Verantwortung bei einem Fehler von KI-Anwendungen

Eine KI-Anwendung macht einen Fehler. Eine Entscheidung stimmt nicht, ein Ratschlag ist irreführend, ein Kunde wird zu Unrecht abgewiesen. Die Frage, die dann folgt, ist nicht nur technisch. Wer hätte dies kommen sehen müssen, wer verwaltete das System, und wer kann erklären, warum es so eingesetzt wurde, wie es eingesetzt wurde.

Diese Antwort besteht nicht losgelöst von einem Register. Verantwortung setzt voraus, dass jemand weiß, dass eine Anwendung existiert, wofür sie dient, und wer dafür zuständig ist. Ohne diese Grundlage ist die Frage nach der Haftung rhetorisch: Es gibt niemanden, der es weiß, also gibt es niemanden, der es erklären kann.

Was ein Inventar löst und was nicht

Ein Responsible AI Scan bildet ab, was läuft, wer es nutzt und mit welchem Risikoniveau das einhergeht. Das ist ein Ausgangspunkt, keine Aussage über Schuld. Der Scan klassifiziert eine Anwendung nach Rolle und Risiko; er beurteilt nicht, ob eine einzelne Entscheidung richtig war. Diese Beurteilung gehört zum Vorfall selbst, nicht zum Inventar, das ihm vorausging.

Was der Scan wohl leistet, ist die Struktur zu liefern, innerhalb der diese Beurteilung später erfolgen kann. Wenn bekannt ist, wer eine Anwendung angeschafft hat, wer sie verwaltet und für welchen Zweck sie genehmigt wurde, gibt es eine Linie, auf die man zurückgreifen kann. Fehlt diese Struktur, fällt die Frage nach der Verantwortung auf nachträgliches Rätselraten zurück.

Die IT-Liste ist nicht die Praxis

Die meisten Organisationen haben eine Übersicht genehmigter Software. Diese Übersicht ist fast nie vollständig. Mitarbeiter nutzen Tools, die niemand angemeldet hat, oft weil die Arbeit dadurch schneller geht und niemand danach gefragt hat. Das ist nicht per Definition unverantwortliches Verhalten; es ist das, was passiert, wenn eine Organisation keinen anderen Weg bietet.

Wer wissen möchte, was tatsächlich genutzt wird, muss danach fragen. Und das funktioniert nur, wenn Fragen keine Konsequenzen haben. Sobald ein Mitarbeiter vermutet, dass eine ehrliche Antwort zu einem korrigierenden Gespräch führt, hört die Antwort auf. Was tun Sie mit Mitarbeitern, die ein Tool nutzen, das niemand genehmigt hat handelt genau von diesem Mechanismus: Das Inventar ist nur so gut wie das Vertrauen, mit dem es erhoben wird.

Dazu gehört auch die Frage, was mit Unternehmensinformationen geschieht, sobald diese in ein externes Fenster eingegeben werden. Was tun Sie mit Unternehmensdaten in einem kostenlosen Chatfenster beschreibt ein Risiko, das unabhängig von böser Absicht besteht: Jemand möchte einfach einen Text prüfen lassen und tippt dabei mit, was nicht hätte sein dürfen.

Nachweisbarkeit, keine Garantie

Ein Governance-Set, das auf ein Inventar folgt, regelt, wer eine Anwendung genehmigt, wer Aufsicht führt und wie dies dokumentiert wird. Das schließt an die Risikostruktur an, die eine Organisation bereits für andere Bereiche hat: dieselben Ausschüsse, dieselben Berichtslinien, dieselben Eskalationspfade. Es entsteht kein neuer Apparat neben dem bestehenden; es kommt eine Kategorie zu dem hinzu, was bereits besteht.

Dies führt zu Nachweisbarkeit: Ein Vorstand kann zeigen, dass geschaut, klassifiziert und Aufsicht eingerichtet wurde. Es führt nicht zu einer Garantie, dass eine Anwendung nie wieder einen Fehler macht. Diese beiden liegen weit voneinander entfernt, und der Scan trifft keine Aussage über das Zweite. Was er liefert, ist eine Grundlage, auf der ein Vorstand erklären kann, was getan wurde, nicht eine Versicherung gegen das, was noch geschehen kann.

Warum ein zweiter Prozess meist nicht bestehen bleibt

Ein häufig gemachter Fehler ist es, einen separaten KI-Prozess aufzusetzen, losgelöst von der bestehenden Risiko- und Compliance-Struktur. Dieser Prozess erhält am Anfang Aufmerksamkeit und verschwindet danach in den Hintergrund, weil niemand ein zweites System neben dem ersten dauerhaft pflegt. Warum ein zweiter Prozess neben dem bestehenden ignoriert wird erklärt, warum der Anschluss an bestehende Strukturen keine Frage der Effizienz ist, sondern eine Voraussetzung dafür, dass etwas Bestand hat.

Dazu gehört auch, dass ein Inventar ein Moment ist, kein Endpunkt. Neue Anwendungen kommen hinzu, bestehende ändern ihre Funktion, und eine Klassifizierung, die bei der Einführung stimmte, stimmt nicht automatisch ein Jahr später noch. Wie oft müssen Sie neu klassifizieren und wie halten Sie ein KI-Register aktuell beschreiben, was diese Pflege in der Praxis erfordert, und warum ein Register, das einmalig erstellt wurde, innerhalb absehbarer Zeit nicht mehr mit der Wirklichkeit übereinstimmt.

Die Menschen, die mit diesen Anwendungen arbeiten, sind außerdem Teil der Lösung, nicht nur ein Risiko, das beherrscht werden muss. Was Mitarbeiter von den Systemen, die sie nutzen, verstehen und nicht verstehen, bestimmt, ob ein Governance-Set in der Praxis etwas bedeutet. Was bedeutet KI-Kompetenz für Ihre Mitarbeiter geht auf diesen Aspekt ein.

Die nächste Frage

Wer einmal weiß, welche KI-Anwendungen laufen und wer dafür zuständig ist, stößt von selbst auf eine Folgefrage: Welcher Teil der Arbeit, die derzeit manuell erfolgt, ist eigentlich geeignet, um an eine KI-Anwendung übertragen zu werden. Das ist eine andere Frage als die der Verantwortung, aber eine, die auf demselben Inventar aufbaut. Der Werkscan von FTE TO AI berechnet pro Aufgabe, welcher Teil der Arbeit von KI übernommen werden kann, als nächster Schritt, nachdem klar ist, was bereits läuft und wer darüber entscheidet.