Als Vorstand prüfen Sie nicht selbst, welches KI-Modell welche Output produziert. Sie stellen eine andere Frage: Wenn dies schiefgeht, kann ich dann zeigen, dass wir es wussten, dass wir es geprüft haben, und dass wir etwas unternommen haben. Diese Frage ist eine Führungsfrage, keine technische. Und die Antwort, die Sie nicht akzeptieren, ist eine Liste genehmigter Anwendungen von IT. Nicht weil diese Liste falsch ist, sondern weil sie unvollständig ist. Sie beschreibt, was beantragt wurde, nicht, was tatsächlich genutzt wird.
Das Risiko für einen Vorstand besteht nicht darin, dass ein Mitarbeiter eine Sprach-KI nutzt, um einen Entwurf zu schreiben. Das Risiko besteht darin, dass Sie dazu nichts sagen können, wenn es darauf ankommt: bei einem Vorfall, einer Aufsichtsfrage, einer Haftungsangelegenheit. Nachweisbarkeit ist dann das Einzige, was zählt. Nicht, ob Sie es damals hätten wissen können, sondern ob Sie zeigen können, dass es eine Struktur gab, um es zu wissen. Ein Vorstand, der sagt „darauf hatten wir keinen Einblick“, steht in einer anderen Position als ein Vorstand, der sagt „das fiel in eine Kategorie, die wir bewusst auf diese Weise behandelt haben“. Der Unterschied zwischen diesen beiden Sätzen ist das, was dieser Scan liefert.
Es geht nicht darum, jede Nutzung von KI zu verbieten oder zu verzögern. Der größte Teil dessen, was Mitarbeiter von sich aus zu nutzen begonnen haben, ist funktional und bringt etwas ein. Der Gewinn für einen Vorstand liegt nicht darin, dies zu bremsen, sondern darin, unterscheiden zu können: Dies ist geringes Risiko und kann weiterlaufen, dies betrifft personenbezogene Daten oder Entscheidungen über Menschen und muss anders behandelt werden, dies ist unklar und muss untersucht werden. Ohne diese Unterscheidung behandeln Sie alles gleich — und das ist meist zu streng für die Mehrheit und zu lax für die Ausnahme, die zählt.
Schatten-KI entsteht nicht aus Widerwillen. Sie entsteht, weil ein Mitarbeiter ein Problem hatte und ein Tool fand, das es löste, ohne dass es einen Antragsprozess gab, der schneller war als das Tool selbst. Diese Tools erscheinen nicht auf einer Beschaffungsliste. Sie erscheinen erst, wenn jemand danach fragt — und dann nur, wenn Nachfragen nicht sofort zu einer Sanktion führt. Eine Organisation, die Schatten-KI sichtbar machen will, muss zunächst klarmachen, dass Meldung kein Risiko darstellt. Das ist eine Führungsentscheidung, keine technische.
Der Responsible AI Scan beginnt mit einer Inventarisierung dessen, was tatsächlich genutzt wird, unabhängig davon, was jemals genehmigt wurde. Anschließend wird jede Nutzung nach Rolle klassifiziert — wer nutzt es, wofür — und nach Risikostufe. Diese Klassifizierung führt zu einem Governance-Set: einer Umgangsweise mit jeder Kategorie, die an die Risikostruktur anschließt, die Ihre Organisation bereits hat, statt an einem neuen Rahmenwerk daneben. Der Inhalt der Regeln selbst — welche Verpflichtungen genau gelten, innerhalb welcher Fristen — steht an anderer Stelle; darauf richtet sich dieser Scan nicht. Dieser Scan richtet sich auf den Mechanismus: wissen, was läuft, es einordnen können und zeigen können, dass Sie das getan haben.
Mit einer Klassifizierung nach Rolle und Risikostufe können Sie einer Aufsichtsbehörde, einem Prüfer oder einem Aufsichtsrat eine Struktur zeigen statt eines Versprechens. Sie können angeben, welche Kategorien Aufmerksamkeit benötigen und welche nicht. Sie können darüber berichten, ohne jedes Mal erneut erklären zu müssen, warum Sie etwas nicht wussten. Das ist eine andere Position, als reaktiv zu erklären, warum ein Tool unbemerkt eingedrungen ist.
Die Frage nach KI-Risiko sieht je nach Funktion anders aus. Was ein CIO über KI-Risiko wissen muss betrifft Systeme und Infrastruktur; was ein General Counsel über KI-Risiko wissen muss betrifft Haftung und Beweisführung; was ein Risikomanager über KI-Risiko wissen muss betrifft, wie KI-Risiko in die bestehende Risikotaxonomie passt. Als Vorstand haben Sie mit allen drei zu tun, aber Sie sind nicht derjenige, der die Klassifizierung durchführt — Sie sind derjenige, der sehen muss, dass es geschehen ist.
Der Responsible AI Scan befindet sich im Aufbau. Es gibt derzeit kein Tool, das Sie starten können und aus dem direkt ein Bericht hervorgeht. Wer daran Interesse hat, kann sich auf die Warteliste setzen; es wird nichts angeboten, das noch nicht existiert, und es wird nichts darüber versprochen, wann oder mit welchem Ergebnis.
Bevor Sie feststellen können, ob KI-Nutzung risikobehaftet ist, ist es oft nützlicher zu wissen, was KI in der Arbeit selbst bedeutet: welcher Teil einer Aufgabe übernommen werden kann und welcher nicht. Diese Frage liegt nahe an der Risikofrage, ist ihr aber nicht gleich — eine Aufgabe, die größtenteils von KI übernommen werden kann, ist nicht automatisch riskant, und eine Aufgabe, bei der das nicht der Fall ist, ist nicht automatisch sicher. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, und liefert damit eine Grundlage, auf der die Risikofrage präziser gestellt werden kann als allein auf Basis einer Liste genehmigter Anwendungen.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.