Was jeder CEO über AI Governance wissen sollte

Mal ehrlich: Wenn eine Firma nach „AI-Risiken“ gefragt wird, kommt meist dieselbe Antwort wie von einem schlechten Therapeuten – „das ist nicht mein Bauch.“ Legal macht die Compliance, IT die Systeme, der CISO die Security. Jeder schiebt ein Stück vom Kuchen weiter, und irgendwie fühlt sich das lange gut an. Bis es das nicht mehr tut.

Genau diese Aufteilung greift laut einer aktuellen Analyse von Bessemer Venture Partners (bvp.com) nicht mehr. Der Titel der Meldung, die mir über den Weg gelaufen ist, bringt es auf den Punkt: *Was jeder CEO über AI Governance wissen sollte*. Und der Kern der Sache, wie sie es erklären: Governance ist für Führungsetagen inzwischen eine echte Treuepflicht – fiduciary obligation – und kein IT-Nebenschauplatz.

Ich musste da erstmal nachdenken, weil der Unterschied eigentlich schön klein klingt, aber riesig ist. Klassische Security wollte Daten schützen: unbefugten Zugriff verhindern, den Perimeter zudrehen, die Akten sauber halten. Das funktioniert, solange Systeme Informationen bloß speichern und verarbeiten. Es bricht zusammen, sobald Systeme aus Informationen Intelligenz erzeugen. Und genau da stehen wir gerade.

Das Quelltext-Fragment, das ich gesehen habe, ist typisch Hacker-News-Stil dünn – aber er reicht aus, um zu verstehen, worauf die Analyse hinaus will. Denn wenn AI in Gesundheits-, Finanz- oder operativen Entscheidungen mitmischt, dann geht es nicht mehr nur um „wurde da eingebrochen?“, sondern um die Integrität des Ergebnisses. Was passiert, wenn das Datenmaterial, mit dem das Modell gefüttert wurde, verseucht oder illegal beschafft war? Genau dafür führt BVP das Konzept der Chain of Custody ein – für AI eben nicht die Kette einer Beweismittel-Akte, sondern eine, die die Herkunft deiner Daten über den ganzen Lebensweg nachvollziehbar hält.

Konkret bringt der Beitrag zwei Werkzeuge mit, die man zur nächsten Board-Sitzung einpacken kann: eine Seven-Step-Checkliste für Governnance und zehn Fragen, die jeder CEO seinem CISO wirklich einmal stellen sollte. Zahlen oder Prozentangaben sucht man im Text (jedenfalls in dem Teil, den ich gesehen habe) vergebens – das ist ehrlich gesagt auch okay, denn es geht hier weniger um Statistiken als um eine Art Denk-Rahmen. Vertrauen, heißt es am Ende, muss heute bewiesen werden, nicht mehr vorausgesetzt. Das ist vielleicht der Satz, den ich mir als Nächstes an den Monitor pinnen werde.

Den ganzen Beitrag von BVP – von George DeCesare auf bvp.com – kann ich nur empfehlen, gerade wenn du im Zweifel bist, wer bei euch eigentlich für „das AI-Zeug“ verantwortlich ist. Verdacht: vermutlich immer noch ein bisschen alle und niemand.