Die IT-Branche hat eine Position, die keine andere Branche hat: hier wird KI nicht nur genutzt, hier wird sie auch gebaut, integriert und weiterverkauft. Ein Entwickler, der ein Sprachmodell an eine Anwendung koppelt, ein Berater, der eine KI-Funktion in ein Kundenprojekt einbaut, ein Team, das ein Open-Source-Modell feinabstimmt — das sind keine Ausnahmen, das ist die tägliche Arbeit. Das Verhältnis zwischen dem, was die Organisation selbst beschließt, und dem, was ein einzelner Mitarbeiter oder Team selbst hinzufügt, liegt in dieser Branche anders als bei einer Bank oder einem Bauunternehmen. Wo KI in anderen Branchen eine Ergänzung zu bestehenden Prozessen ist, ist KI in der IT-Branche oft Teil des Produkts selbst. Das bedeutet, dass es bei Governance nicht nur um interne Werkzeuge geht, sondern auch darum, was in Software steckt, die an Dritte geliefert wird.
In vielen Branchen ist die IT-Abteilung diejenige, die den Überblick darüber hat, was läuft. In der IT-Branche ist diese Annahme schwächer als anderswo, gerade weil praktisch jeder selbst das technische Wissen hat, um einen API-Key zu beantragen, ein Modell herunterzuladen oder eine KI-Funktion in eine Codebasis einzubauen, ohne dass dem ein Antrag, eine Lizenz oder ein Genehmigungsverfahren vorausgeht. Ein Entwickler, der ein Sprachmodell nutzt, um Code zu generieren, ein Architekt, der einen KI-Agenten in einer Sandbox testet, ein Vertriebsteam, das eine Demo mit einem externen Modell baut — diese Entscheidungen werden auf Projektebene getroffen, nicht auf Vorstandsebene. Eine Bestandsaufnahme, die bei den eingekauften Lizenzen beginnt, verpasst daher einen erheblichen Teil dessen, was tatsächlich geschieht. Die Frage ist nicht, ob es Schatten-KI gibt, sondern wie viel von der Produktionsumgebung inzwischen darauf beruht, ohne dass jemand das festgehalten hat.
Die technischen Mittel, um KI-Nutzung zu erkennen, existieren, aber sie sehen oft nur, was über Firmennetzwerke und verwaltete Geräte läuft. In einer Branche, in der viel Arbeit in eigenen Entwicklungsumgebungen, persönlichen Accounts und Kundenprojekten mit eigener Infrastruktur stattfindet, ist das ein begrenztes Bild. Die vollständigste Information kommt von den Menschen, die die Arbeit machen. Das funktioniert nur, wenn die Frage ohne Sanktion gestellt wird: Jemand, der weiß, dass eine ehrliche Antwort zu einer Sanktion führt, antwortet nicht ehrlich. Wie Sie verhindern, dass Mitarbeiter ein Tool nutzen, das niemand genehmigt hat beginnt daher nicht bei Kontrolle, sondern bei einer Einladung, zu melden, was bereits geschieht. Das ist eine andere Reihenfolge, als die meisten Organisationen gewohnt sind, und in der IT-Branche ist diese Reihenfolge besonders wichtig, weil das Misstrauen zwischen Entwicklungsteams und Compliance-Abteilungen hier oft schon vorhanden ist.
Nicht jede KI-Nutzung in der IT-Branche verlangt die gleiche Aufmerksamkeit. Ein Modell, das interne Dokumentation zusammenfasst, liegt anders als ein Modell, das über Zugriffsrechte mitentscheidet oder das als Teil eines geliefertes Produkts bei einem Kunden läuft. Die Klassifizierung nach Rolle und Risikoniveau ist daher nicht etwas, das einmal geschieht, sondern etwas, das sich mit dem, was ein Team baut, mitbewegen muss. Das ist eine andere Dynamik als in Branchen mit stabileren Prozessen, wie in den Beschreibungen von Governance in der Finanzdienstleistungsbranche oder der Energiebranche zu lesen ist, wo KI-Anwendungen meist innerhalb einer festen operativen Struktur bleiben. In der IT-Branche verändert sich die Anwendung manchmal schneller, als die Klassifizierung mithalten kann, was bedeutet, dass die Governance-Struktur selbst Raum für Neubewertung haben muss, nicht nur für einmalige Genehmigung.
Ein Risiko, das in der IT-Branche eine eigene Färbung bekommt, ist die Nutzung kostenloser oder öffentlicher KI-Tools für Arbeit, die eigentlich vertraulich ist: Quellcode, Kundendaten, interne Architektur, Vertragsbedingungen. Ein Entwickler, der schnell ein Stück Code von einem öffentlichen Modell prüfen lässt, denkt nicht daran, was mit dieser Eingabe geschieht. Wie Sie verhindern, dass Unternehmensdaten in einem kostenlosen Chatfenster landen beschreibt diesen Mechanismus, und er ist in dieser Branche relevanter als in den meisten anderen, weil die Daten, die durchsickern, oft nicht nur personenbezogene Daten sind, sondern auch geistiges Eigentum und Kundencode. Eine Governance-Struktur, die dazu nichts festlegt, lässt das Risiko beim einzelnen Mitarbeiter liegen, während die Exposition bei der Organisation liegt.
Ein Vorstand oder General Counsel in der IT-Branche hat oft schon Risikorahmen für Informationssicherheit, Softwarequalität und Lieferantenmanagement. KI-Governance funktioniert besser, wenn sie an diese bestehende Struktur anschließt, als wenn sie zu einem separaten Vorgang wird, den niemand wiedererkennt. Das gilt hier stärker als in Branchen wie der Immobilienbranche oder dem Bauwesen, wo KI-Governance oft noch auf einem leeren Blatt beginnt. In der IT-Branche ist meist schon eine Risikosprache vorhanden; die Arbeit besteht darin, diese Sprache zu erweitern, ohne sie zu ersetzen.
Der Responsible AI Scan erfasst, welche KI-Anwendungen in der Organisation laufen, einschließlich dessen, was außerhalb der offiziellen Liste entstanden ist, und verknüpft damit eine Klassifizierung nach Rolle und Risikoniveau. Das Ergebnis ist ein Governance-Set, das an die bestehende Struktur anschließt, kein neuer Rahmen daneben. Das Tool, das dies unterstützt, befindet sich noch im Aufbau. Wer dies nutzen möchte, kann sich für die Warteliste anmelden; es wird derzeit noch nichts geliefert außer dieser Anmeldung.
Sobald sichtbar ist, welche KI-Anwendungen es gibt und welches Risikoniveau damit verbunden ist, folgt von selbst die nächste Frage: welcher Teil der Arbeit, die jetzt noch von Menschen erledigt wird, geeignet ist, diesen Anwendungen überlassen zu werden. Das ist eine andere Frage als Governance, und sie wird durch den Arbeitsscan von FTE TO AI beantwortet, der pro Aufgabe berechnet, welcher Teil der Arbeit von KI übernommen werden kann.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.