Der Quelltext beschreibt ein wiederkehrendes Muster in Unternehmen: Taucht eine neue Anwendung auf, blockiert die Sicherheitsabteilung sie, Beschäftigte suchen innerhalb weniger Tage nach einem Umweg, und der Kreislauf beginnt von vorn. Entscheidend sei dabei die Geschwindigkeit. Wenn der offizielle Freigabeweg sechs Wochen dauere, ein Ausweichweg aber nur sechs Minuten, würden sich die meisten Mitarbeitenden für den schnelleren Weg entscheiden.
Als Ursache nennt der Beitrag nicht allein technische Fragen, sondern menschliches Verhalten. Technik werde übernommen, weil Menschen sie nützlich finden. Governance, die dieses Verhalten ignoriere, werde stets umgangen. Genau daraus entstehe der Kreislauf aus Sperren und Ausweichlösungen: Regeln würden entworfen, ohne die Personen ausreichend zu berücksichtigen, für die sie gelten.
Sicherheitsverantwortliche, die dieses Muster durchbrechen, hätten laut Quelltext den Ansatz verändert. Wenn eine Fachabteilung eine neue KI-Funktion einführen wolle, gehe der erste Anruf an die Sicherheitsabteilung. Das gelinge dort, wo Sicherheitsteams gezeigt hätten, dass sie schnell handeln und Mehrwert liefern können. Die zugrunde liegende Idee sei einfach: Mitarbeitende sollen einen klaren und schnellen Weg erhalten, um freigegebene Werkzeuge zu nutzen, neue anzufordern und nachzuvollziehen, warum die Leitlinien existieren.
Diese Wahrnehmung wirke sich auch auf die Rolle von CISOs aus. Wer sich diesen Ruf erarbeite, werde in strategische Gespräche bereits in der Planungsphase einbezogen, also bevor Entscheidungen festgeschrieben seien. Dann könne der Beitrag der Sicherheitsverantwortlichen den Ausgang tatsächlich mitgestalten.
Als Grundlage nennt der Text ein aktuelles Inventar der eingesetzten KI-Werkzeuge. Unternehmen müssten wissen, welche KI-Tools im Einsatz sind, wer von ihnen abhängt und auf welche Daten die jeweiligen Anwendungen zugreifen können. OAuth-Prüfungen verbundener Anwendungen und browsernahe Überwachung könnten dieses Bild schnell erstellen. Ohne eine solche Übersicht bleibe Governance ein Ratespiel.
Der Beitrag ordnet den Erfolg dieser Teams als Gestaltungsaufgabe ein. Die Sicherheitsteams, die sich einen Platz am Strategietisch erarbeiten, hätten Governance nicht primär als Kontrollinstrument verstanden. Stattdessen hätten sie zunächst gefragt, wie sich der sichere Weg so gestalten lässt, dass Mitarbeitende ihn freiwillig nutzen wollen, anstatt sich darauf zu konzentrieren, bereits eingesetzte KI-Werkzeuge nachträglich zu kontrollieren.
Aus dieser Perspektive entstehe laut Quelltext etwas, das sich mit Regeln allein nicht erreichen lasse: Mitarbeitende nutzten das System aus eigenem Antrieb, und die Organisation beginne, die Sicherheitsabteilung als Team wahrzunehmen, das sowohl Menschen als auch Risiken versteht. Die Einführung von KI beschleunige sich unabhängig davon, welche Governance-Maßnahmen ein Unternehmen ergreift. Entscheidend sei daher, mit der richtigen Frage zu beginnen.
Am Ende verweist der Quelltext auf das Produkt AI Governance von Adaptive Security. Es soll Sicherheitsteams Echtzeit-Einblick in sämtliche KI-Werkzeuge und Schattenanwendungen in ihrer Organisation geben und bringe automatisierte Richtlinien sowie eine Unterstützung von Mitarbeitenden genau zum Nutzungszeitpunkt mit.