Ein General Counsel wird nicht danach beurteilt, was mit KI schiefgeht. Er wird in dem Moment zur Rechenschaft gezogen, in dem sich zeigt, dass die Organisation nicht nachweisen konnte, dass sie es wusste, oder schlimmer, dass sie es hätte wissen können und nichts unternommen hat. Das ist der Unterschied zwischen einem Vorfall und einem Versäumnis. Das eine widerfährt einer Organisation. Das andere wird ihr zur Last gelegt.
Die juristische Frage — was ist erlaubt, was ist vorgeschrieben, welche Frist gilt — ist wichtig, aber sie kommt nach einer anderen Frage. Diese Frage lautet: Was nutzen wir eigentlich. Nicht was angeschafft wurde, nicht was auf der Lieferantenliste der IT steht, sondern was Menschen in der Praxis mitentscheiden, mitschreiben oder mitbeurteilen lassen. Ohne Antwort auf diese Frage ist jeder juristische Rat ein Rat zu einer Situation, die Sie nicht kennen.
Das macht die Position des General Counsel unbequem. Von Ihnen wird erwartet, Risiken auf Basis eines Inventars zu bewerten, das meist nicht existiert, oder das aus dem besteht, was genehmigt wurde — was per Definition nicht das ist, was jemand ohne Genehmigung zu nutzen begonnen hat.
"Wir brauchen keine KI-Richtlinie, denn wir haben keine KI" ist keine Antwort, die Bestand hat. Es ist eine Annahme, und Annahmen sind genau das, was eine Aufsichtsbehörde, ein Gericht oder ein Journalist nachträglich nicht akzeptiert. Ebenso akzeptieren Sie eine Liste genehmigter Tools nicht als vollständiges Bild: Diese Liste sagt etwas darüber aus, was eingekauft wurde, nichts darüber, was genutzt wird.
Was Sie tatsächlich brauchen, ist eine Unterscheidung zwischen Arten der Nutzung. Ein Sprachmodell, das interne Notizen zusammenfasst, trägt ein anderes Risiko als ein System, das in eine Einstellungsentscheidung oder eine Kreditbeurteilung einfließt. Ohne Klassifizierung nach Rolle und Risikostufe ist jede Diskussion über KI-Risiko eine Diskussion im Allgemeinen, und allgemeine Diskussionen führen nicht zu verteidigbaren Positionen.
Schatten-KI — die Nutzung, die außerhalb jeder Genehmigung entsteht — ist nichts, was eine IT-Abteilung mit einem Netzwerk-Scan entdeckt. Menschen nutzen KI auf ihrem eigenen Laptop, in ihrem Browser, mit ihrem eigenen Account. Diese Nutzung hinterlässt kaum Spuren in einem System, das nicht danach sucht.
Was funktioniert, ist Fragen. Aber nur, wenn die Antwort keine Konsequenzen für den hat, der sie gibt. Jemand, der KI nutzt, um einen Vertragsentwurf vorzubereiten, oder um eine Risikoanalyse zusammenfassen zu lassen, meldet das nicht, wenn die Meldung zu einer Zurechtweisung führen kann. Das Inventar, das Sie brauchen, entsteht nur, wenn Fragen stellen nicht gleichbedeutend ist mit Bestrafung.
Das ist ein heikles Gleichgewicht für eine juristische Funktion. Sie sind gewohnt, Risiko auf Basis dessen zu bewerten, was schiefgehen kann. Hier müssen Sie zunächst dafür sorgen, dass Menschen sich trauen zu erzählen, was sie bereits tun, bevor Sie beurteilen können, ob das ein Risiko darstellt.
Der Kern Ihrer Position ist nicht, jedes Risiko zu verhindern — das ist nicht realistisch und wird auch nicht von Ihnen erwartet. Der Kern ist Nachweisbarkeit: Können Sie zeigen, dass die Organisation wusste, was sie nutzte, beurteilt hatte, welches Risiko damit verbunden war, und eine Struktur hatte, um damit umzugehen. Das ist ein anderer Auftrag als die Beherrschung von Ergebnissen. Es ist die Beherrschung des Prozesses, mit dem Ergebnisse überwacht werden.
Diese Nachweisbarkeit muss sich nicht auf ein neues Regelwerk stützen. Die meisten Organisationen haben bereits eine Risikostruktur — für finanzielles Risiko, operationelles Risiko, Compliance. KI-Risiko sollte darin landen, nicht als separater Prozess daneben stehen, den niemand kennt und niemand pflegt. Ein Governance-Set, das an das Bestehende anschließt, wird genutzt. Eine separate Struktur wird nach dem ersten Quartal vergessen.
Diese Position beschreibt den Mechanismus: inventarisieren, klassifizieren, an bestehende Struktur anschließen, nachweisbar machen. Sie beschreibt nicht, welche Gesetze oder Vorschriften für Ihre Organisation gelten, welche Fristen anzuwenden sind oder welche Verpflichtung zu welchem Zeitpunkt eintritt. Dieser Inhalt ändert sich, wird ergänzt, wird erläutert von denjenigen, die darauf spezialisiert sind. Was hier zählt, ist die Struktur, innerhalb derer dieser Inhalt landen kann, sobald Sie ihn benötigen.
Die Fragen, die Sie stellen, überlappen sich mit dem, was ein Risikomanager über KI-Risiko wissen muss und mit der Position eines Compliance Officers, der KI-Nutzung nachweisen können muss. Auch der Vorstand, der gegenüber dem Aufsichtsrat Rechenschaft trägt, profitiert von demselben Inventar, auf das Sie Ihre eigene Bewertung stützen — es ist dieselbe Faktenbasis, betrachtet aus einer anderen Verantwortung.
Der Responsible AI Scan, der diesen Mechanismus ausführt — inventarisieren, klassifizieren, an die bestehende Risikostruktur anschließen — befindet sich in der Entwicklung. Wer dies jetzt schon benötigt, kann sich für die Warteliste anmelden. Es gibt noch keinen Dienst zu liefern; es gibt eine Richtung, in die dies aufgebaut wird, und das ist diese Richtung.
Sobald klar ist, welche KI im Einsatz ist und welches Risiko damit verbunden ist, folgt eine andere Frage, die außerhalb Ihrer eigenen Verantwortung liegt, aber daran anschließt: Welchen Teil der zugrunde liegenden Arbeit übernimmt diese KI eigentlich. Das ist eine Frage, die nicht Risiko betrifft, sondern die Gestaltung der Arbeit, und sie wird beantwortet durch den Arbeitsscan von FTE TO AI, der pro Aufgabe berechnet, welcher Teil für die Übernahme in Frage kommt.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.