KI-Governance beginnt nicht mit einer Richtlinie. Sie beginnt damit zu wissen was gerade läuft.

Fragen Sie mal in Ihrem Unternehmen herum welche KI-Tools gerade genutzt werden. Nicht welche offiziell genehmigt sind. Welche tatsächlich genutzt werden. Die Antworten werden Sie überraschen. Ein Mitarbeiter im Vertrieb nutzt seit Monaten einen KI-Assistenten für Angebote. Die Buchhaltung hat ein Tool gefunden das Rechnungen automatisch kategorisiert. Jemand im Marketing generiert Bilder mit einem kostenlosen Online-Tool. Die HR-Abteilung hat ChatGPT in den Bewerbungsprozess integriert – informell, pragmatisch, weil es funktioniert. Niemand hat es genehmigt. Niemand hat es verboten. Niemand weiß davon. Das nennt sich Shadow AI. Und es ist in den meisten Unternehmen längst Realität – nicht weil Mitarbeiter nachlässig sind, sondern weil KI-Tools so einfach zugänglich und so offensichtlich nützlich sind dass niemand wartet bis jemand fragt ob man sie nutzen darf. Das Problem ist nicht die Nutzung. Das Problem ist der fehlende Überblick. Wer nicht weiß welche KI-Tools in seinem Unternehmen laufen, weiß auch nicht welche Daten dort hineinfließen. Weiß nicht ob sensible Kundeninformationen in externe Systeme übertragen werden. Weiß nicht ob ein Tool das für Personalentscheidungen genutzt wird unter die Hochrisiko-Kategorie des EU AI Acts fällt – mit konkreten Pflichten die dann nicht erfüllt werden. Weiß nicht welche Haftungsrisiken entstehen wenn ein KI-Output falsch ist und niemand ihn geprüft hat. Ein KI-Inventar ist die Grundlage für alles andere. Nicht eine komplizierte technische Infrastruktur – sondern eine ehrliche Bestandsaufnahme: Welche Tools werden genutzt, von wem, für welche Zwecke, mit welchen Daten? Erst wenn diese Frage beantwortet ist, kann ein Unternehmen sinnvoll entscheiden was es erlaubt, was es einschränkt, was es standardisiert und was es dokumentiert. KI-Governance beginnt nicht mit einer Richtlinie. Sie beginnt damit zu wissen was gerade läuft.