Wer haftet, wenn die KI falsch entscheidet? KI Governance auf der ServiceNow Plattform
Die Frage kommt selten aus der IT. Sie kommt aus der Revision, aus dem Datenschutz oder aus einem Kundenaudit, und sie klingt harmlos: Wie ist diese Entscheidung zustande gekommen?
Gemeint ist eine automatisch abgelehnte Anfrage, eine automatisch zugewiesene Priorität, eine automatisch genehmigte Änderung. Und die ehrliche Antwort lautet in vielen Unternehmen: Das lässt sich im Nachhinein nur teilweise rekonstruieren.
Der stille Übergang
KI ist in ServiceNow Umgebungen nicht als Projekt eingezogen. Sie kam über Releases. Eine Vorschlagsfunktion im Servicedesk, eine Zusammenfassung im Bearbeitungsfenster, ein Agent, der Anfragen vorqualifiziert. Jede einzelne Funktion war klein genug, um ohne Governance Entscheidung aktiviert zu werden.
In der Summe entsteht daraus etwas, das kein Gremium je beschlossen hat: eine Reihe automatisierter Eingriffe in Geschäftsprozesse, verteilt über mehrere Bereiche, ohne gemeinsames Verzeichnis und ohne einheitliche Protokollierung.
Das ist keine Fahrlässigkeit, sondern die normale Folge inkrementeller Einführung. Es wird nur dann zum Problem, wenn jemand Rechenschaft verlangt.
Was Nachvollziehbarkeit konkret bedeutet
Nachvollziehbarkeit ist kein Gefühl, sondern eine Menge konkreter Angaben, die zu einem Zeitpunkt vorliegen müssen.
Was wurde entschieden. Der Vorgang, das Ergebnis, der Zeitpunkt.
Auf welcher Grundlage. Welches Modell, welche Version, welche Datenquellen, welcher Prompt oder welche Konfiguration.
Mit welcher Rolle. Hat die KI vorgeschlagen und ein Mensch bestätigt, oder hat sie eigenständig gehandelt? Diese Unterscheidung ist der Kern jeder Haftungsfrage.
Wer verantwortet sie fachlich. Nicht die Plattformorganisation, sondern der Bereich, dessen Prozess automatisiert wurde.
Wer diese vier Angaben für jeden aktiven Anwendungsfall benennen kann, ist auskunftsfähig. Wer sie nur für einen Teil benennen kann, hat eine Lücke, die im Audit teuer wird.
Drei Bausteine, die den Unterschied machen
Ein Verzeichnis aller aktiven KI Anwendungsfälle. Klingt banal, existiert selten. Es beantwortet die erste Frage jedes Prüfers und ist gleichzeitig die Grundlage für jede Risikoeinstufung. Ohne Verzeichnis ist jede weitere Governance Maßnahme Stückwerk.
Eine bewusste Entscheidung über den Autonomiegrad. Nicht jeder Anwendungsfall muss vollautomatisch laufen. Ein Vorschlag mit menschlicher Bestätigung liefert oft neunzig Prozent des Nutzens bei einem Bruchteil des Risikos. Diese Entscheidung sollte pro Anwendungsfall dokumentiert sein, nicht pro Plattform.
Protokollierung ab dem ersten Tag. Nachträglich lässt sich nicht protokollieren, was nicht aufgezeichnet wurde. Wer die Protokollierung erst einrichtet, wenn die erste Anfrage kommt, kann für die Vergangenheit nichts liefern.
Der regulatorische Rahmen bewegt sich, die Anforderung nicht
Fristen im europäischen Regelwerk verschieben sich, Auslegungen werden präzisiert, Leitlinien kommen nach. Es ist verlockend, darauf zu warten.
Die Wette ist ungünstig. Denn die Grundanforderung ändert sich durch keine Fristverschiebung: Wer automatisiert entscheidet, muss die Entscheidung erklären können. Diese Fähigkeit lässt sich nicht kurzfristig herstellen. Sie entsteht aus Protokollen, die über Monate laufen, und aus Zuständigkeiten, die über Monate gelebt werden.
Dazu kommt: Der Druck entsteht in der Praxis oft nicht durch die Aufsicht, sondern durch Kunden. Lieferantenfragebögen enthalten inzwischen regelmäßig Fragen zum Einsatz automatisierter Entscheidungssysteme. Wer hier ausweichend antwortet, verliert keinen Bußgeldbescheid, sondern eine Ausschreibung.
Governance als Voraussetzung für Tempo
Der verbreitete Reflex lautet, Governance bremse den KI Einsatz. In der Praxis ist das Gegenteil zu beobachten.
Organisationen ohne klare Regeln geraten regelmäßig in Grundsatzdiskussionen. Jeder neue Anwendungsfall löst dieselbe Debatte über Zulässigkeit, Datenschutz und Verantwortung aus, weil sie nie abschließend geführt wurde. Das kostet Wochen pro Vorhaben.
Organisationen mit einem definierten Rahmen prüfen einen neuen Anwendungsfall gegen bestehende Kriterien und entscheiden in Tagen. Der Rahmen ist kein Bremsklotz, sondern die Abkürzung.
KI Governance auf der ServiceNow Plattform ist keine Compliance Übung neben dem eigentlichen Vorhaben. Sie ist die Bedingung dafür, dass aus einzelnen Funktionen ein belastbarer Betrieb wird.
