Viele Governance-Initiativen beginnen mit einem neuen Prozess: einem Formular, einem Genehmigungsschritt, einem Gremium, das den KI-Einsatz beurteilen soll, bevor er startet. Die Annahme ist, dass Mitarbeitende diesen Prozess befolgen werden, weil er existiert. In der Praxis geschieht das selten. Wer eine Aufgabe schneller mit einem selbst gefundenen Tool erledigen kann, fragt kein Gremium um Erlaubnis, dessen Agenda er nicht kennt und deren Durchlaufzeit er nicht einschätzen kann. Er nutzt das Tool und schweigt darüber.
Das ist kein Unwille. Es ist eine rationale Reaktion auf einen Prozess, der neben der Arbeit steht statt in ihr. Ein zweiter Prozess kostet Zeit, bringt Unsicherheit über das Ergebnis und bietet keinen sichtbaren Vorteil für denjenigen, der ihn befolgt. Die Wahrscheinlichkeit, dass er ignoriert wird, ist dann größer als die Wahrscheinlichkeit, dass er befolgt wird.
Die Folge ist nicht, dass keine KI genutzt wird. Die Folge ist, dass KI außerhalb des Blickfelds der Verantwortlichen genutzt wird. Die IT-Liste der genehmigten Tools bleibt dann eine Beschreibung dessen, was einmal beantragt wurde, nicht dessen, was tatsächlich genutzt wird. Zwischen diesen beiden Listen kann ein erheblicher Unterschied bestehen, und niemand, der nur auf die genehmigte Liste schaut, kann diesen Unterschied erkennen.
Dies berührt unmittelbar die Frage, wer verantwortlich ist, wenn eine KI-Anwendung einen Fehler macht. Eine Führungskraft, die Verantwortlichkeit zuordnen möchte, muss wissen, welches System eine Entscheidung beeinflusst hat. Wurde dieses System nie erfasst, weil das Registrierungsverfahren übersprungen wurde, fehlt genau diese Grundlage in dem Moment, in dem sie benötigt wird.
Die Methode, die wir anwenden, beginnt nicht mit einem Genehmigungsprozess, sondern mit einer Bestandsaufnahme, die fragt statt kontrolliert. Der Unterschied ist in der Form klein und in der Wirkung groß. Ein Mitarbeiter, der gefragt wird, was er nutzt und wofür, ohne dass dies Konsequenzen für ihn selbst hat, hat keinen Grund, die Antwort zu verschweigen. Ein Mitarbeiter, der weiß, dass eine ehrliche Antwort zu einem Verbot oder einer Korrektur führen kann, hat allen Grund, die Antwort anzupassen.
Dies ist ein verwundbarer Punkt der Methode, und wir benennen ihn lieber, als ihn zu verschweigen. Eine Bestandsaufnahme ohne Sanktionen liefert ein ehrlicheres Bild als ein Audit mit Konsequenzen, aber sie bietet keine Garantie, dass jede Nutzung gemeldet wird. Wer ein Tool nutzt, das er selbst für problematisch hält, kann trotzdem schweigen, auch ohne unmittelbare Bedrohung. Die Bestandsaufnahme senkt die Hemmschwelle zum Melden; sie beseitigt diese Hemmschwelle nicht vollständig. Was die Methode aber bietet, ist eine größere Chance auf ein vollständiges Bild als ein Prozess, der bereits vorab Strafe suggeriert.
Ein zweiter Prozess wird ignoriert. Eine Ergänzung eines bestehenden Prozesses hat größere Chancen, Bestand zu haben. Deshalb klassifizieren wir KI-Nutzung nach Rolle und Risikostufe innerhalb der Risikostruktur, die eine Organisation bereits anwendet, statt eine neue Struktur daneben zu setzen. Was als hohes Risiko eingestuft wird, landet an derselben Stelle wie andere hohe Risiken im bestehenden Risikoregister. Das bedeutet auch, dass die Frage, wie oft neu klassifiziert werden muss, keinen neuen Kalender erfordert, sondern an den bestehenden Zyklus der Risikobeurteilung anschließt.
Diese Anbindung löst nicht alles. Ein KI-Register, das einmalig erstellt wurde, veraltet, sobald jemand ein neues Tool einsetzt, ohne dies zu melden. Deshalb ist die Frage, wie ein KI-Register aktuell bleibt, genauso wichtig wie die erste Bestandsaufnahme. Ein Register, das nicht gepflegt wird, ist nach einiger Zeit wieder nur eine Beschreibung der Vergangenheit.
Aufsicht über KI-Nutzung wird oft als technische Frage dargestellt: ein System, das überwacht, ein Dashboard, das meldet. Aber funktionierende Aufsicht beginnt bei Menschen, die verstehen, warum Melden sinnvoll ist, und die wissen, was mit ihrer Antwort geschieht. Das ist eine Frage des Verhaltens, nicht nur der Technik, und sie hängt zusammen mit dem, was menschliche Aufsicht in der Praxis auf der Arbeitsebene bedeutet, und mit dem, was KI-Kompetenz für Mitarbeitende konkret bedeutet. Ohne dieses Verständnis bleibt jeder Prozess, wie gut er auch gestaltet ist, ein Formular, das Menschen ausfüllen, weil es Pflicht ist, nicht weil es etwas bringt.
Dieser Ansatz bietet keine vollständige Sicherheit, dass alle KI-Anwendungen entdeckt werden. Er senkt die Hemmschwelle zum Melden und schließt an bestehende Strukturen an, aber eine Organisation, die erstmals eine Bestandsaufnahme durchführt, muss damit rechnen, dass ein Teil der Nutzung unsichtbar bleibt, wenngleich dieser Teil nach einer sorgfältigen Bestandsaufnahme in der Regel kleiner ist als davor.
Eine Bestandsaufnahme der KI-Nutzung zeigt, was läuft und wer es nutzt, sagt aber noch nichts darüber aus, wie viel der zugrunde liegenden Arbeit tatsächlich von KI übernommen werden kann. Diese Frage geht einen Schritt weiter und wird durch den Werkscan von FTE TO AI beantwortet, der pro Aufgabe berechnet, welcher Anteil der Arbeit übernommen werden kann. Wer einmal weiß, welche Tools in der Organisation genutzt werden, kann mit diesem Scan untersuchen, was diese Nutzung für die Gestaltung der Arbeit selbst bedeutet.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.