Ein Compliance Officer verliert nicht bei der ersten Frage zu AI. Er verliert bei der zweiten: wenn sich zeigt, dass die Antwort auf die erste Frage unvollständig war. "Welche AI-Systeme setzt Ihre Organisation ein" lässt sich mit einer Liste aus dem IT-Portfolio beantworten. Die Frage, die danach kommt — "ist das die vollständige Liste" — ist die Frage, an der die meisten Compliance-Dossiers scheitern.
Nicht: welche AI-Tools hat die Organisation angeschafft. Sondern: welche AI-Systeme werden tatsächlich genutzt, von wem, für welche Entscheidungen, und auf Basis welcher Risikoeinschätzung. Das sind vier Fragen, nicht eine. Die erste ist eine Einkaufsliste. Die übrigen drei erfordern, dass Menschen erzählen, was sie tun, einschließlich dessen, was sie nicht haben genehmigen lassen. Ein Compliance Officer, der nur die Einkaufsliste hat, hat ein falsches Gefühl von Abdeckung — und das ist riskanter als keine Abdeckung, weil es als vollständig gemeldet wird.
Mitarbeitende, die ein Sprach- oder Analysetool nutzen, ohne dieses über die IT einzukaufen, hinterlassen davon keine Spur in einem Assetregister. Sie hinterlassen jedoch eine Spur in dem, was sie produzieren: Berichte, Kundenkommunikation, Beratungen. Die Lücke zwischen dem, was registriert ist, und dem, was genutzt wird, ist meist kein absichtlicher Verstoß. Sie ist das Ergebnis einer Organisation, die schneller ein Tool findet, als einen Genehmigungsprozess durchläuft. Compliance kann diese Lücke nicht mit einem strengeren Verbot schließen — das verschiebt die Nutzung nur weiter aus dem Sichtfeld. Die Lücke schließt man, indem man fragt, ohne dass auf die Antwort eine Sanktion steht. Wer eine Aufzeichnung in seinem Dossier fürchtet, erzählt nicht, was er nutzt; er erzählt, was er denkt, dass Sie hören wollen.
Ein Risikomanager möchte wissen, wie groß die Exposition ist. Ein Compliance Officer möchte das, plus etwas Zusätzliches: kann ich nachweisen, dass wir den Prozess befolgt haben, auch wenn sich das Ergebnis nachträglich als fragwürdig erweist. Das ist eine andere Art von Beweislast. Es geht nicht nur um die Klassifizierung eines Systems, sondern um die Spur: wer hat dies beurteilt, zu welchem Zeitpunkt, mit welchen Informationen, und wurde diese Beurteilung wiederholt, als sich das System veränderte. AI-Systeme werden ohne Ankündigung aktualisiert; eine Klassifizierung von vor einem halben Jahr sagt wenig über das System von heute aus. Compliance muss also nicht nur ein Ergebnis zeigen können, sondern einen Prozess, der weiterläuft.
"Wir haben eine AI-Richtlinie" ist keine Antwort auf die Frage, ob diese Richtlinie etwas abdeckt. Ein Richtliniendokument, das nie an dem gemessen wurde, was tatsächlich genutzt wird, ist eine Absichtserklärung, keine Sachstandserklärung. Was ein Compliance Officer braucht, ist ein Inventar, das an bestehende Risikokategorien anschließt — dieselbe Einteilung, die bereits für andere operationelle Risiken genutzt wird — sodass AI nicht als separates, exotisches Thema neben dem übrigen Risikorahmen steht, sondern darin.
Der Compliance Officer erarbeitet dies selten allein. Die Frage, welche Systeme als Hochrisiko gelten und welche Beweislast damit einhergeht, berührt, was ein General Counsel über AI-Risiko wissen muss aus Sicht von Haftung und vertraglichen Verpflichtungen. Die Frage, ob die Organisation technisch nachvollziehen kann, welche Systeme laufen, liegt bei was ein CIO über AI-Risiko wissen muss. Und die Frage, ob dieses Thema den Vorstandstisch erreicht, bevor es eskaliert, gehört zu was ein Vorstandsmitglied über AI-Risiko wissen muss. Compliance ist häufig die Partei, die diese drei Linien zusammenführen muss, ohne selbst Eigentümer der Technik oder des Vertrags zu sein.
Der Regelungsinhalt — welche Verpflichtungen genau gelten, pro Risikokategorie, mit welchen Fristen — steht anderswo und ändert sich. Diese Seite beschreibt den Mechanismus: wie Sie wissen, was läuft, wie Sie es klassifizieren, und wie Sie nachweisen, dass der Prozess befolgt wurde. Ein Compliance Officer, der den aktuellen Gesetzestext sucht, findet ihn hier nicht.
Wie viel Schatten-AI eine Organisation hat, hängt von der Branche, der Kultur und davon ab, wie streng frühere Verbote durchgesetzt wurden. Ein strengeres Verbot korreliert oft mit mehr verborgener Nutzung, nicht mit weniger. Dieses Muster ist nicht überall gleich: in dem Bauwesen liegt der Schwerpunkt bei Projektkalkulation und Planung, während es in der Installationsbranche häufiger um Wartungsdiagnostik und Störungsanalyse geht. Die Inventarisierung muss also pro Organisation erfolgen; ein landesweiter Durchschnitt sagt wenig über Ihre eigene Exposition aus.
Der Responsible AI Scan bildet ab, was tatsächlich genutzt wird, klassifiziert dies nach Rolle und Risikoniveau, und liefert ein Governance-Set, das an die bestehende Risikostruktur anschließt — ohne dabei dem vorzugreifen, was anderswo bereits festgelegt ist. Dieser Scan befindet sich im Aufbau. Wer daran Interesse hat, kann sich für die Warteliste anmelden; es wird nichts angeboten, was noch nicht fertig ist.
Wer einmal weiß, welche AI-Systeme im Einsatz sind, stößt oft auf die Folgefrage: was bedeutet das für die Personalbesetzung und die Aufgabenverteilung. Das ist eine andere Rechnung als die Risikoklassifizierung, und die erstellt FTE TO AI mit dem Werkscan, der pro Aufgabe berechnet, welcher Teil der Arbeit von AI übernommen werden kann.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.