Der neue Wildwuchs ist genehmigt

Wenn das Gespräch auf Shadow AI kommt, reagieren viele Führungskräfte erstaunlich gelassen. Ich verstehe warum: Sie haben das schon einmal erlebt. Erst war es die private Dropbox, dann das Projektwerkzeug, das ein Bereich über die eigene Kreditkarte gebucht hat, dann die Excel-Landschaft, die den halben Vertrieb steuerte. Man hat gelernt, damit umzugehen. Sichtbar machen, einiges sperren, vor allem ein offizielles Angebot bauen, das gut genug ist, damit der Umweg sich nicht mehr lohnt. Diese Erfahrung wird gerade auf AI übertragen. Und genau deshalb übersehen dieselben Organisationen den neuen Wildwuchs.

Im letzten Beitrag ging es um das Ende des Lebenszyklus, um Agents, die niemand außer Betrieb nimmt. Diesmal geht es um das Gegenstück am Anfang: um die Agents, die nie durch eine Freigabe gegangen sind. Wer sich dabei auf seine Erfahrung aus der Schatten-IT-Ära verlässt, sucht an der falschen Stelle. Der neue Wildwuchs ist genehmigt. Er wächst in den Werkzeugen, die die Organisation selbst ausgerollt hat.

Diesmal fehlt die Spur

Schatten-IT hatte eine Eigenschaft, die man erst zu schätzen weiß, wenn sie fehlt: Sie war auffindbar. Irgendwo lief eine Abbuchung, die in der Buchhaltung auffiel. Im Netzverkehr tauchte eine fremde Domain auf. Mitarbeitende meldeten sich an einer Seite an, die nicht nach dem eigenen Haus aussah. Und spätestens wenn ein Vertrag zur Verlängerung anstand, brauchte jemand eine Unterschrift, die eine Frage auslöste. Der Wildwuchs war unerwünscht, aber er stieß permanent gegen Prozesse, die es ohnehin gab. Eine ganze Werkzeugkategorie lebt bis heute davon.

Ein Agent, den jemand aus der Sachbearbeitung in der freigegebenen Plattform zusammenklickt, stößt gegen keinen davon. Es gibt keine Beschaffung, weil nichts beschafft wird. Es gibt keine fremde Domain, weil alles im eigenen Tenant bleibt. Es gibt keine zusätzliche Rechnung, weil die Lizenz seit zwei Jahren bezahlt ist. Der Agent arbeitet mit den Rechten der Person, die ihn angelegt hat, also mit Rechten, die die IT selbst vergeben hat, in Systemen, die die IT selbst freigegeben hat. Formal ist an dieser Konstruktion nichts zu beanstanden. Das ist der Bruch mit der alten Erfahrung: Der neue Wildwuchs entsteht nicht am Freigabeprozess vorbei, sondern durch ihn hindurch.

Damit läuft der Reflex aus der alten Zeit ins Leere. Sperrlisten für öffentliche Chatbots und eine Richtlinie zum Unterschreiben adressieren die Variante von Shadow AI, die noch aussieht wie Schatten-IT, also die Person, die Kundendaten in ein privates Konto kopiert. Dieses Problem ist real, und es ist vergleichsweise gut behandelbar, weil es eine Außengrenze gibt, an der man es abfangen kann. Die zweite Hälfte hat keine.

Ich sehe in Projekten regelmäßig, wie diese Verwechslung die Führung beruhigt. Auf die Frage, wie viele Agents im Haus laufen, kommt inzwischen oft eine Zahl aus einem Verwaltungsportal. Sie klingt nach Überblick. Sie zählt aber Objekte, nicht Verantwortung. Wie viele dieser Agents einen benannten Owner haben und wer für welchen jemals ein Ja gegeben hat, steht in keiner dieser Listen. Was die Plattform liefert, ist eine Zählung. Steuerung wäre die Antwort auf die Frage, wer für jeden Eintrag einsteht.

Gebaut wird trotzdem

Die andere Lektion aus dieser Zeit wird bis heute gern moralisch gelesen: Die Leute halten sich eben nicht an Regeln. Ich halte das für eine Fehldeutung, die uns damals Jahre gekostet hat. Schatten-IT war eine ziemlich präzise Auskunft über den offiziellen Weg. Sie entstand zuverlässig dort, wo dieser Weg langsamer war als der Bedarf, den er bedienen sollte.

Dieses Verhältnis hat sich verschoben, und zwar zuungunsten der Organisation. Früher lagen zwischen dem Wunsch und dem eigenmächtigen Werkzeug immerhin eine Kreditkarte und die Bereitschaft, eine Regel zu dehnen. Heute liegen dazwischen zwanzig Minuten in einer Oberfläche, die für genau diesen Zweck gebaut wurde und die die IT selbst ausgerollt hat. Der Freigabeprozess daneben ist derselbe geblieben: ein Formular und ein Gremium, das in drei Wochen wieder tagt. Wer diese beiden Wege nebeneinanderlegt, muss sich über das Ergebnis nicht wundern. Im Beitrag über das Operating Model habe ich geschrieben, dass Governance ohne erklärbaren Nutzen Umgehung produziert. Bei Agents genügt inzwischen, dass sie zu langsam ist.

Gartner hat dazu im Mai eine Prognose veröffentlicht, über die The Register am 27. Mai berichtet hat: 40 Prozent der Organisationen werden AI-Agents zurückstufen oder wieder abschalten, weil ihre Steuerung nicht trägt. Aufschlussreicher als die Zahl finde ich die Begründung. Gartner führt das darauf zurück, dass Organisationen Agent Governance binär behandeln, also entweder vollständig sperren oder vollständig vertrauen. Ein einheitliches Verfahren über alle Agents hinweg überreguliert die einfachen, verzögert damit die Lieferung und treibt die Entwicklung in den Schatten. Empfohlen wird stattdessen eine abgestufte Steuerung entlang des Autonomiegrades: andere Vertrauensgrenze, andere Anforderungen.

Das klingt nach einer Verfahrensfrage für Spezialisten. Praktisch entscheidet es darüber, ob der offizielle Weg überhaupt benutzt wird. Ein Verfahren, das den Agent für die Sortierung von Postfächern genauso behandelt wie den, der Rechnungen freigibt, produziert Umgehung mit hoher Zuverlässigkeit. Denn die erste Gruppe ist die große, und für sie ist der offizielle Weg objektiv zu teuer.

Was Führung daraus machen kann

Aus alldem folgt keine neue Kontrolldisziplin. Es folgt eine andere Reihenfolge.

Der erste Schritt ist eine Bestandsaufnahme, die niemanden bestraft. Wer jetzt anfängt, unautorisierte Agents zu suchen und abzuschalten, bekommt vor allem bessere Tarnung. Wirksamer ist ein Fenster von wenigen Wochen, in dem jeder Agent ohne Konsequenz gemeldet werden kann und dabei einen Owner und eine Einordnung bekommt. Das ist eine Amnestie, und sie funktioniert aus demselben Grund, aus dem Amnestien überhaupt funktionieren: Sie macht das Melden billiger als das Verstecken. Danach gilt der Pfad, und zwar für alle.

Der zweite Schritt ist die Abstufung, und sie sollte grob ausfallen. Zwei oder drei Klassen genügen, sortiert nach Wirkung: Agents, die nur lesen und vorschlagen. Agents, die in internen Systemen schreiben. Agents, die nach außen handeln, also gegenüber Kundinnen, Kunden oder Behörden. Für die erste Klasse braucht es kein Gremium, sondern einen Eintrag und einen Namen. Erst in der dritten wird die Freigabe zu dem, was heute vielerorts für jeden Agent gilt. Die sechs Fragen an jeden Agent bleiben dieselben. Wie aufwendig ihre Beantwortung ist, hängt davon ab, was der Agent anrichten kann.

Der dritte Schritt ist der unpopulärste. Ownership bleibt dort, wo gebaut wurde. Der häufigste Wunsch der Fachbereiche nach einer Amnestie lautet, die IT möge das jetzt bitte übernehmen. Tut sie das, hat die Organisation den Wildwuchs nicht beseitigt, sondern nur umgebucht: auf eine Abteilung, die weder den Prozess kennt noch beurteilen kann, ob der Agent fachlich noch richtig liegt.

Die Schatten-IT-Ära ging nicht dadurch zu Ende, dass die Werkzeuge wieder verschwunden sind. Sie ging zu Ende, als die Organisationen sie in ihren Bestand übernommen haben, meist Jahre später und zu einem Preis, den vorher niemand budgetiert hatte. Bei Agents wird es genauso laufen. Der einzige Freiheitsgrad, den die Führung hat, ist der Zeitpunkt.