Governance hat in vielen Organisationen einen schlechten Ruf, und häufig zu Recht. Sie wird als Kontrollinstrument eingeführt, wächst zu einem Freigabeprozess mit mehreren Stufen und führt dazu, dass motivierte Teams Wege daran vorbei suchen. Am Ende ist das Risiko höher als vorher, weil die Nutzung nun unsichtbar stattfindet.
Der Zweck von KI-Governance ist ein anderer. Sie soll die Fragen im Voraus beantworten, die sonst jedes Team einzeln stellen müsste.
Drei Klassen statt eines Prozesses
Bewährt hat sich eine einfache Einteilung von Use Casesn in drei Klassen, die jeweils unterschiedlich behandelt werden. Für die grosse Mehrheit alltäglicher Anwendungen – Textentwürfe, Zusammenfassungen, Recherchen ohne Personenbezug – braucht es keine Freigabe, sondern klare Regeln und Schulung. Für Anwendungen mit Personen- oder Kundendaten braucht es definierte Leitplanken und eine benannte verantwortliche Person. Für Systeme, die Entscheidungen über Menschen beeinflussen, braucht es eine formale Bewertung, Dokumentation und menschliche Kontrolle.
Der Gewinn liegt darin, dass etwa achtzig Prozent der Fälle in die erste Klasse fallen und ohne Wartezeit laufen. Die verbleibenden Fälle bekommen dafür echte Aufmerksamkeit.
Governance, die jeden Fall gleich behandelt, behandelt keinen Fall angemessen.
Regulierung als Anlass, nicht als Ziel
Der EU AI Act betrifft auch Schweizer Unternehmen, sobald sie Kundinnen und Kunden im EU-Raum bedienen oder Systeme dort einsetzen. Der pragmatische Umgang damit besteht nicht darin, ein Compliance-Projekt aufzusetzen, sondern die ohnehin nötige Übersicht zu schaffen: welche Systeme sind im Einsatz, welche Daten verarbeiten sie, wer verantwortet sie, und welcher Risikoklasse gehören sie an.
Diese Übersicht ist in den meisten Organisationen der eigentliche Engpass. Sie fehlt nicht aus Nachlässigkeit, sondern weil KI-Nutzung dezentral entstanden ist, oft schneller als jede Erfassung.
Der einfachste erste Schritt
Beginnen Sie mit einem Verzeichnis. Eine Liste aller KI-gestützten Systeme im Unternehmen, mit Zweck, Datengrundlage, verantwortlicher Person und einer groben Risikoeinschätzung. Diese Liste ist in wenigen Wochen erstellbar, kostet fast nichts und verändert die Qualität jeder folgenden Diskussion.
Fast immer bringt sie auch Überraschungen zutage. Das ist unangenehm und genau der Grund, warum sie sich lohnt.