In vielen Unternehmen bewegt sich gerade viel. Lizenzen werden gekauft, Pilotprojekte gestartet, erste Anwendungsfälle ausprobiert. Die technische Einführung von KI ist in vollem Gang. In meiner Arbeit sehe ich aber immer wieder, dass das allein nicht reicht.
Ich begleite Organisationen bei der KI-Transformation. Je länger ich das tue, desto klarer wird mir, dass es drei Dinge gleichzeitig braucht. Erstens die Technik, also die richtigen Tools und eine saubere Einführung. Zweitens die Menschen, die verstehen, warum sich etwas verändert, und sich zutrauen, es auszuprobieren. Und drittens die Informationssicherheit, die dafür sorgt, dass uns das alles nicht auf die Füße fällt. Mit ISO 27001, dem EU AI Act und dem Cyber Resilience Act ist sie längst keine Randnotiz mehr.
Eine Multiplikation, keine Summe
Ich denke das gern als Formel: Technik × Mensch × Sicherheit = Wirksamkeit. Bei einer Summe könnte eine starke Seite eine schwache ausgleichen. Bei einer Multiplikation geht das nicht. Steht ein Faktor auf null, ist das Ergebnis null, ganz egal, wie gut die anderen beiden sind.
Drei Fehlformen aus der Praxis
Fehlt einer der drei Faktoren, entsteht ein typisches Muster. Allen dreien begegne ich regelmäßig.
Schatten-KI: Technik und Mensch ohne Sicherheit. Eine Personalleitung, motiviert und offen für Neues, macht die Personalplanung mit ihrem privaten KI-Modell. Die Absicht ist gut, die Arbeit geht schneller. Nur landen dabei Personaldaten, also die sensibelsten Daten im Unternehmen, in einem Tool, über das niemand die Kontrolle hat. Verboten hat es niemand. Einen sicheren Weg angeboten hat aber auch niemand.
Lizenzfriedhof: Technik und Sicherheit ohne Mensch. „Wir haben ja Copilot.“ Diesen Satz höre ich oft. Das Tool ist eingeführt, datenschutzrechtlich geprüft und sauber freigegeben. Trotzdem kommt das Unternehmen nicht richtig ins Tun. Es fehlen Begleitung, konkrete Anwendungsfälle und Zeit zum Lernen. Die Lizenzen laufen, die Wirkung bleibt aus.
Papiertiger: Mensch und Sicherheit ohne Technik. Hier ist eigentlich vieles richtig. Es gibt einen guten Sicherheitsrahmen, und die Menschen wollen loslegen. Nur wird kein brauchbares Tool zur Verfügung gestellt. Die Richtlinie regelt etwas, das im Alltag gar nicht stattfindet. Die Motivation verpufft, oder sie wandert in die Schatten-KI ab.
Was das für die Geschäftsführung heißt
KI-Transformation lässt sich nicht an eine Abteilung delegieren. Gerade in größeren Unternehmen liegen IT, Personal- und Organisationsentwicklung und Informationssicherheit oft in getrennten Bereichen, mit eigenen Budgets und Prioritäten. Diese drei an einen Tisch zu bringen, ist Aufgabe der Unternehmensleitung.
Drei Fragen helfen dir bei einer ehrlichen Standortbestimmung:
- Welches KI-Tool dürfen deine Mitarbeitenden heute nutzen, und wissen sie das auch?
- Wie viele nutzen es tatsächlich, und was hält die anderen ab?
- Sind die Anforderungen aus ISO 27001, EU AI Act und CRA so übersetzt, dass sie im Alltag helfen und nicht abschrecken?
Ausblick
Ehrlich gesagt kenne ich kaum ein Unternehmen, in dem diese drei Dinge schon wirklich ausgewogen zusammenspielen. Das zeigt, wo wir gerade stehen, und es ist die Aufgabe der nächsten Monate. In einem weiteren Beitrag geht es darum, welche Rolle die Sicherheit dabei spielen kann, wenn man sie gut justiert.