Menschliche Aufsicht wird oft als Rolle festgelegt: jemand, der verantwortlich ist, ein Name in einem Register, ein angekreuztes Kästchen. Das ist der Ausgangspunkt, nicht der Mechanismus selbst. Aufsicht entsteht erst, wenn es einen Moment gibt, in dem ein Mensch das Ergebnis einer KI-Anwendung sehen, verstehen und korrigieren kann, bevor dieses Ergebnis irgendwo ankommt. Ohne diesen Moment ist der Name unter der Klassifizierung eine Formalität.
Ob Aufsicht in der Praxis funktioniert, hängt von mehreren Dingen ab, die nicht von selbst zusammenkommen. Es muss jemanden geben, der die Befugnis hat, ein Ergebnis zu stoppen, nicht nur die Aufgabe, es sich anzusehen. Es muss Zeit vorhanden sein, um zu prüfen, was bedeutet, dass der Prozess nicht so gestaltet ist, dass das KI-Ergebnis bereits verarbeitet ist, bevor die Kontrolle stattfindet. Und es muss ausreichendes Verständnis dafür vorhanden sein, was die Anwendung tut, um eine Abweichung zu erkennen. Ein Kontrolleur, der das Ergebnis nicht beurteilen kann, übt keine Aufsicht aus, auch nicht, wenn die Rolle formell zugewiesen ist.
Das hängt zusammen mit was KI-Kompetenz für Ihre Mitarbeiter bedeutet: Aufsicht ohne Verständnis der zugrunde liegenden Anwendung ist Aufsicht auf dem Papier.
Eine Governance-Struktur kann festlegen, wer wofür verantwortlich ist, welches Risikoniveau eine Anwendung hat und welche Schritte damit einhergehen. Was die Struktur nicht tut, ist garantieren, dass diese Person das Ergebnis auch tatsächlich in dem Moment beurteilt, in dem es zählt. Das ist eine organisatorische Tatsache, keine technische. Eine Klassifizierung kann korrekt sein, und die Aufsicht kann trotzdem leer sein, weil die Person, die auf dem Papier verantwortlich ist, nicht die Zeit, den Zugang oder das Wissen hat, um das Ergebnis zu prüfen.
Das Inventar und die Klassifizierung legen offen, wo dieses Risiko am größten ist: bei Anwendungen mit höherem Risikoniveau oder bei Anwendungen, die außerhalb des regulären IT-Prozesses eingeführt wurden. Letztere Gruppe ist oft am schwierigsten, denn wer Aufsicht über etwas organisieren möchte, das nicht in der Verwaltung erfasst ist, muss es erst finden. Das betrifft die Frage was Sie mit Mitarbeitern tun, die ein Tool nutzen, das niemand genehmigt hat: Aufsicht über Schatten-KI beginnt damit, anzuerkennen, dass diese Anwendung existiert, nicht mit einer Sanktion für ihre Nutzung.
Eine Anwendung, die heute unter Aufsicht steht, kann sich morgen verändert haben. Ein Modell wird aktualisiert, die Eingabedaten verschieben sich, oder die Nutzung innerhalb der Organisation wächst von einer einfachen Aufgabe zu etwas mit mehr Gewicht. Aufsicht, die auf die Situation von vor einem Jahr ausgerichtet ist, passt nicht mehr zu dem, was jetzt geschieht. Das ist einer der Gründe, warum Klassifizierung keine einmalige Übung ist; wie oft das erneut geschehen muss, hängt vom Risikoniveau und dem Ausmaß ab, in dem die Anwendung sich verändert, wie ausgeführt unter wie oft Sie neu klassifizieren müssen.
Das bedeutet auch, dass ein Register nur dann Wert hat, wenn es gepflegt wird. Ein Inventar, das beim ersten Scan erstellt und danach nicht mehr aktualisiert wird, liefert ein zunehmend ungenaueres Bild davon, wo Aufsicht nötig ist. Die Frage, wie eine Organisation dieses Register aktuell hält, steht getrennt von der Frage, wie das Register aufgebaut ist, und verdient eigene Aufmerksamkeit: siehe wie Sie ein KI-Register aktuell halten.
Ein Vorstand, der aufgefordert wird nachzuweisen, dass Aufsicht über KI-Nutzung besteht, kann sich nicht mit einer Rollenliste begnügen. Nachweisbarkeit erfordert eine Spur: wer hat welches Ergebnis zu welchem Zeitpunkt mit welcher Befugnis zur Korrektur betrachtet. Diese Spur ist auch relevant, wenn etwas schiefgeht. Die Frage, wer verantwortlich ist, wenn eine KI-Anwendung einen Fehler macht, wird nicht allein durch die Klassifizierung beantwortet, sondern durch die nachweisbare Aufsicht, die darauf folgte. Diese beiden Dinge werden leicht verwechselt, obwohl die Trennung relevant ist; siehe wer verantwortlich ist, wenn eine KI-Anwendung einen Fehler macht.
Aufsicht betrifft auch, was in eine Anwendung eingegeben wird. Ein Mitarbeiter, der Unternehmensdaten in ein kostenloses Chatfenster einfügt, stellt diese Daten außerhalb jeder Aufsicht, die die Organisation eingerichtet hat, unabhängig davon, wie gut die Aufsicht über die genehmigten Anwendungen organisiert ist. Das ist ein eigenständiger Aufmerksamkeitsbereich innerhalb der breiteren Fragestellung, ausgeführt unter was Sie mit Unternehmensdaten in einem kostenlosen Chatfenster tun.
Diese Seite beschreibt, wie Aufsicht als Mechanismus funktioniert: wer schaut, wann, mit welcher Befugnis, und wie das nachweisbar gemacht wird. Die inhaltlichen Normen, die bestimmen, wann Aufsicht verpflichtend ist, wie streng diese Aufsicht je Risikokategorie sein muss und innerhalb welcher Fristen das eingerichtet sein muss, stehen nicht hier. Dieser Regelungsinhalt ändert sich und wird an anderer Stelle aktuell gehalten.
Aufsicht über eine Aufgabe zu organisieren, ist nur sinnvoll, wenn klar ist, was diese Aufgabe genau umfasst und welcher Teil davon von einer KI-Anwendung erledigt wird. Das ist eine andere Frage als die, welche Rolle oder welches Risikoniveau eine Anwendung hat; es geht um die Aufgabe selbst, aufgeteilt in die Schritte, die eine KI-Anwendung übernehmen kann, und die Schritte, die dafür nicht in Frage kommen. Der Werkscan von FTE TO AI berechnet das pro Aufgabe, sodass sichtbar wird, welcher Teil der Arbeit übernommen werden kann und welcher Teil im Bereich der menschlichen Aufsicht bleiben muss.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.