Die meisten Organisationen haben bereits etwas, das Monitoring genannt wird. Ein Dashboard, ein Berichtsformat, eine periodische Besprechung, in der Risiken erörtert werden. Das Problem ist nicht, dass dies fehlt. Das Problem ist, dass AI-Monitoring als separater Bestandteil daneben gesetzt wird, mit einem eigenen Rhythmus, einem eigenen Eigentümer und einer eigenen Vorlage. Wer bereits drei Prozesse hat, um Risiko zu verfolgen, wird keinen vierten Prozess treu ausfüllen. Es wird eine Pflicht, die einmal pro Quartal hastig erledigt wird, oder gar nicht.
Das ist der Grund, warum Monitoring von AI-Nutzung so oft nichts bringt. Nicht weil die Fragen falsch sind, sondern weil der Prozess selbst ein Fremdkörper bleibt innerhalb einer Organisation, die bereits Prozesse für Risiko, Compliance und interne Kontrolle hat.
Monitoring, das etwas bringt, beginnt nicht mit einem Format, sondern mit einer Frage: Was verändert sich, und wer merkt das zuerst? Für AI-Systeme bedeutet dies drei Ebenen.
Die erste Ebene ist die Nutzung: Wird ein System noch wie vorgesehen genutzt, oder hat sich die Anwendung verschoben, ohne dass jemand das gemeldet hat? Ein Tool, das als Textkontrolle begann und jetzt genutzt wird, um Konzeptentscheidungen zu formulieren, stellt ein anderes Risiko dar als beim Start festgelegt wurde.
Die zweite Ebene ist die Herkunft: Ist das System noch dasselbe wie zum Zeitpunkt der Klassifizierung? Zugrunde liegende Modelle werden ersetzt, Anbieter ändern ihre Bedingungen, ein einzelnes Tool wird in eine größere Plattform integriert. Jede Änderung kann die damalige Risikoeinschätzung ungültig machen, ohne dass jemand das neu bewertet.
Die dritte Ebene ist das Signal: Gibt es Beschwerden, Fehlermeldungen oder Abweichungen, die darauf hinweisen, dass etwas nicht so funktioniert wie angenommen? Dies ist die Ebene, die am häufigsten fehlt, weil niemand ein Interesse daran hat, ein Problem mit einem System zu melden, das offiziell nicht existiert.
Eine Organisation, die bereits einen Risikozyklus für operationelle Risiken, finanzielle Risiken oder Datenschutz hat, wird keinen neuen Zyklus für AI starten. Das ist kein Unwille; es ist eine Frage der Kapazität. Wer es versucht, sieht zwei Dinge passieren. Entweder läuft das neue Monitoring leer, weil niemand Zeit findet, ein System zu füttern, das niemand verlangt. Oder das neue Monitoring wird von denselben Personen übernommen, die bereits den bestehenden Zyklus betreiben, und dann verschwindet der Unterschied von selbst.
Die Frage ist also nicht, ob ein separater AI-Monitoringprozess entstehen soll. Die Frage ist, wie AI-Signale in den bestehenden Zyklus gelangen, sodass sie in derselben Besprechung, mit demselben Eigentümer und im selben Rhythmus behandelt werden wie andere Risiken. Wie das genau eingerichtet wird, hängt davon ab, wie dieser bestehende Zyklus bereits funktioniert: Manche Organisationen haben einen Quartalsbericht an den Prüfungsausschuss, andere eine monatliche Risikobesprechung auf Geschäftsführungsebene, wieder andere ein kontinuierliches Protokoll, das pro Vorfall aktualisiert wird. Mehr über wie Sie Monitoring in das einbetten, was bereits läuft, statt etwas daneben zu setzen steht auf einer separaten Seite, da dieser Mechanismus je Organisation unterschiedlich ausgestaltet wird.
Was universell hineinpasst, ist eine feste Form, in der der Status von AI-Systemen festgehalten wird: was läuft, in welcher Rolle, mit welchem Risikoniveau, und wann wurde das zuletzt bestätigt. Nicht als eigenständiges AI-Dokument, sondern als Anlage oder fester Bestandteil des bereits bestehenden Berichts. Das kann anschließen an einen Board-Bericht auf einer Seite, der Risiken zusammenfasst, ohne sie zu verschleiern, sodass Monitoring nicht ein separater Informationsstrom wird, sondern eine Zeile in einer Tabelle, die der Vorstand bereits liest.
Diese Form funktioniert nur, wenn die zugrunde liegende Klassifizierung selbst aktuell bleibt, und diese Klassifizierung muss wiederum an die bereits vorhandene Risikostruktur anschließen. Ohne diesen Anschluss bleibt Monitoring eine zweite Sprache neben der ersten, und diese zweite Sprache wird vergessen, sobald der Druck zunimmt. Wie dieser Anschluss aussieht, hängt davon ab, wie Risikostruktur und AI-Klassifizierung zusammenkommen in dem, was eine Organisation bereits nutzt, und lässt sich nicht in allgemeinen Begriffen beschreiben, ohne die bestehende Struktur zu kennen.
Monitoring, das gut funktioniert, signalisiert nicht nur Risiko, sondern auch Verschiebung: Systeme, die anders genutzt werden als vorgesehen, oder Aufgaben, die still übernommen wurden, ohne dass jemand das festgehalten hat. Dieselben Signale sind auch Information darüber, wofür Menschen tatsächlich Zeit aufwenden, und wo AI faktisch bereits Arbeit übernimmt, ohne dass das irgendwo niedergeschrieben ist. Wer diese Frage konkreter fassen möchte, als es eine Risikoklassifizierung zulässt, kann beim Werkscan von FTE TO AI sehen, welcher Anteil der Arbeit pro Aufgabe für AI in Frage kommt, unabhängig davon, ob das bereits geschieht oder noch entschieden werden muss. Dieser Scan rechnet nicht in Risiko, sondern in Aufgaben und Stunden, und schließt damit an das an, was Monitoring signalisiert, ohne es zu erklären.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.