Sie verwalten ein Risikoregister, das rund um Risiken aufgebaut ist, die sich identifizieren, gewichten und zuordnen lassen. Operationelles Risiko, Kreditrisiko, Compliance-Risiko: jedes hat einen Eigentümer, eine Beherrschungsmaßnahme, eine Berichtslinie. KI-Risiko passt nicht von selbst in dieses Muster, weil das erste Problem nicht die Gewichtung ist. Das erste Problem ist, dass Sie nicht wissen, was Sie gewichten. Ein Team, das ein Sprachmodell nutzt, um Konzeptberatungen zu schreiben, eine Abteilung, die ein externes KI-Abonnement außerhalb des IT-Einkaufs abgeschlossen hat, ein Spreadsheet-Makro, das inzwischen zu einem Vorhersagemodell geworden ist: Dies sind keine Randfälle, hier liegt das Risiko, und es steht nirgends.
Ihre Frage ist nicht "ist KI riskant". Ihre Frage ist: Was läuft, wer ist dafür verantwortlich, und auf Basis welcher Information kann ich das gegenüber dem Vorstand und der Aufsichtsbehörde verantworten. Die Antwort, die Sie nicht akzeptieren, ist die Beruhigung ohne Begründung. "Es läuft nichts Besonderes" ist keine Antwort auf eine Risikofrage, es ist das Fehlen einer Antwort. Ein Risikomanager, der das an den Vorstand weitergibt, gibt weiter, dass nicht geschaut wurde, nicht dass nichts vorhanden ist.
Die zweite Antwort, die Sie nicht akzeptieren, ist die Liste aus der IT-Systemverwaltung als vollständiges Bild. Diese Liste zeigt, was beantragt und genehmigt wurde. KI-Nutzung entsteht zu einem großen Teil gerade außerhalb dieses Antrags, weil ein loses Abonnement, eine Browsererweiterung oder eine eingebaute Funktion in bestehender Software nicht als "neues System" erkannt wird. Wer das Risiko kennen will, muss also nicht nur die Systemlandschaft konsultieren, sondern die Menschen, die die Arbeit erledigen, und das erfordert einen anderen Ansatz als ein IT-Audit.
Als Risikomanager kennen Sie das Muster der Unterberichterstattung bei jedem Risikothema, bei dem ein Mitarbeiter bei ehrlicher Antwort etwas zu verlieren hat. KI-Nutzung ist dafür ein scharfes Beispiel: Wenn das Melden eines genutzten Hilfsmittels mit dem Entzug des Zugangs einhergeht, meldet niemand es mehr. Die Bestandsaufnahme, die etwas ergibt, ist die Bestandsaufnahme, die fragt, ohne Konsequenzen an die Antwort zu knüpfen. Das ist eine andere Fähigkeit, als Risikobeherrschung normalerweise erfordert, und es ist der Grund, warum eine Schatten-KI-Bestandsaufnahme nicht als Kontrolle eingerichtet wird, sondern als Erhebung.
Sobald die Nutzung im Bild ist, ist der nächste Schritt nicht die Beurteilung des Anbieters oder des Modells. Es ist die Beurteilung der Rolle, die das System in einem Prozess spielt. Eine KI-Anwendung, die Text umformuliert, trägt ein anderes Risiko als eine Anwendung, die bei einer Entscheidung über einen Kunden, einen Mitarbeiter oder eine Investition mitwiegt. Dieselbe Technologie, in einer anderen Rolle eingesetzt, fällt in eine andere Risikoklasse. Diese Unterscheidung ist genau das, was ein Risikoregister braucht, um KI-Risiko neben die Risiken einordnen zu können, die bereits darin stehen, ohne ein separates, isoliertes KI-Kapitel zu schaffen, das niemand konsultiert.
Ein Risikomanager hat kein Interesse an einem neuen Framework neben dem bestehenden. Das Interesse liegt bei einem Governance-Set, das an die bereits bestehende Risikostruktur anschließt: dieselbe Eigentümerschaftslogik, dieselben Eskalationspfade, denselben Berichtszyklus an den Vorstand. KI-Risiko, das als eigenständiges Thema behandelt wird, verschwindet zwischen den regulären Berichten. KI-Risiko, das in die bestehende Risikotaxonomie eingebettet wird, bleibt sichtbar an der Stelle, an der der Vorstand bereits hinschaut.
Sie werden irgendwann gefragt werden, was Sie über KI-Nutzung in der Organisation wissen, von einer Aufsichtsbehörde, einem Prüfer oder dem Vorstand selbst. Die Antwort, die standhält, ist nicht "alles ist erfasst", denn das lässt sich bei einem dynamischen Nutzungsmuster selten nachweisen. Die Antwort, die standhält, ist ein nachweisbarer Prozess: wie wurde inventarisiert, welche Klassifizierung wurde angewandt, welche Governance-Vereinbarungen folgen daraus, und mit welcher Häufigkeit wird das wiederholt. Das ist ein anderer Maßstab als Vollständigkeit, und es ist der Maßstab, an dem Risikomanagement normalerweise bereits gemessen wird.
Diese Frage stellt sich nicht für jede Rolle in der Organisation identisch. Was ein Compliance Officer von dieser Bestandsaufnahme braucht, lesen Sie in was muss ein Compliance Officer über KI-Risiko wissen, die Steuerungsfrage dessen, der das Programm leitet, steht in was muss ein KI-Programmleiter über KI-Risiko wissen, und wie dieses Thema auf der Ebene des Vorstands selbst ankommt, ist beschrieben in was muss ein Vorstandsmitglied über KI-Risiko wissen. Für Risikomanagement in spezifischen Branchen, mit eigenen Ketten und Aufsichtsformen, ist das Bild weiter geschärft in wie KI-Governance im Bauwesen aussieht und in wie KI-Governance in der Installationsbranche aussieht.
Der Text der geltenden Vorschriften, mit ihren genauen Definitionen und Fristen, steht nicht auf dieser Seite und wird anderswo aktuell gehalten. Was hier beschrieben ist, ist der Mechanismus: wie Sie von einem unbekannten Nutzungsmuster zu einem klassifizierbaren, berichtbaren Risiko gelangen.
Eine Bestandsaufnahme von KI-Risiko bringt unvermeidlich auch etwas anderes ins Bild: welcher Teil der Arbeit bereits faktisch von KI erledigt wird, und welcher Teil das könnte. Das ist eine andere Frage als Risikobeherrschung, aber sie teilt die Quelle. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, und schließt damit an genau die Bestandsaufnahme an, die Risikomanagement jetzt schon braucht.
Der Responsible AI Scan wird derzeit entwickelt. Wer davon Gebrauch machen möchte, sobald er verfügbar ist, kann sich für die Warteliste anmelden.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.