Die IT-Abteilung erfasst, was angeschafft, installiert oder autorisiert wurde. Das ist nützliche Information, aber sie beantwortet eine andere Frage als die, die ein Vorstand, CIO oder General Counsel eigentlich stellt. Die IT-Liste zeigt, was genehmigt ist. Die Frage, die zählt, ist, was verwendet wird.
Zwischen diesen beiden liegt Raum. Ein Mitarbeiter, der ein kostenloses KI-Tool im Browser nutzt, ist nirgends registriert. Ein Team, das ein Sprachmodell über eine Browsererweiterung konsultiert, erscheint in keiner Lizenzübersicht. Eine Abteilung, die einen Chatbot in ein Tabellenkalkulations-Makro eingebaut hat, taucht in keinem Asset-Register auf. Nichts davon verstößt per Definition gegen die Regeln. Es ist lediglich unsichtbar für die Liste, auf die Vorstand und Aufsicht sich verlassen.
Die Kluft zwischen der Liste und der Praxis entsteht nicht dadurch, dass jemand nachlässig ist. Sie entsteht, weil KI-Anwendungen leicht zugänglich geworden sind, oft ohne Beschaffungsprozess, ohne Rechnung, ohne IT-Beteiligung. Ein Mitarbeiter, der eine Aufgabe schneller erledigen möchte, sucht eine Lösung und findet sie oft innerhalb weniger Minuten, außerhalb jedes formellen Kanals. Dieses Verhalten ist vorhersehbar, und es führt zu einem realen Problem: Niemand mit Überblick über die Organisation weiß dann noch, welche KI tatsächlich mit welchen Daten arbeitet.
Die IT-Liste ist nicht wertlos. Sie ist der Ausgangspunkt einer Bestandsaufnahme, nicht der Endpunkt. Was Einkaufs- und Lizenzdaten verraten zeigt, dass Rechnungen und Verträge oft mehr offenbaren als das Asset-Register selbst: ein Testabonnement, das weiterlief, eine Lizenz, die von einer Abteilung ohne Rücksprache mit der IT abgeschlossen wurde, eine API-Verbindung, die monatlich abgerechnet wird, ohne dass eine formelle Genehmigung zugrunde liegt. Daneben gibt es IT-Signale, die sich nutzen lassen, um Schatten-KI aufzuspüren: Netzwerkverkehr zu bekannten KI-Domänen, neue Browsererweiterungen, ungewöhnliche Spitzen im Datenverkehr zu externen Diensten. Keine dieser Quellen ist für sich allein vollständig. Zusammen ergeben sie ein Bild, das die offizielle Liste nicht bietet.
Technische Signale zeigen, dass etwas genutzt wird, aber selten warum oder wofür genau. Diesen Kontext erhalten Sie nur, indem Sie die Menschen fragen, die es nutzen. Das funktioniert nur, wenn die Frage nicht als Fahndung gestellt wird. Wer eine Sanktion fürchtet, gibt keine ehrliche Antwort oder gibt gar keine Antwort. Wie Sie es Mitarbeitern fragen, ohne dass es Konsequenzen hat beschreibt, wie diese Frage so gestellt werden kann, dass Menschen tatsächlich erzählen, was sie nutzen und warum, ohne das Gefühl zu haben, sich selbst zu verraten.
Eine Bestandsaufnahme ist mehr als eine Liste von Anwendungen. Pro Anwendung halten Sie fest: wer sie nutzt, für welche Aufgabe, mit welchen Daten, und ob das Ergebnis eine Rolle in einer Entscheidung spielt, die Folgen für jemanden außerhalb der Organisation hat. Diese letzte Frage bestimmt das Risikoniveau und damit, welche Governance-Anforderungen gelten. Was Sie pro Anwendung festhalten müssen beschreibt dieses Format im Detail. Für Organisationen mit mehreren Abteilungen, Standorten oder Tochtergesellschaften kommt eine zusätzliche Schicht hinzu: Dieselbe Anwendung kann in einer Abteilung geringe Auswirkungen haben und in einer anderen eine Entscheidung über Kunden betreffen. Wie Sie eine KI-Bestandsaufnahme bei einer Organisation mit mehreren Teilen aufbauen geht auf diese Größenordnung ein, und darauf, warum die IT-Liste dort noch weiter hinter der Realität zurückbleibt als bei einer einzelnen Abteilung.
Eine Bestandsaufnahme, die aus mehreren Quellen aufgebaut ist — der IT-Liste, Einkaufsdaten, technischen Signalen und Gesprächen mit Mitarbeitern — gibt einem Vorstand etwas, mit dem er verantworten kann, was tatsächlich vorgeht, statt sich auf ein Register zu verlassen, von dem er weiß, dass es unvollständig ist. Das ist keine Garantie, dass alles erfasst ist; unsichtbare Nutzung lässt sich nie vollständig ausschließen. Es ist jedoch eine Grundlage, die nachweislich mit einer klaren Methode aufgebaut wurde, statt einer Liste, die zufällig existiert.
Eine Bestandsaufnahme zeigt, welche KI-Anwendungen es gibt und wer sie nutzt. Sie zeigt nicht, wie viel der zugrunde liegenden Arbeit diese Anwendungen tatsächlich übernehmen und wie viel Spielraum noch besteht, um Aufgaben zu übertragen. Das ist eine andere Frage, mit einem anderen Instrument: Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, ausgehend davon, was diese Aufgabe tatsächlich beinhaltet, statt ausgehend vom Namen der Funktion.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.