Wer darf diese Entscheidung eigentlich treffen?

Vor kurzem erzählte mir ein Handwerker so ganz nebenbei:

„Bei mir ist alles digital. Alles in der Cloud.“

Das klang zunächst praktisch. Angebote, Rechnungen und Kundendaten liegen an einem Ort und lassen sich schnell aufrufen. Keine Zettelwirtschaft.

Trotzdem beschäftigt mich dieser Satz: Alles in der Cloud.

Meine Adresse und Telefonnummer gehören vermutlich dazu. Vielleicht auch Fotos, Aufmaße, Pläne oder Rechnungen, die er an mich ausgestellt hat.

Und dann dachte ich an meinen Hausschlüssel.

Wenn ich einem Handwerker einen Schlüssel überlasse, weiß ich genau, dass ich ihm Zugang gebe. Das entscheide ich bewusst.

Bei Daten bemerken wir diesen Entscheidungsmoment viel seltener.

Wir schicken ein Foto oder unsere Adresse. Jemand übernimmt die Informationen in ein System, speichert sie und verarbeitet sie weiter. Vielleicht landen sie dabei direkt in einer Cloud.

Wie die Cloud technisch aufgebaut ist, interessiert mich gerade weniger.

Mich interessiert, wer entschieden hat, was mit diesen Informationen geschieht und wer darüber entscheiden durfte.

Eine Systemeinstellung kann heutzutage wie eine Entscheidung wirken.

Im Unternehmen begegnet mir derselbe Mechanismus in größerem Maßstab.

Im Projekt wählt jemand einen Anbieter aus, richtet ein System ein, vergibt Berechtigungen und verbindet Datenquellen. Vielleicht übernimmt das Team Standardeinstellungen, weil sie bereits vorhanden sind oder der Anbieter sie empfiehlt.

Das sieht zunächst nach banaler Projektarbeit aus. Manche dieser Schritte legen allerdings mehr fest als nur Technik. Sie bestimmen beispielsweise, welche Daten ein System verwenden darf, welche Personen Informationen sehen, welche Vorgänge eine KI priorisiert oder welche Ergebnisse später in Entscheidungen einfließen.

Dann reicht die Frage nicht mehr, ob jemand eine Einstellung technisch vornehmen kann. Entscheidend wird, wer befugt ist, die damit verbundene Entscheidung für das Unternehmen zu treffen.

Genau an diesem Punkt hake ich nach.

Denn dass im Projektplan eine Entscheidung vorgesehen ist, sagt noch nichts darüber aus, wer sie treffen darf.

Wer fachlich zuständig ist, darf nicht alles entscheiden

In Digitalprojekten arbeiten IT, Security, Legal, Compliance und Fachbereiche aus unterschiedlichen Perspektiven am selben Vorhaben.

Die IT beurteilt Architektur, Schnittstellen und Betrieb. Security bewertet Risiken und formuliert Anforderungen. Legal & Compliance ordnen rechtliche oder regulatorische Fragen ein. Der Fachbereich beschreibt, was das System im Arbeitsalltag leisten soll.

Trotz all dieser Expertise kann diese eine Frage offenbleiben:

Wer darf die Marschrichtung für das Unternehmen festlegen? Wer darf sagen: „linksrum“ oder „rechtsrum“?

Oft habe ich in der Unternehmenssicherheit erlebt, wie schnell diese Grenze aus dem Blickfeld verschwindet.

Dann fällt beispielsweise der Satz: „Security hat zugestimmt.“

Das kann bedeuten, dass Security bestimmte Risiken geprüft hat oder Anforderungen erfüllt wurden. Vielleicht besitzt Security in diesem Unternehmen sogar ein ausdrücklich definiertes Vetorecht.

Der Satz bedeutet jedoch nicht, dass damit automatisch jede unternehmerische Frage entschieden wurde.

Dasselbe gilt für IT, Legal, Compliance oder den Fachbereich.

Fachwissen liefert Entscheidungsgrundlagen. Entscheidungsbefugnisse ergeben sich aus Rolle, Mandat und Governance. Passen diese drei nicht zusammen, entsteht eine Verantwortungslücke.

Besonders interessant wird es bei KI

Bei KI fällt diese Abgrenzung schwerer, sobald Systeme auswählen, sortieren, gewichten oder Empfehlungen erzeugen.

Nehmen wir ein System, das eingehende Vorgänge priorisiert.

Formal entscheidet weiterhin ein Mensch. Praktisch bearbeitet dieser Mensch jedoch zuerst die Fälle, die das System als erstes anzeigt. Andere erscheinen später oder gar nicht.

Die Priorisierung wirkt also bereits, bevor jemand ausdrücklich „Ja“ oder „Nein“ gesagt hat.

Ob die spätere Entscheidung richtig war, ist für mich zweitrangig. Ich würde sehr früh fragen:

Wer hat entschieden, dass und wie dieses System priorisieren darf?

Vielleicht hat ein Projektteam die Funktion aktiviert. Vielleicht gehörte sie zum Standardpaket. Vielleicht hat der Anbieter sie empfohlen. Vielleicht war allen Beteiligten klar, was sie bewirkt.

Vielleicht auch nicht.

Der Hinweis „Das System kann das“ reicht deshalb nicht aus. Jemand muss entschieden haben, ob es genau diese Aufgabe im konkreten Unternehmenskontext auch tun soll.

Systeme setzen Prioritäten, bevor Menschen entscheiden

Ein System blendet bestimmte Informationen zuerst ein, ein Dashboard hebt rote Zahlen hervor, eine Software setzt einen Standardwert, ein Algorithmus sortiert Bewerbungen und Kundenanfragen oder bewertet Risiken.

Damit bestimmt das System mit, was Menschen zuerst sehen, was ihnen auffällt und welche Handlung als Nächstes ansteht.

Wer Reihenfolge oder Standardwerte festlegt, beeinflusst, worauf Menschen zuerst reagieren.

An dieser Stelle prüfe ich, ob ein Projektteam noch technische Detailfragen löst oder bereits Entscheidungen ausprägt, für die ihm möglicherweise das Mandat fehlt.

Eine Frage, die ich in Projekten früh stellen würde

Wenn ich wissen will, was in einem Digitalprojekt an dieser Stelle tatsächlich passiert, ist meine erste Frage:

Welche Entscheidung wird hier gerade tatsächlich getroffen?

Damit übersetze ich die technische Tätigkeit in ihre Wirkung.

„Wir aktivieren eine Funktion“ beschreibt eine Tätigkeit.

„Das System entscheidet künftig, welche Fälle zuerst bearbeitet werden“ beschreibt die Wirkung.

Erst bei der zweiten Formulierung lässt sich vernünftig darüber sprechen, wer diese Entscheidung treffen darf.

Danach folgt für mich fast automatisch die Frage:

Wer hat dafür das Mandat?

Wenn darauf verschiedene Namen fallen oder jemand sagt:

„Das hat sich im Projekt so ergeben.“

schaue ich genauer hin.

Denn möglicherweise hat dann niemand bewusst etwas entschieden. Und der Prozess läuft trotzdem längst.

Digitale Verantwortung beginnt vor Audit und Incident

Sie beginnt dort, wo eine scheinbar technische Einstellung Folgen nach sich zieht, für die jemand geradestehen muss.

Wer erhält Zugriff? Welche Vorgänge werden zuerst bearbeitet? Welche Daten fließen weiter? Welche Empfehlung beeinflusst später eine Entscheidung?

Spätestens dann muss geklärt sein, wer diese Folgen verantwortet und wer die Entscheidung überhaupt treffen durfte.

Und genau hier beginnt meine Arbeit: Fachwissen liegt vor, verschiedene Funktionen haben ihren Teil geleistet und trotzdem bleibt die Frage offen, wer jetzt tatsächlich entscheidet.

Vielleicht rentiert sich deshalb beim nächsten „Das macht unser System automatisch“

diese kurze Nachfrage:

Wer hat eigentlich entschieden, dass es das darf?

Mehr zu KI, Führungsentscheidungen und Verantwortung:
Mein Executive Briefing „KI einführen, ohne das Steuer aus der Hand zu geben“ richtet sich an Führungskräfte, die verstehen wollen, welche Entscheidungen bei KI bei ihnen bleiben.

Ich komme aus zwei Welten: Unternehmenssicherheit und Rhetorik.

Aus langjähriger Führungserfahrung weiß ich, wie schnell fachliche Entscheidungen Folgen haben können, die weit über das jeweilige Fachgebiet hinausreichen.

Deshalb beschäftige ich mich mit dem Moment, in dem aus Fachwissen eine Führungsentscheidung werden muss.

Schlechte Governance engt ein. Gute Governance klärt, was möglich ist.

Uta-Alexandra Kral