Kennisbank

Wie verhindern Sie eine Abteilung mit einem eigenen Abonnement?

Ein Marketingteam braucht einen Schreibassistenten. Ein Finanzanalyst möchte ein Tool, das Tabellenblätter zusammenfasst. Keiner von ihnen wartet auf einen Einkaufsprozess, der Monate dauert. Es gibt eine Kreditkarte, eine E-Mail-Adresse, und innerhalb von zehn Minuten gibt es ein Abonnement, das die Abteilung selbst bezahlt, selbst verwaltet und selbst nutzt. Die IT-Abteilung weiß nichts davon. Es gibt keinen Grund, es zu melden, denn es wurde nichts falsch gemacht — es wurde nur ein Problem gelöst.

Wie es entsteht

Die meiste Schatten-KI beginnt nicht mit dem Versuch, Regeln zu umgehen. Sie beginnt mit einer Aufgabe, die schneller erledigt werden muss, einer Deadline, die nicht auf einen Genehmigungsprozess wartet, und einem Tool, das ohne das Eingreifen einer anderen Person zugänglich ist. Die Abteilung, die es abonniert, betrachtet es nicht als eine IT-Entscheidung. Es fühlt sich an wie ein Büromaterial, nicht anders als eine Softwarelizenz, die alle bereits nutzten, bevor es eine zentrale Einkaufsrichtlinie gab. Dass ein Sprachmodell Unternehmensdaten verarbeitet, Kundendaten liest oder Entwurfstext generiert, der nach außen geht, ist für den Nutzer keine Governance-Frage. Es ist einfach Arbeit.

Dieselbe Dynamik zeigt sich bei einem Lieferanten, der KI in sein Produkt einbaute ohne dass darüber ein gesondertes Gespräch geführt wurde: Die Funktionalität erscheint in einem Update, niemand unterzeichnet etwas dafür, und die Organisation nutzt es, bevor jemand festgestellt hat, wer dafür verantwortlich ist.

Warum es nicht von selbst verschwindet

Eine Ankündigung, dass nicht genehmigte Tools nicht erlaubt sind, ändert wenig. Die Abteilung, die das Abonnement hat, erlebt es als eine Lösung, die funktioniert, nicht als ein Risiko, das gemeldet werden muss. Ein Verbot ohne Alternative führt zu zwei Dingen: Das Abonnement geht in den Untergrund, oder das Team hört damit auf und die Arbeit wird wieder langsamer. Keines von beidem ist, was eine Organisation will.

Hinzu kommt, dass ein solches Abonnement selten eine einmalige Entscheidung ist. Es wird Teil des Workflows, verknüpft mit anderen Tools, verwendet in Prozessen, die inzwischen davon abhängig sind. Was als Versuch beginnt, wird zu einem festen Bestandteil davon, wie das Team arbeitet — genau das Muster, das auch bei einem Testaufbau, der nie abgeschaltet wurde sichtbar wird: Niemand hat beschlossen, es dauerhaft zu machen, aber niemand hat auch beschlossen, es zu beenden.

Was Bestrafung nicht bewirkt

Der Reflex, Schatten-KI aufzuspüren und den Nutzer darauf anzusprechen, wirkt kontraproduktiv. Wer weiß, dass eine Meldung zu einer Zurechtweisung führt, meldet nicht. Das Abonnement bleibt bestehen, nur weniger sichtbar. Die Abteilung wird vorsichtiger in dem, was sie berichtet, nicht sorgfältiger in dem, was sie nutzt.

Was hingegen funktioniert, ist Fragen ohne dass daran eine Sanktion hängt. Ein Team, das ein Tool nutzt, um eine Aufgabe zu beschleunigen, hat dafür meist einen Grund, den die Organisation kennen möchte: einen Prozess, der zu langsam ist, eine Aufgabe, die überlastet wird, ein Bedarf, den das bestehende Angebot nicht abdeckt. Sehen Sie, wie dies beschrieben wird bei Mitarbeitern, die ein Tool nutzen, das niemand genehmigt hat — der Ansatzpunkt ist nicht der Verstoß, sondern das Bedürfnis, das dahintersteckt.

Was eine Organisation damit tun kann

Der erste Schritt ist nicht die Durchsetzung, sondern die Bestandsaufnahme: welche Tools gibt es, wer nutzt sie, für welche Aufgabe, und mit welchen Daten. Das geschieht nicht über die IT-Liste — diese erfasst, was genehmigt wurde, nicht was genutzt wird. Es geschieht durch Fragen, auf eine Weise, die keine Drohung enthält.

Sobald ein Überblick über das Vorhandene besteht, kann eine Klassifizierung folgen: welche Rolle spielt das Tool, welches Risikoniveau passt dazu, und welche Form der Aufsicht ist angemessen. Nicht jedes Abonnement, das eine Abteilung selbst abgeschlossen hat, stellt ein Problem dar. Ein Tool, das öffentlichen Text umschreibt, gehört in eine andere Kategorie als ein Tool, das Kundendaten verarbeitet, ohne dass jemand weiß, wohin diese Daten gehen. Die Unterscheidung zwischen diesen Kategorien ist genau das, worum es bei menschlicher Aufsicht in der Praxis geht: Nicht jede Nutzung erfordert das gleiche Maß an Kontrolle, aber jede Nutzung erfordert, dass man weiß, dass sie existiert.

Danach folgt eine Governance-Struktur, die an das Bestehende anknüpft — kein neuer Prozess neben dem bestehenden Risikorahmen, sondern eine Erweiterung davon. Eine Organisation, die KI-Risiko getrennt von ihrem übrigen Risikomanagement behandelt, läuft Gefahr, dass das zweite System ignoriert wird, wie bei einem zweiten Prozess neben dem bestehenden, der ignoriert wird nachzulesen ist. Der Ansatz, der bestehen bleibt, ist der, der an das anknüpft, was die Organisation bereits tut, um Risiko zu beherrschen.

Die Frage, die bleibt

Ein Abonnement, das eine Abteilung selbst abgeschlossen hat, ist meist ein Signal, dass etwas schneller gehen muss, als es der derzeitige Prozess zulässt. Diese Frage — welcher Teil der Arbeit sich beschleunigen lässt, und wo das strukturiert geschehen kann statt unbemerkt — ist genau das, worauf der Werkscan von FTE TO AI eine Antwort gibt. Der Werkscan berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, sodass der Bedarf, der zu einem Schatten-Abonnement führte, einen Platz innerhalb eines Prozesses erhält, den die Organisation kennt und beherrscht.