Kennisbank

Das Tool, das niemand genehmigte, aber alle nutzen

Ein Mitarbeiter fügt einen Textabschnitt in ein kostenloses Chatfenster ein, weil das schneller geht als das interne System. Ein Team schließt ein Abonnement für ein KI-Tool ab, weil der Antrag für etwas Offizielles Wochen dauern würde. Ein Anbieter fügt Software, die schon jahrelang im Einsatz ist, KI-Funktionalität hinzu, ohne dass darüber ein Gespräch stattgefunden hat. Niemand dieser Personen versucht, etwas zu verbergen. Sie versuchen, ihre Arbeit zu erledigen.

Das ist der Kern von Schatten-KI: Sie entsteht nicht aus Unwillen, sondern aus einer Lücke zwischen dem, was Menschen brauchen, und dem, was der formale Prozess liefert. Solange diese Lücke besteht, entsteht immer wieder neue Schatten-KI, unabhängig davon, wie viele Richtlinien geschrieben werden.

Warum die IT-Liste nicht stimmt

Die meisten Organisationen haben eine Übersicht genehmigter Software. Diese Übersicht ist ein Ausgangspunkt, keine Widerspiegelung der Realität. Was Menschen tatsächlich nutzen, liegt dem fast immer voraus: die Frage, wie Sie Unternehmensdaten in einem kostenlosen Chatfenster verhindern veranschaulicht, wie einfach ein Tool außerhalb jeder Sichtbarkeit geraten kann. Dasselbe gilt für eine Abteilung, die auf eigene Initiative ein Abonnement abschließt, weil der reguläre Weg zu langsam wirkt, oder für eine Browsererweiterung, die Zugriff auf die E-Mail erhält, ohne dass dafür eine gesonderte Genehmigung existiert. Keine dieser Situationen steht auf einer IT-Liste. Sie existieren trotzdem.

Warum es nicht von selbst verschwindet

Es gibt eine Tendenz, Schatten-KI als Durchsetzungsproblem zu behandeln: verbieten, blockieren, sanktionieren. Das wirkt kontraproduktiv. Wer weiß, dass eine ehrliche Antwort zu einem Problem führt, gibt keine ehrliche Antwort mehr. Das Tool verschwindet nicht, es wird nur unsichtbarer. Genau das Gegenteil von dem, was eine Organisation braucht.

Ein zweiter Grund, warum sich das nicht von selbst löst: Bestehende Governance ist oft für Software gebaut, die man kauft und installiert, nicht für einen Dienst, den jemand in einem Browser öffnet und morgen wieder verlässt. Ein Testaufbau, der einmal als vorübergehend gedacht war, zeigt, wie etwas Kleines, ohne einen klaren Bewertungsmoment, jahrelang weiterlaufen kann, ohne dass sich jemand als Eigentümer fühlt. Ohne einen Prozess, der diese Art von Nutzung strukturell bemerkt, bleibt sie unter dem Radar, wie gut die Absichten auch sein mögen.

Was tatsächlich funktioniert: Fragen ohne Abrechnung

Die einzige Möglichkeit zu erfahren, was tatsächlich läuft, ist zu fragen. Nicht als Kontrolle, sondern als Bestandsaufnahme. Mitarbeiter, die wissen, dass eine ehrliche Antwort nicht zu einem Gespräch mit HR führt, geben diese Antwort auch. Das erfordert einen Ton und einen Prozess, die vorab klarmachen: Es geht darum, Überblick zu gewinnen, nicht darum, jemanden zur Rechenschaft zu ziehen.

Dazu gehört auch Aufmerksamkeit für die Art, wie neue Prozesse neben bestehende gestellt werden. Ein zweiter Prozess, der neben den bestehenden gelegt wird, ohne dass der erste angepasst oder zurückgezogen wird, wird oft ignoriert, schlicht weil Menschen bei ihrer Gewohnheit bleiben. Eine Bestandsaufnahme, die als zusätzliche Pflicht auf die Arbeit aufgesetzt wird, erfährt dieselbe Behandlung.

Von der Bestandsaufnahme zur Klassifizierung

Sobald klar ist, was tatsächlich genutzt wird, folgt die nächste Frage: Was macht dieses Tool, und welches Risiko gehört dazu? Ein Tool, das Text für den internen Gebrauch zusammenfasst, verlangt etwas anderes als ein Tool, das über Kundenannahme oder Personalbeurteilung mitentscheidet. Diese Klassifizierung nach Rolle und Risikograd ist es, was eine Bestandsaufnahme in etwas Nutzbares verwandelt: eine Grundlage, auf der Vorstand, CIO oder General Counsel erklären kann, was läuft und warum das zu verantworten ist.

Diese Governance-Ebene schließt an die Risikostruktur an, die eine Organisation bereits hat, nicht an einen neuen Rahmen daneben. Der Inhalt der Regeln, denen KI-Anwendungen entsprechen müssen, ändert sich und wird an anderer Stelle aktuell gehalten; was hier zählt, ist, dass die Organisation eine funktionierende Methode hat, um zu wissen, was läuft, wer dafür verantwortlich ist, und wie das gegenüber Vorstand oder Aufsichtsbehörde nachweisbar gemacht wird.

Die nächste Frage: Was lässt sich übernehmen

Sobald klar ist, welche KI tatsächlich genutzt wird und mit welchem Risiko das einhergeht, entsteht ganz natürlich eine andere Frage: Welchen Teil der Arbeit könnte eine KI-Anwendung eigentlich übernehmen, und welchen Teil nicht. Das ist eine andere Frage als die nach Genehmigung und Aufsicht, aber eine, die logisch daraus folgt. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, basierend darauf, was eine Funktion tatsächlich beinhaltet. Wo der Responsible AI Scan Ordnung in das bringt, was bereits läuft, zeigt der Werkscan, was noch zu gewinnen ist.