KI braucht Klarheit

Warum die meisten Unternehmen zwischen Wildwuchs und Verbot feststecken

In den vergangenen Monaten ist der EU AI Act für Hochrisikosysteme in Kraft getreten. Die Konferenzen dazu sind vorbei, die Checklisten abgehakt. Trotzdem bleibt in vielen Unternehmen eine Frage offen, die in keiner Verordnung steht: Wer entscheidet eigentlich – die KI, oder die Menschen, die mit ihr arbeiten?

Die meisten Organisationen beantworten diese Frage nicht. Sie weichen ihr auf zwei Arten aus: Entweder läuft KI-Nutzung im Unternehmen unreguliert im Schatten, jede und jeder experimentiert für sich. Oder sie wird pauschal eingeschränkt, weil niemand die Verantwortung für eine differenzierte Regelung übernehmen will. Beides fühlt sich wie eine Lösung an. Beides ist in Wahrheit eine Vermeidung.

Zwei Extreme, ein blinder Fleck

Zwei Beispiele zeigen, wie unterschiedlich diese Vermeidung aussehen kann. Im einen Unternehmen nutzt praktisch jedes Team KI-Tools nach eigenem Ermessen – für Textentwürfe, Datenanalysen, teils auch für Vorauswahlen bei Bewerbungen oder Kundenanfragen. Niemand hat das verboten, aber auch niemand hat es geregelt. Die Geschäftsführung erfährt vom Umfang meist erst, wenn etwas schiefgeht.

Im anderen Unternehmen ist es umgekehrt: Nach einem Datenschutz-Schreckmoment wurden sämtliche generativen KI-Tools per Anweisung gesperrt – auch für harmlose Aufgaben wie das Zusammenfassen interner Protokolle. Die Mitarbeitenden weichen seither auf private Accounts aus, weil die Produktivitätslücke sonst zu groß wäre. Aus der Regelung ist neue Schatten-Nutzung geworden, nur unsichtbarer als vorher.

Beide Unternehmen haben dieselbe Frage nicht beantwortet: Wo darf KI selbstständig handeln, wo darf sie nur vorschlagen, und wo muss ein Mensch die Entscheidung tragen? Das eine hat die Frage ignoriert, das andere hat sie mit einem pauschalen Nein erledigt. Keines der beiden hat sie tatsächlich geklärt.

Beide Situationen wirken im Moment stabil – bis sie es nicht mehr sind. Im ersten Unternehmen reicht ein einziger Vorfall, damit aus der stillschweigenden Duldung eine hektische Krisenreaktion wird: ein Bias-Verdacht bei einer automatisierten Vorauswahl, eine Kundenbeschwerde über eine KI-generierte Fehlinformation, eine Betriebsratsanfrage, die niemand beantworten kann, weil niemand den Überblick hat. Im zweiten Unternehmen wächst das Risiko unsichtbar weiter: Private Accounts unterliegen keiner der Kontrollen, die das Verbot eigentlich schaffen sollte, und sensible Unternehmensdaten landen in Tools außerhalb jeder Reichweite der IT.

Was in beiden Fällen fehlt, ist keine weitere Regel, sondern eine Antwort, die im Unternehmen tatsächlich bekannt ist: Wer entscheidet – die KI allein, ein Mensch mit ihrer Unterstützung, oder ein Mensch ganz ohne sie? Genau das ist mit Klarheit gemeint: keine zusätzliche Richtlinie, sondern eine gelebte, von allen verstandene Antwort auf diese Frage.

Warum es nicht an fehlenden Regeln liegt

Der naheliegende Reflex ist, mehr Regeln zu fordern: eine KI-Richtlinie, eine Nutzungsordnung, eine Freigabeliste zugelassener Tools. Solche Dokumente sind nicht falsch, aber sie lösen das eigentliche Problem selten. Denn das Problem ist meist kein Mangel an Regeln, sondern ein Mangel an Moderation: Niemand ist erkennbar dafür zuständig, die Frage nach Autonomie und Verantwortung gemeinsam mit den Fachbereichen verbindlich zu klären, nicht über deren Kopf hinweg.

Eine Richtlinie, die im Compliance-Team entsteht und per Rundmail verteilt wird, beantwortet die Frage formal. Gelebt wird sie trotzdem selten, weil die Menschen, die sie umsetzen sollen, an ihrer Entstehung nicht beteiligt waren und ihre eigene Prozesswirklichkeit darin nicht wiederfinden. Das Ergebnis ist Regel und Schatten-Nutzung gleichzeitig – nebeneinander, nicht ineinander.

Der Unterschied zeigt sich oft erst im Ernstfall. Eine Richtlinie kann festlegen, dass „KI bei personenbezogenen Entscheidungen nur unterstützend eingesetzt werden darf“; ein Satz, dem kaum jemand widerspricht. Was in der Praxis fehlt, ist die Übersetzung dieses Satzes in den konkreten Prozess: Zählt die automatisierte Vorsortierung von Bewerbungen schon als „unterstützend“, oder ist sie bereits eine Vorentscheidung? Genau diese Übersetzungsarbeit leistet eine Richtlinie allein nicht. Sie braucht die Fachbereiche, die den Prozess tatsächlich verantworten, und jemanden, der die Klärung moderiert, statt sie zu verordnen oder ihr auszuweichen.

Vier Zonen, eine ehrliche Landkarte für Klarheit

Ein Modell, das sich in der Praxis bewährt, unterscheidet vier Zonen – nicht nach Technologie, sondern nach Tragweite der Entscheidung:

• Zone A – Geringe Tragweite, KI darf allein handeln.
• Zone B – KI schlägt vor, ein Mensch prüft, bevor es wirkt.
• Zone C –  Ein Mensch entscheidet, KI liefert nur Information oder einen Entwurf.
• Zone D – Echter Wertekonflikt, hier darf keine KI mitentscheiden.

Abbildung: Vier Zonen unterteilt nach der Tragweite einer Entscheidung

• Wenn KI Interviewtermine vorschlägt und koordiniert, liegt das in Zone A – geringe Tragweite, klar reversibel.
• Wenn sie eingehende Bewerbungen nach definierten Kriterien vorsortiert, liegt das in Zone B – ein Vorschlag, den eine Rekruterin vor der Einladung noch prüft.
• Wenn es um die Formulierung einer Absage geht, kann KI einen Entwurf liefern, aber die Entscheidung, wer eine Absage bekommt, bleibt in Zone C bei einem Menschen.
• Und wenn es um die eigentliche Einstellungsentscheidung geht, bei der Diversitätsziele, Teamdynamik und andere nicht rein datengetriebene Abwägungen eine Rolle spielen, ist das Zone D – hier darf KI weder vorentscheiden noch den Rahmen setzen.

Der Wert des Modells liegt nicht in der Kategorisierung allein, sondern darin, dass es die Frage überhaupt explizit macht. Die meisten Konflikte in der Praxis entstehen nicht, weil jemand KI in Zone D einsetzen wollte, sondern weil nie geklärt wurde, dass es diese Zone gibt.

Was passiert, wenn eine Organisation diese Unterscheidung nicht trifft, zeigt sich am deutlichsten, wenn Zone C und Zone D vermischt werden. Ein Unternehmen, das KI zur reinen Vorbereitung von Einstellungsentscheidungen nutzen wollte, geriet in Erklärungsnot, als ein Bewerber nach den Kriterien seiner Ablehnung fragte – niemand konnte eindeutig sagen, wie viel der Entscheidung tatsächlich beim Menschen und wie viel bereits im automatisierten Ranking lag. Nicht, weil jemand bewusst Verantwortung abgeben wollte, sondern weil die Grenze zwischen „liefert Information“ (Zone C) und „trifft die eigentliche Wertentscheidung“ (Zone D) nie explizit gezogen wurde.

Das Modell lässt sich auf andere Bereiche übertragen. Im Kundenservice mag die automatisierte Beantwortung einfacher Standardanfragen in Zone A liegen, die Formulierung einer Kulanzregelung bei einem Beschwerdefall in Zone B, eine Rückerstattung oberhalb einer bestimmten Schwelle in Zone C und eine Entscheidung, die einen langjährigen Kunden betrifft und über den reinen Geschäftsfall hinausgeht, in Zone D. Die konkreten Grenzen unterscheiden sich von Organisation zu Organisation. Entscheidend ist nicht die exakte Zuordnung, sondern dass sie überhaupt bewusst getroffen wird und dass sie für alle Beteiligten nachvollziehbar bleibt, nicht nur für die Person, die sie entworfen hat.

Klärung ist ein Prozess, keine Entscheidung von oben

Zwei Wege, dieses Modell einzuführen, scheitern regelmäßig. Der erste: Die Geschäftsführung legt die Zonen-Zuordnung zentral fest und verkündet sie. Das Ergebnis ist formal vollständig, aber es fehlt die Akzeptanz, denn die Fachbereiche empfinden die Zuordnung als praxisfern und unterlaufen sie leise. Der zweite: Die Klärung findet gar nicht statt, weil sie niemandem klar zugeordnet ist – weder IT noch HR noch Compliance fühlen sich allein zuständig, und so bleibt es bei Einzelentscheidungen ohne gemeinsamen Rahmen.

Was in der Praxis eher trägt, ist eine moderierende Funktion: zeitlich befristet, mit einem klar definierten Ende. Sie erarbeitet die Zonen-Zuordnung gemeinsam mit den betroffenen Bereichen – in einem Rahmen-Workshop statt per Rundmail –, begleitet einen ersten operativen Testzyklus mit festen Reviews und übergibt anschließend an eine benannte interne Person oder ein kleines Gremium, sobald die Organisation die Struktur selbst trägt.

Der Unterschied zu einer dauerhaften Governance-Stelle: Diese Rolle baut jene Stelle mit auf, sie ersetzt sie nicht auf Dauer. Und die Verantwortung für personenbezogene KI-Entscheidungen bleibt dabei immer bei einer benannten Person in der Organisation selbst – nie bei der moderierenden Rolle.

Der Anstoß dazu muss nicht von der Geschäftsführung kommen. Oft sind es Projekt- oder Teamleitungen, die den Bedarf zuerst spüren, weil sie die tägliche Schatten-Nutzung oder die Reibung eines pauschalen Verbots direkt miterleben. Wer in dieser Position ist, kann die Klärung nicht selbst verordnen, aber sehr wohl den Anstoß dafür geben: mit einer konkreten Beobachtung statt einer abstrakten Sorge, und mit dem Vier-Zonen-Modell als Gesprächsgrundlage, die auch für Nicht-Fachleute sofort verständlich ist.

Der Testfall für echte Klarheit

Ob eine Organisation an diesem Punkt wirklich angekommen ist, lässt sich mit einer einfachen Probe prüfen: Fragen Sie eine zufällig ausgewählte Mitarbeiterin – nicht die Führungskraft, die den Workshop moderiert hat –, warum ein bestimmter Prozess in ihrer Zone liegt. Kann sie es erklären, ist die Zuordnung gelebt. Kann sie es nicht, existiert vermutlich ein Dokument, aber keine Klarheit.

Ein zweiter Test ergänzt den ersten: ein simulierter Grenzfall, ein Table-Top-Test mit einer Entscheidung, die nicht eindeutig in eine Zone passt. Zeigt sich, dass die Beteiligten wissen, an wen sie sich in diesem Fall wenden, trägt die Struktur auch dann, wenn die Realität komplizierter ist als das Modell.

Beide Tests prüfen dasselbe: nicht, ob ein Dokument existiert, sondern ob die Klärung im Alltag angekommen ist. Eine Zonen-Zuordnung, die nur in einer Präsentation lebt, hält dem ersten echten Grenzfall selten stand, eine, die gemeinsam erarbeitet und danach in Reviews gepflegt wird, meistens schon.

Die Frage begleitet Sie so oder so

Die Klärung, wo KI entscheiden darf und wo nicht, findet in jeder Organisation statt – ob moderiert oder unmoderiert, ob bewusst oder als Nebenprodukt von Zufall und Gewohnheit. Die einzige offene Frage ist, ob sie jemand aktiv gestaltet, bevor der erste ernsthafte Vorfall es für die Organisation erledigt.

Wildwuchs und Verbot sind beide bequemer als diese Klärung. Gleichzeitig sind beide teurer, sobald man weiter denkt als bis zum nächsten Quartal.

Was am Ende zählt, ist nicht, ob Ihre Organisation eine Meinung zu KI hat, die hat praktisch jede. Es ist, ob sie Klarheit hat: eine Antwort auf die Frage, wer entscheidet, die alle Beteiligten kennen und erklären können, nicht nur die, die sie einmal formuliert haben.

Hinweise:

Guido Bosbach unterstützt Organistationen auf ihrem Weg zu Klarheit im Umgang mit KI. Gerne tauscht er sich mit Ihnen über die konkrete Klärung von KI-Verantwortung in Ihrem Unternehmen aus. Kontaktieren Sie ihn einfach über seine Website oder schreiben Sie ihn auf LinkedIn an.

Sehr zu empfehlen ist zudem sein workLIFE Stories Blog, in dem er regelmäßig Erfahrungen aus Unternehmen, Ideen und Impulse anbietet.

Wollen Sie Guido Bosbach unterstützen und über Klarheit bei der Nutzung von KI und das vorgestellte Vier-Zonen-Modell diskutieren? Dann teilen Sie diesen Beitrag auf Social Media oder in Ihrem Unternehmen.