Sie haben eine Liste mit genehmigten KI-Tools. Die Frage ist nicht, ob diese Liste stimmt, sondern ob sie noch etwas bedeutet. Ein Mitarbeiter, der eine Aufgabe mit einem Chatbot beschleunigt, der nicht auf der Liste steht, meldet das nicht als Vorfall. Er meldet es nicht, weil es sich nicht wie ein Vorfall anfühlt. Die Antwort, die Sie nicht akzeptieren, ist also "wir haben eine KI-Richtlinie und eine genehmigte Liste" — denn dieser Satz sagt nichts darüber aus, was außerhalb dieser Liste passiert, und das ist wahrscheinlich der größte Teil.
Als CIO sind Sie derjenige, der erklären muss, warum ein KI-Vorfall nicht früher bekannt war, während der Rest der Organisation davon ausgeht, dass IT den Überblick hat. Dieser Überblick besteht für Systeme, die angeschafft wurden. Er besteht nicht für die Erweiterung, die ein Team selbst installiert hat, die Testversion, die jemand aktiviert hat, oder das Modell, das über ein Kundenservice-Tool mitgekommen ist. Das Risiko für Sie ist nicht, dass KI genutzt wird — das passiert ohnehin — sondern dass Sie als Letzter davon wissen, in dem Moment, in dem es bereits schiefgegangen ist.
Eine Bestandsaufnahme, die stimmt, verändert Ihre Position. Statt auf Vorfälle zu reagieren, die Sie nicht kommen sahen, können Sie vorab aufzeigen, wo die Risiken liegen und warum. Das ist auch die Grundlage für das Gespräch innerhalb der Organisation mit dem General Counsel, der aus einer anderen Perspektive auf dieselbe Schatten-KI blickt, und mit dem Risikomanager, der es in die bestehende Risikostruktur einbetten möchte, anstatt einen separaten Prozess daneben aufzusetzen.
Die IT-Liste erfasst, was angeschafft und genehmigt wurde. Schatten-KI entsteht dort, wo diese beiden Schritte übersprungen werden: Ein Mitarbeiter findet ein Tool, nutzt es, und meldet nichts, weil es nichts zu melden zu geben scheint. Das ist keine Nachlässigkeit — es ist die Folge eines Beschaffungsprozesses, der nicht dafür ausgelegt ist, zu erfassen, was Menschen selbst aufgreifen. Je größer die Organisation und je selbstständiger Teams arbeiten, desto größer kann der Unterschied zwischen der Liste und der Realität sein. Wie klein dieser Unterschied ist, hängt davon ab, wie viel Freiheit Teams haben, selbst Tools zu wählen, und wie sichtbar dieses Verhalten bereits ist — eine Zahl dazu gibt es nicht, nur die Richtung.
Die einzige Möglichkeit zu erfahren, was tatsächlich läuft, ist, die Menschen zu fragen, die es nutzen. Das funktioniert nur, wenn die Antwort für denjenigen, der sie gibt, keine Konsequenz nach sich zieht. Fragen Sie "nutzt du KI-Tools, die nicht genehmigt sind" in einem Ton, der nach einem Beurteilungsgespräch klingt, erhalten Sie die Antwort, die die IT-Liste schon gab: nein. Fragen Sie es losgelöst von Konsequenzen, mit dem Ziel zu verstehen statt zu korrigieren, entsteht ein Bild, das tatsächlich mit der Praxis übereinstimmt. Dieser Unterschied — Fragen ohne Folgen versus Fragen mit Folgen — ist der Unterschied zwischen einer Bestandsaufnahme, die etwas wert ist, und einer Übung, die niemandem etwas verrät.
Eine Liste genutzter Tools ist ein Ausgangspunkt, kein Endpunkt. Nicht jede KI-Anwendung trägt das gleiche Risiko. Ein Tool, das Text für internen Gebrauch umschreibt, liegt anders als ein Tool, das an einer Kundenakzeptanz oder einer Personalbeurteilung mitentscheidet. Die Klassifizierung nach Rolle — was tut das System — und nach Risikostufe — welche Auswirkung hat es, wenn es schiefgeht — ist notwendig, um zu wissen, wohin Sie Ihre Aufmerksamkeit richten müssen. Ohne Klassifizierung sieht in einem Bericht jede KI-Anwendung gleich aus, und genau das ist das Bild, das einen Vorstand nicht mit an Bord holt.
Als CIO haben Sie vermutlich bereits einen Risikorahmen für IT-Systeme, Informationssicherheit und Lieferanten. KI-Governance funktioniert besser, wenn sie an diese Struktur anschließt, als wenn sie zu einem losen Rahmen daneben wird. Genau darauf stoßen auch der Compliance Officer und der KI-Programmleiter: zu viele einzelne KI-Initiativen, die nicht miteinander sprechen, während der Vorstand gerade eine zusammenhängende Antwort auf die Frage erwartet, was los ist und was dagegen getan wird.
Was Schatten-KI bedeutet, unterscheidet sich je nach Branche. Im Bauwesen spielt es sich anders ab als in der Installationsbranche, und es lohnt sich zu sehen, wie KI-Governance im Bauwesen aussieht oder wie das in der Installationsbranche aussieht, bevor Sie annehmen, dass ein einziger Ansatz überall passt.
Der Responsible AI Scan, der dies liefert — Bestandsaufnahme, Klassifizierung, ein Governance-Set, das an Ihre bestehende Struktur anschließt — befindet sich im Aufbau. Wer sich damit schon jetzt befassen möchte, kann sich für die Warteliste anmelden; es gibt noch kein fertiges Produkt anzubieten, und das schreiben wir lieber ehrlich hin, als etwas zu versprechen, das es noch nicht gibt.
Sobald Sie wissen, welche KI genutzt wird und mit welchem Risiko, folgt automatisch die nächste Frage: welcher Teil der Arbeit selbst eine Aufgabe für KI sein könnte, und welcher nicht. Das ist eine andere Frage als Risikomanagement — es geht um Kapazität, nicht um Exposition — und der Werkscan von FTE TO AI rechnet das pro Aufgabe aus, sodass Sie nicht nur wissen, was bereits läuft, sondern auch, wo KI die Arbeit selbst übernehmen könnte.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.