Ihre Mitarbeiter nutzen bereits KI-Tools, die niemand genehmigt hat. Dort liegt der meiste echte Gebrauch.

Das hängt von Ihrer Rolle, Anbieter oder Betreiber, und der Risikostufe jedes Systems ab, mit Verpflichtungen, die von KI-Kompetenz, bereits aktiv, bis zu strengen Anforderungen für Hochrisikosysteme reichen, die später gestaffelt in Kraft treten. Es gibt keine einzelne Antwort, die für ein ganzes Unternehmen zugleich gilt; die ehrliche Antwort erfordert, jedes System einzeln zu klassifizieren, bevor die konkreten Verpflichtungen klar werden.

Gestaffelt, KI-Kompetenz und Transparenz für generative Anwendungen gelten bereits; die strengsten Anforderungen für Hochrisikosysteme kommen später, auf einem im Gesetz selbst festgelegten gestuften Zeitplan. Den AI Act als eine einzelne Frist statt als gestaffelte Verpflichtungsreihe zu behandeln ist ein verbreitetes und teures Missverständnis, da manche Anforderungen bereits durchsetzbar sind, während andere noch Zeit zur ordentlichen Vorbereitung haben.

Bestimmt je KI-Anwendung danach, ob Sie das System bauen oder vermarkten oder es innerhalb Ihres eigenen Betriebs nutzen, die meisten Organisationen sind bei den meisten ihrer Tools Betreiber, aber das gilt nicht automatisch für jedes System, insbesondere intern gebaute oder stark angepasste Anwendungen. Die Klassifizierung muss System für System geprüft werden, nicht für die Organisation als Ganzes angenommen.

Kombinieren Sie Abteilungsinterviews, eine Mitarbeiterbefragung, Desk Research zu Beschaffungs- und Lizenzdaten und IT-Nutzungssignale, keine einzelne Quelle erfasst alles, und sich auf nur eine zu verlassen übersieht meist einen erheblichen Teil dessen, was tatsächlich im Einsatz ist. Abteilungsinterviews zeigen, was Mitarbeiter wissentlich nutzen; Mitarbeiterbefragungen und IT-Signale bringen meist die Tools hervor, die niemand mehr als getrennt vom normalen Workflow betrachtete.

Bewerten Sie jede Anwendung anhand der vier Stufen des Gesetzes, unannehmbar, hoch, begrenzt oder minimal, basierend darauf, was das System tatsächlich tut und wen es betrifft, nicht darauf, wie fortschrittlich oder neu die zugrunde liegende Technologie wirkt. Ein einfaches System in einem risikoreichen Kontext kann mehr regulatorisches Risiko tragen als ein fortschrittliches System an anderer Stelle mit geringem Risiko, weshalb die Klassifizierung dem Anwendungsfall folgen muss, nicht der technischen Komplexität.

Eine bereits aktive Verpflichtung sicherzustellen, dass Mitarbeiter die von ihnen genutzten KI-Systeme verstehen, erfüllt durch rollenspezifische Schulung mit Registrierung, statt einer einzigen generischen Schulungssitzung für das gesamte Unternehmen einmalig. Registrierung zählt, weil die Verpflichtung nicht nur darin besteht, Schulung anzubieten; sie besteht darin, auf Nachfrage nachweisen zu können, dass die richtigen Personen sie tatsächlich abgeschlossen haben.

Nehmen Sie sie über eine Befragung und IT-Signale ins Inventar auf, statt nur offizielle Listen zu nutzen, hier liegt meist der größte Teil der echten Nutzung, gerade weil sie außerhalb jedes Genehmigungsprozesses geschah. Nicht genehmigte Nutzung als etwas zu behandeln, das bestraft statt inventarisiert werden soll, treibt sie meist nur weiter in den Untergrund und macht das echte Risikobild schwerer statt leichter erkennbar.

Definieren Sie das explizit je System im Governance-Framework, Rollen, Eskalationswege und Punkte menschlicher Aufsicht müssen vorab zugewiesen sein, weil Verantwortung erst im Nachhinein zu klären ein weit schwierigeres und heikleres Gespräch ist, als es vorab in Ruhe zu entscheiden. Jedes System im Inventar sollte eine klare Antwort auf diese Frage haben, bevor es in den produktiven Einsatz geht.

Definieren Sie, welche Entscheidungen menschliche Freigabe erfordern und wann, integriert in Ihre bestehende Risiko- und Compliance-Struktur, statt als separaten, spezifisch für KI aufgebauten Parallelprozess. Menschliche Aufsicht, die in ein bestehendes Risikoframework eingebettet ist, wird meist aufrechterhalten; als eigenständiges System aufgebaute Aufsicht ist oft das Erste, was still aufhört, sobald die anfängliche Aufmerksamkeit woanders hinwandert.

Governance und Kontrollen, Regeln für menschliche Aufsicht, Rollen und Eskalationswege sowie laufendes Monitoring, abgestimmt auf Ihren bestehenden Risikoprozess, statt eines eigenständigen Dokuments, geschrieben, um ein Compliance-Häkchen zu erfüllen und danach nie wieder konsultiert. Eine Richtlinie, die nicht in das eingebettet ist, wie die Organisation Risiko bereits managt, existiert meist nur auf Papier, losgelöst davon, wie KI tatsächlich täglich genutzt wird.

Pflegen Sie ein nachvollziehbares Register, welche Systeme, welche Risikokategorie, wer Eigentümer ist, welche Verpflichtungen erfüllt sind, und wo offenes Risiko besteht, fortlaufend gepflegt statt rückwirkend zusammengestellt, sobald eine Aufsichtsbehörde tatsächlich danach fragt. Ein nur bei Bedarf erstelltes Register ist meist unvollständig und veraltet; ein fortlaufend gepflegtes ist die Version, die einer Prüfung tatsächlich standhält.

Bauen Sie Monitoring von Anfang an in das Governance-Framework ein, damit es nach dem Start weiterläuft, statt zu stoppen, sobald das Projekt schließt und die Aufmerksamkeit zur nächsten Initiative wandert. Ein System, das während der Einführung sorgfältig gesteuert, aber danach nie überwacht wurde, driftet meist still aus der Compliance, sobald sich Nutzungsmuster und zugrunde liegende Daten mit der Zeit verändern.

Ja, Standardtools verarbeiten weiterhin Unternehmensdaten und unterstützen Entscheidungen, und die Verpflichtungen zu Inventar und Klassifizierung gelten unabhängig davon, ob Sie das System selbst gebaut oder einfach abonniert haben. Ein bekanntes kommerzielles Tool zu nutzen befreit eine Organisation nicht davon, zu klassifizieren, wie es genutzt wird, oder die richtige Aufsicht über die Entscheidungen sicherzustellen, die es beeinflusst.

Integrieren Sie es in Ihre aktuelle Struktur, statt einen zweiten, parallelen Prozess aufzubauen, ein eigenständiger KI-Governance-Track wird innerhalb eines Jahres ignoriert, meist sobald der anfängliche Compliance-Druck, der ihn geschaffen hat, nachgelassen hat. Governance, die in derselben Struktur lebt, die Ihre Organisation bereits für andere Risikoarten nutzt, überlebt meist, weil sie von derselben laufenden Disziplin getragen wird, nicht von einer separaten.

Eine kurze, nachvollziehbare Zusammenfassung, welche Systeme laufen, in welcher Risikokategorie, wer Eigentümer ist, welche Verpflichtungen erfüllt sind, und wo das offene Risiko liegt, statt eines langen technischen Berichts, für den die meisten Vorstandsmitglieder keine Zeit haben, ihn im Detail durchzuarbeiten. Ziel ist, dass ein Vorstand mit Zuversicht beantworten kann, ob die Organisation ihr eigenes KI-Risikobild tatsächlich kennt, nicht ein erschöpfender Prüfpfad als Selbstzweck.