird, in dem etwas schiefgeht, während diese Frage eigentlich bereits bei der ersten Klassifizierung hätte beantwortet werden müssen.

Warum ein zweiter Prozess oft schneller wieder verschwindet als der bereits vorhandene Prozess

Ein Rhythmus für die Neubewertung, der neben die bestehenden Risikoprozesse gestellt wird, ohne darin integriert zu werden, verliert meist innerhalb eines Jahres an Priorität. Es ist ein zusätzlicher Schritt, den niemand verlangt, bis etwas schiefgeht, und genau dadurch bleibt er liegen. Warum ein zweiter Prozess neben dem bestehenden ignoriert wird erklärt, warum Neubewertung effektiver funktioniert, wenn sie in das bestehende Risikomanagement eingebettet ist, statt als eigenständiger Prozess, der um Aufmerksamkeit mit dem Rest der Organisation konkurriert.

Was die Methode nicht kann

Eine Klassifizierungsmethode kann eine Struktur bieten, um KI-Anwendungen konsistent nach Rolle und Risikoniveau zu bewerten, und diese Struktur kann wiederholbar angewendet werden. Was die Methode nicht kann, ist garantieren, dass Sie alles sehen. Eine Klassifizierung ist nur so gut wie die Information, die ihr zugrunde liegt, und diese Information kommt teilweise von Menschen, die einen Grund haben können, etwas nicht zu melden. Ein Mitarbeiter, der ein nicht genehmigtes Tool nutzt, meldet das nicht von selbst, wenn die Erwartung besteht, dass eine Sanktion folgt.

Die Methode kann auch nicht vorhersagen, wann ein Anbieter ein Modell ändert, oder wann eine Anwendung, die heute geringes Risiko darstellt, morgen anders eingesetzt wird. Neubewertung bleibt daher eine Frage der Wiederholung und der Organisation von Offenheit, nicht eines Systems, das einmalig eingerichtet wird und danach selbstständig aktuell bleibt. Wie Sie dieses Register pflegen, ohne dass es nach ein paar Monaten wieder veraltet ist, wird beschrieben in wie halten Sie ein KI-Register aktuell, wo die Unterscheidung zwischen einer einmaligen Inventarisierung und einem laufenden Prozess im Mittelpunkt steht.

Dazu gehört auch die Frage, was Aufsicht über KI in der Praxis zwischen den Neubewertungszeitpunkten bedeutet: wer schaut mit, in welcher Häufigkeit, und auf Grundlage welcher Signale. Was ist menschliche Aufsicht in der Praxis macht diesen Unterschied zwischen Aufsicht als formalem Häkchen und Aufsicht als etwas, das kontinuierlich mit der Nutzung mitläuft.

Die nächste Frage, sobald die Klassifizierung steht

Eine Klassifizierung sagt Ihnen, welche Anwendungen es gibt, welche Rolle sie haben und welches Risikoniveau dazu passt. Diese Klassifizierung sagt Ihnen nicht, wie viel der Arbeit tatsächlich von KI übernommen wird und wie viel Spielraum pro Aufgabe noch übrig ist. Wer diese Frage beantworten möchte, kann sich nicht mit einer Risikoinventarisierung begnügen; das erfordert einen Blick auf die Arbeit selbst, Aufgabe für Aufgabe. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Anteil davon von KI übernommen werden kann, als Ergänzung zu dem Bild, das eine Klassifizierung liefert.