AI-Governance für mittelständische Unternehmen: die leichte Version, die trotzdem Bestand hat

Ein leichtgewichtiges AI-Governance-Framework für ein mittelständisches Unternehmen besteht aus vier beweglichen Teilen: einer Bestandsaufnahme jedes von Ihnen betriebenen AI-Systems, einer einfachen Risikostufe für jedes einzelne, einem benannten Menschen, der es außer Kraft setzen oder stoppen kann, und einem Protokoll dessen, was es getan hat. Das ist die ganze Struktur. Sie benötigen kein Komitee, keine Richtlinienbibliothek oder einen speziellen Compliance-Mitarbeiter. Sie müssen wissen, welches AI Sie verwenden, wie sehr es jemandem schaden könnte, wenn es schief geht, wer dafür verantwortlich ist, und eine Aufzeichnung, die Sie anschließend überprüfen können. Ein fünfzigköpfiges Team kann dies an ein paar Nachmittagen auf die Beine stellen und in einer Stunde im Monat aufrechterhalten. Es geht nicht darum, das Geschäft auszubremsen. Damit soll sichergestellt werden, dass kein AI-System stillschweigend Folgeentscheidungen trifft, die niemandem gehören und die niemand rekonstruieren kann.

Was bedeutet AI-Governance eigentlich für ein kleineres Unternehmen?

Governance ist die Antwort auf eine Frage: Wenn ein AI-System etwas falsch macht, wer wusste das, wer könnte es stoppen, und können Sie beweisen, was passiert ist? Für ein mittelständisches Unternehmen sind hierfür nicht die Geräte erforderlich, die eine Bank oder ein Krankenhaus benötigt. Es erfordert, dass jedes System einen Eigentümer, eine Risikobewertung und einen Pfad hat.

Die Falle besteht darin, anzunehmen, dass Governance die Unternehmensversion bedeutet: ein Lenkungsausschuss, eine 30-seitige Richtlinie, eine jährliche Prüfung. In Ihrem Maßstab werden diese Maschinen entweder gebaut und ignoriert, oder sie werden nie gebaut, weil sie unmöglich erscheinen. Ein leichtgewichtiges Framework erledigt die gleiche Aufgabe (Sichtbarkeit, Verantwortlichkeit, Beweise) mit einem Bruchteil des Gewichts. Es ist auch die Grundlage, die Sie ohnehin benötigen werden, wenn das EU-AI-Gesetz für Unternehmen, die AI versenden Bußgelder vorsieht, da die gleichen vier Teile fast direkt mit den risikoreichen Verpflichtungen verknüpft sind.

Wie baue ich Schritt für Schritt ein leichtes AI-Governance-Framework auf?

Inventarisieren Sie jedes AI-System. Listen Sie jedes einzelne in einer Tabelle auf, einschließlich der Funktionen, die stillschweigend durch das Modell eines Anbieters bereitgestellt werden (der Support-Bot, der Lead-Scorer, das „intelligente“ Element in einem SaaS-Tool, für das Sie bezahlen). Sie können nicht kontrollieren, was Sie nicht aufgeschrieben haben, und die meisten Firmen stellen fest, dass die tatsächliche Liste länger ist als die, die sie im Kopf hatten.
Weisen Sie jedem eine Risikostufe zu. Verwenden Sie drei Stufen, nicht zehn. Niedrig: Es deutet darauf hin, dass ein Mensch entscheidet, Fehler sind billig und reversibel. Medium: Es wirkt eigenständig, aber auf begrenzte, wiederherstellbare Weise. Hoch: Es trifft oder prägt eine wichtige Entscheidung über eine Person (Einstellung, Kredit, Zugang, Preisgestaltung, die auf Einzelpersonen abzielt). Sortieren Sie die Liste und verteilen Sie die Aufmerksamkeit nicht mehr gleichmäßig. Fast alles davon geht an die Oberstufe.
Nennen Sie für jedes System einen Eigentümer. Eine echte Person, keine Abteilung. Der Eigentümer kann erklären, was das System tut, entscheidet, wann es sich ändert, und ist derjenige, der reagiert, wenn es sich schlecht verhält. Eine Herrschaft ohne Eigentümer gibt es nicht.
Definieren Sie den menschlichen Überwachungspfad für hochrangige Systeme. Entscheiden Sie schriftlich, wer das System überprüfen, außer Kraft setzen und abschalten kann und wie schnell. Bauen Sie diese Steuerung in das Produkt ein, anstatt sie später anzuschrauben. Eine Person, die technisch eingreifen kann, aber keinen Knopf zum Drücken hat, ist kein Versehen.
Aktivieren Sie die Protokollierung. Zeichnen Sie die Eingaben, die Ausgabe und die Entscheidung für alles auf der mittleren und hohen Ebene auf. Wenn ein Ergebnis angefochten wird, möchten Sie genau rekonstruieren, was das System gesehen und getan hat, und nicht raten. Beginnen Sie damit, solange die Systeme klein sind, denn das Nachrüsten eines Protokolls ist weitaus schwieriger als das Einschalten eines Protokolls.
Legen Sie einen leichten Überprüfungsrhythmus fest. Gehen Sie einmal im Quartal das Inventar durch: alles Neue, alles, was die Stufe geändert hat, alle Besitzer, die das Unternehmen verlassen haben. Eine Stunde mit der Liste ist besser als ein Ordner, den niemand öffnet.

Über welche AI-Systeme sollte ich mir eigentlich Sorgen machen?

Nicht diejenigen, die Marketingtexte entwerfen oder Besprechungen zusammenfassen. Sorgen Sie sich um die Systeme, deren Fehler bei einer bestimmten Person landen und schwer rückgängig zu machen sind. Die folgende Tabelle enthält die schnelle Triage, die die meisten mittelständischen Teams benötigen.

Wenn das System...	Stufe	Welche Governance es braucht
Schlägt vor, ein Mensch stimmt zu, Fehler sind billig	Niedrig	Im Inventar eingetragen, ein Besitzer, mehr nicht
Wirkt automatisch, ist aber begrenzt und wiederherstellbar	Mittel	Besitzer, Protokollierung, eine definierte Möglichkeit, sie anzuhalten
Entscheidet oder prägt eine folgenreiche Aussage über eine Person	Hoch	Eigentümer, vollständige Protokollierung, schriftlicher, von Menschen überschreibbarer Pfad, regelmäßige Überprüfung

Die Trennlinie ist Konsequenz und Reversibilität, nicht wie clever das Modell ist. Ein großes Sprachmodell, das interne Notizen schreibt, birgt ein geringes Risiko. Eine einfache Mischung aus Regeln und Modellen zur Einstufung von Bewerbern birgt ein hohes Risiko, da ein falsches Ergebnis einer echten Person eine Chance kostet und Sie die Entscheidung möglicherweise verteidigen müssen. Ordnen Sie die Auswirkungen nacheinander an und konzentrieren Sie sich dann dort, wo die Auswirkungen erzielt werden.

Wem gehört die AI-Governance, wenn es kein engagiertes Team gibt?

In den meisten mittelständischen Unternehmen ist ein Betriebs- oder Technologieleiter zuständig, der den Bestand verwaltet, sowie ein benannter Eigentümer pro System, der in der Praxis für dieses System verantwortlich ist. Das reicht. Sie erstellen keine Funktion; Sie weisen Verantwortung zu und schreiben sie auf. Der Fehler besteht darin, es „jedem“ zu überlassen, also niemandem, bis etwas kaputt geht und die Obduktion ein System findet, zu dessen Betrieb niemand zugelassen hat.

Wenn Sie externe Hilfe hinzuziehen, ist der Test derselbe, der für alle AI-Beratungsaufträge-Einsätze gilt. Fragen Sie nach dem Ende, was Sie besitzen. Ein Governance-Projekt sollte Ihnen ein gepflegtes Inventar, eindeutige Besitzer, Arbeitsprotokolle und eine in die Produkte integrierte Aufsicht hinterlassen, nicht ein Richtliniendokument, das auf einem gemeinsamen Laufwerk altert.

Der praktische Imbiss

Beginnen Sie diese Woche mit der Inventur. Bis Sie jedes von Ihnen betriebene AI-System aufgeschrieben und anhand des Schadens bewertet haben, den ein Ausfall verursachen würde, sind alle anderen Governance-Aktivitäten reine Vermutungen. Sobald die Liste existiert, ist der Rest klein und offensichtlich: Eigentümer, Protokolle, ein Überschreibungspfad für die wenigen Hochrisikogruppen und eine vierteljährliche Übersicht. Bleiben Sie so locker, dann werden Sie sich tatsächlich daran gewöhnen. Das ist die einzige Governance, die Sie schützt.