Ein Team möchte schneller arbeiten und setzt ein KI-Tool ein, meist um etwas Konkretes zu testen: eine Zusammenfassung, einen ersten Entwurf, eine Klassifizierung. Es gibt kein Genehmigungsverfahren, weil es "nur ein Test" ist. Der Test funktioniert, oder funktioniert gut genug, und verschwindet im täglichen Prozess, ohne dass jemals ein Beschluss gefasst wurde, ihn zu behalten. Es gab keinen Moment, in dem jemand bewusst entschied: Dies nehmen wir in unsere KI-Inventarisierung auf, dafür gibt es einen Eigentümer, dies fällt unter jenes Risikoniveau. Es gab nur einen Moment des Anfangens, und dieser Moment schreibt sich fest in eine Arbeitsweise, die niemand mehr angerührt hat.
Einen Testaufbau abzuschalten erfordert einen Beschluss. Weitermachen erfordert nichts. Solange niemand einen Vorfall meldet oder eine externe Partei nach einem Kontrollnachweis fragt, gibt es keinen Anlass, auf etwas zurückzukommen, das längst zur normalen Arbeit geworden ist. Die Personen, die das Tool nutzen, haben kein Interesse daran, es zur Aufmerksamkeit zu bringen: Es funktioniert, es spart Zeit, und eine Meldung fühlt sich an wie das Risiko, dass es einem wieder weggenommen wird. So bleibt eine vorübergehende Lösung strukturell, nicht weil niemand es weiß, sondern weil niemand die Frage stellt, die zum Abschalten führen würde.
Es liegt nahe zu denken, dass eine Übersicht der genehmigten Software dies sichtbar macht. Diese Übersicht zeigt, was angeschafft wurde, nicht, was genutzt wird. Ein Testaufbau läuft oft außerhalb dieses Kanals: ein kostenloses Konto, ein Browser-Plugin, ein separates Abonnement auf einer Teamkarte. Dasselbe Muster zeigt sich bei einer Browsererweiterung mit Zugriff auf Ihre E-Mail, bei einer Abteilung mit einem eigenen Abonnement außerhalb der zentralen Beschaffung, und bei Unternehmensdaten, die in ein kostenloses Chatfenster eingefügt werden, ohne dass ein Vertrag mit Verarbeitungsbedingungen dahinter steht. Keine dieser Situationen steht auf einer IT-Liste, denn keine von ihnen wurde je als Projekt angemeldet.
Die einzige Möglichkeit zu erfahren, was wirklich läuft, ist das Fragen. Nicht als nachträgliche Kontrolle, sondern als Öffnung: Was nutzen Sie, wofür, und seit wann. Wer diese Frage mit der Drohung von Sanktionen im Hintergrund stellt, erhält keine oder eine unvollständige Antwort. Mitarbeiter, die ein Tool nutzen, das niemand genehmigt hat, haben bei Ehrlichkeit etwas zu verlieren und nichts zu gewinnen. Genau diese Spannung kommt zur Sprache bei Mitarbeitern, die ein Tool nutzen, das niemand genehmigt hat: ohne eine Einladung, auf die sicher geantwortet werden kann, bleibt der Testaufbau im Untergrund, und er verschwindet nicht, er wird nur stiller.
Eine Inventarisierung ohne Konsequenzen für den Meldenden ist der erste Schritt, nicht die Schlussfolgerung. Nach dem Sichtbarmachen folgt die Klassifizierung: Was ist das, welche Rolle spielt es in einem Prozess, und welches Risikoniveau passt dazu. Ein Zusammenfassungstool für interne Notizen erfordert ein anderes Regime als ein Tool, das bei der Kundenakzeptanz oder der Personalbeurteilung mitentscheidet. Diese Klassifizierung sollte an die bereits bestehende Risikostruktur anknüpfen, nicht an einen neuen Rahmen daneben. Ein zweiter, informeller Prozess, der neben dem bestehenden Prozess ignoriert wird, ist genau der Grund, warum ein zweiter Prozess neben dem bestehenden ignoriert wird ein erkennbares Muster ist: Menschen folgen dem Weg mit weniger Widerstand, und dieser Weg wird erst sichtbar, wenn jemand danach fragt.
Danach kommt die Frage, wer noch hinschaut. Ein Testaufbau, der in die tägliche Arbeit entlassen wurde, hat meist keinen Eigentümer mehr, der Ergebnisse beurteilt, bevor sie genutzt werden. Hier wird was menschliche Aufsicht in der Praxis bedeutet relevant: nicht als abstraktes Prinzip, sondern als konkrete Frage, wer die Ausgabe liest, bevor sie einen Kunden, eine Akte oder einen Beschluss betrifft.
Ein Vorstand, der hierzu befragt wird — von einer Aufsichtsbehörde, einem Prüfer, einem Aufsichtsrat — hat zwei Möglichkeiten: zu sagen, dass die Übersicht vollständig ist, oder zu sagen, dass der Prozess existiert, um sie vollständig zu machen und zu halten. Die zweite Möglichkeit ist ehrlicher und, auf lange Sicht, stärker, weil eine Organisation, die aktiv inventarisiert, etwas Nachweisbares hat, auch wenn die Inventarisierung noch nicht abgeschlossen ist. Der Punkt ist nicht, dass nie wieder ein nicht genehmigter Testaufbau entsteht. Der Punkt ist, dass es einen Mechanismus gibt, der ihn findet, bevor ein Vorfall das für Sie tut.
Sobald sichtbar ist, welche KI ungeplant entstanden ist, entsteht oft eine andere Frage: Wenn dieses Team dies bereits tat, ohne dass jemand es organisierte, was würde dann passieren, wenn wir es tatsächlich organisieren? Das ist eine andere Frage als Governance, und sie gehört zum Arbeitsscan von FTE TO AI, der pro Aufgabe berechnet, welcher Teil der Arbeit vernünftigerweise von KI übernommen werden kann. Wo diese Seite beschreibt, wie Sie Kontrolle über das gewinnen, was bereits läuft, beschreibt dieser Scan, was mit demselben nüchternen Blick auf Aufgaben und Risiken noch aufgebaut werden kann.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.