Ein Teamleiter sucht eine Lösung für ein wiederkehrendes Problem: zu viel Text, zu wenig Zeit, eine Deadline, die sich nicht verschiebt. Irgendwo findet er ein Tool, das die Arbeit beschleunigt. Das Tool kostet wenig, ist mit einer Kreditkarte oder einem privaten Konto zu bezahlen, und verlangt keine Genehmigung von IT. Innerhalb eines Tages arbeitet die Abteilung damit. Niemand hat etwas falsch gemacht — es gab ein Problem, es gab eine Lösung, und der Weg dazwischen verlief außerhalb jedes Formulars.
Dies ist keine Ausnahme. Es ist das gängige Muster, sobald ein KI-Tool günstiger und zugänglicher ist als das Verfahren, um es zu beantragen. Je schwerer der Beantragungsweg, desto größer die Wahrscheinlichkeit, dass jemand ihn überspringt. Die IT-Liste der genehmigten Anwendungen beschreibt dann nicht, was tatsächlich geschieht, sondern was einmal beantragt wurde.
Ein Abonnement, das funktioniert, wird nicht gekündigt. Die Abteilung, die das Tool nutzt, sieht das gelöste Problem, nicht die entstandene Governance-Lücke. Ohne Anlass meldet sich niemand von selbst, um mitzuteilen, dass außerhalb des Blickfelds von IT oder Risk mit einem Tool gearbeitet wird, das Text, Kundendaten oder interne Dokumente verarbeitet.
Das Muster ähnelt einer Browsererweiterung mit Zugriff auf Ihre E-Mail: Jemand installiert etwas Kleines, es funktioniert, und die Frage, wer da noch mitliest, wird nie gestellt, weil sich nie ein Moment ergibt, in dem diese Frage aufkommt. So entsteht eine Sammlung von Anwendungen, die jede für sich klein und nützlich sind, und die zusammen einen blinden Fleck bilden, der größer ist als jeder Einzelne, der individuell dafür verantwortlich ist.
Die erste Reflexreaktion ist oft: aufspüren, benennen, stoppen lassen. Das wirkt kontraproduktiv. Wer weiß, dass ein eigenes Abonnement zu einer Zurechtweisung führt, meldet es nicht — er nutzt das Tool künftig stiller, vielleicht über ein anderes Konto, vielleicht außerhalb der Bürozeiten. Die Bestandsaufnahme wird dadurch nicht vollständiger, sondern unvollständiger, und das Problem verschiebt sich an eine Stelle, die noch schwerer zu erkennen ist.
Eine Bestandsaufnahme, die funktioniert, beginnt nicht mit der Frage „wer hat das getan“, sondern mit „was läuft hier“. Ohne Konsequenzen erhalten Sie Antwort auf die Frage, welche Tools genutzt werden, für welche Arbeit und mit welchen Daten. Mit Konsequenzen erhalten Sie nur Schweigen, und eine Abteilung, die das nächste Tool noch besser versteckt.
Der erste Schritt ist nicht das Korrigieren, sondern das Sichtbarmachen. Das bedeutet, Fragen an die Menschen zu stellen, die die Arbeit erledigen, nicht nur an die Systeme, die die IT verwaltet. Wie Sie ein KI-Inventar aufbauen beschreibt, wie diese Befragungsrunde aussehen kann: was genutzt wird, für welche Aufgabe, mit welchen Eingaben.
Sobald eine Anwendung erfasst ist, lautet die nächste Frage nicht, ob sie weiter bestehen darf, sondern welche Rolle sie spielt und welches Risikoniveau dazu passt. Ein Tool, das interne Memos zusammenfasst, erfordert etwas anderes als ein Tool, das mit Kundendaten arbeitet. Diese Einstufung bestimmt, was pro Anwendung festgehalten werden muss — nicht als Papierübung, sondern als Grundlage, um später nachweisen zu können, was vorlag und warum das verantwortbar war.
Das Risiko eines losen Abonnements steht nicht für sich allein. Dasselbe Muster von etwas, das ohne Antrag hereinkommt, findet sich bei einem Testaufbau, der nie abgeschaltet wurde und bei einem Lieferanten, der KI in sein Produkt einbaute, ohne dass darüber gesondert gesprochen wurde. Wer eine Abteilung mit einem eigenen Abonnement erfasst, tut gut daran, dieselbe Frage breiter zu stellen — nicht als Jagd auf Regelverstöße, sondern als Aufnahme dessen, was tatsächlich geschieht.
Eine einmalige Bestandsaufnahme hält fest, was jetzt läuft. Ohne Wiederholung ist das ein Foto, das ab dem Tag seiner Aufnahme veraltet. Neue Abteilungen entdecken neue Tools, bestehende Abonnements erhalten neue Funktionen, und der nächste blinde Fleck entsteht auf dieselbe Weise wie der vorherige. Wie Sie dieses Muster erkennen, bevor es sich wiederholt, steht beschrieben bei Mitarbeitenden, die ein Tool nutzen, das niemand genehmigt hat — als Fortsetzung der Bestandsaufnahme, nicht als deren Ersatz.
Ein Abonnement, das eine Abteilung selbst abgeschlossen hat, sagt Ihnen meist etwas über die Arbeit selbst: Es gab eine Aufgabe, die zu viel Zeit kostete, und jemand suchte einen Ausweg. Dieser Ausweg ist nun sichtbar, aber die zugrunde liegende Frage bleibt bestehen — welcher Teil dieser Arbeit sich strukturell an KI übertragen lässt, und unter welchen Voraussetzungen. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, unabhängig davon, welches Tool eine Abteilung dafür auf eigene Initiative bereits gefunden hatte.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.