IT-Systeme registrieren Verhalten, nicht Absicht. Das macht sie zu einem nützlichen Ausgangspunkt für ein Inventar, und zugleich zu einer unvollständigen Quelle. Wer einen Überblick über die tatsächlich genutzte KI aufbauen möchte, muss wissen, welche Signale etwas aussagen und welche ein falsches Gefühl von Vollständigkeit vermitteln.
Verkehr zu Domains von KI-Anbietern ist meist das konkreteste verfügbare Signal. Eine Firewall oder ein Proxy registriert, welche Domains aufgerufen werden, von welchem Gerät und mit welcher Häufigkeit. Das zeigt Nutzung, die niemand melden musste. Es zeigt nicht, was innerhalb dieser Interaktion geschah: welche Daten eingegeben wurden, für welche Aufgabe, mit welchem Ergebnis. Verkehr zu einer Chatbot-Domain kann ein einmaliger Test sein oder eine tägliche Arbeitsroutine. Ohne zusätzlichen Kontext bleibt dieser Unterschied unsichtbar.
Rechnungen, Abonnements und Kreditkartenabbuchungen zeigen, welche Tools formell angeschafft wurden, oft außerhalb des offiziellen IT-Einkaufs. Ein Team, das mit einer Firmenkarte ein Abonnement abschließt, hinterlässt eine Spur, die Einkauf oder Finance nachvollziehen kann. Dieses Signal ist zuverlässig für das, was angeschafft wurde, sagt aber nichts über kostenlose Tools, Testversionen oder private Accounts, die für die Arbeit genutzt werden. Mehr darüber, was diese Spur konkret liefert, steht auf der Seite über Einkaufs- und Lizenzspuren als Quelle für ein KI-Inventar.
Single-Sign-On-Plattformen und Identity Provider registrieren, welche Anwendungen mit einem Geschäftskonto verknüpft sind. Dieses Signal erfasst Tools, die über OAuth Zugriff erhalten haben, etwa auf ein E-Mail-Konto oder eine Dokumentenumgebung. Es ist eine der wenigen Quellen, die auch zeigt, welche Rechte einem Tool eingeräumt wurden, nicht nur, dass es genutzt wurde. Die Einschränkung: Tools, die ohne Verknüpfung genutzt werden, über einen Browser und ein separates Konto, bleiben dabei außen vor.
Software, die auf Laptops und Arbeitsplätzen installiert ist, ist in der Regel über die Verwaltungsplattform sichtbar, die IT für Patches und Updates nutzt. Das zeigt installierte KI-Tools, erfasst aber nichts, was ohne Installation über einen Webbrowser läuft. Für die meisten heute genutzten KI-Anwendungen ist das ein erheblicher Teil des Gesamtbilds.
In Organisationen, in denen Entwickler arbeiten, ist die Nutzung von KI-Modellen über APIs eine eigene Spur. Verwaltungsplattformen von Cloud-Anbietern und API-Gateways registrieren, welche Schlüssel aktiv sind und welches Volumen sie verarbeiten. Dieses Signal wird häufig am stärksten unterschätzt: Ein einzelnes Skript, das ein Modell für eine interne Aufgabe aufruft, fällt aus jedem Gespräch über „KI-Tools" heraus, weil es niemand als solches erkennt.
Jede dieser Quellen zeigt einen Teil des Verhaltens, erfasst von einem System, das dafür nicht entworfen wurde. Keines dieser Signale hält fest, warum ein Tool genutzt wird, für welche Aufgabe, mit welcher Art von Daten oder wer dafür verantwortlich ist. Das ist der Grund, warum ein Inventar, das sich nur auf Technik stützt, ein verzerrtes Bild liefert. Warum die von IT gelieferte Liste strukturell nicht mit der tatsächlichen Nutzung übereinstimmt, wird erläutert auf der Seite darüber, warum die IT-Liste nicht stimmt.
Technische Signale sind ein Anlass zu fragen, kein Ersatz für das Fragen selbst. Ein Mitarbeiter, der ein Tool nutzt, um Texte zu entwerfen, eine Analyse zu beschleunigen oder Code zu prüfen, weiß Dinge, die kein Log erfasst: warum er dieses Tool gewählt hat, was er damit macht, und was ihm fehlen würde, wenn es abgeschaltet würde. Dieses Gespräch bringt nur etwas, wenn es ohne Abrechnung geführt wird. Wie das in der Praxis angegangen wird, steht auf der Seite über das Fragen stellen, ohne dass es sich wie eine Rechtfertigung anfühlt.
Der Wert von Netzwerkdaten, Einkaufsspuren, Identity-Logs und Gesprächen mit Mitarbeitern entsteht erst, wenn sie gemeinsam in eine feste Struktur eingeordnet werden: welche Anwendung, welche Rolle, welches Risikoniveau, welcher Eigentümer. Ohne diese Struktur bleibt es eine Sammlung einzelner Beobachtungen. Wie dieser Aufbau Schritt für Schritt verläuft, steht beschrieben auf der Seite über den Aufbau eines KI-Inventars, und was genau pro Anwendung festgehalten werden muss, steht auf der Seite über die Erfassungsfelder pro KI-Anwendung.
Ein vollständiger Überblick darüber, welche KI genutzt wird, beantwortet die Frage nach Überblick und Risiko. Er beantwortet nicht die Frage, wie viel der Arbeit selbst von KI übernommen werden kann, und wo sich das je Aufgabe konkret auswirkt. Sobald klar ist, welche Tools in welcher Rolle eingesetzt werden, liegt diese Folgefrage nahe. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, als Ergänzung zu dem Überblick, den der Responsible AI Scan liefert.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.