Ein Controller in der Finanzabteilung öffnet eine Datei mit dem Namen „Customer Database FINAL v6.accdb“. Es ist Montagmorgen, und das System hat über das Wochenende wieder einmal keine neuen Datensätze angenommen. Der Controller kennt das Prozedere: Er schreibt eine E-Mail an die IT, in der er erklärt, dass die Datenbank für die monatliche Provisionsabrechnung nicht mehr funktioniert. Die IT-Abteilung hat diese Anwendung nie gebaut, nie freigegeben, und bis zu dieser E-Mail wahrscheinlich nicht einmal von ihrer Existenz gewusst. Ein Kollege aus der Buchhaltung hat sie vor acht Jahren erstellt, als das ERP-System die damalige Sonderregelung nicht abbilden konnte. Seitdem läuft das Ding auf einem Freigabe-Laufwerk – und es trägt das halbe Geschäft.
Wer länger in der IT arbeitet, kennt diese Szene. Vielleicht haben Sie selbst eine solche Datenbank übernommen oder von einer gehört, die irgendwo im Firmennetzwerk schlummert. Der Autor beschreibt genau dieses Phänomen. Access selbst war nicht das Problem – im Gegenteil, es war brillant. Es ermöglichte normalen Mitarbeitern, echte Probleme zu lösen, ohne sechs Monate auf ein IT-Projekt zu warten. Ein Domain-Experte konnte sein Geschäftsverständnis in eine funktionierende Anwendung verwandeln. Das Problem war nicht das Werkzeug, sondern der radikale Kostenverfall der Softwareentwicklung bei unveränderten Governance-Strukturen. Diese kleinen, bereichsbezogenen Anwendungen fielen komplett durch das Raster.
Das Muster der Schatten-IT: Access als Vorbote
Access war weder die erste noch die letzte Welle. Excel-Makros, SharePoint-Workflows, Power Apps – jede dieser Wellen senkte die Hürde für nicht-technische Mitarbeiter, selbst Software zu bauen. Jede schuf großen Wert, jede hinterließ technische Schulden für diejenigen, die später aufräumen mussten. Ein cleveres Spreadsheet sparte einer Abteilung vielleicht hundert Stunden pro Jahr. Doch fünf Jahre später, wenn es geschäftskritisch ist und der Ersteller das Unternehmen verlassen hat, wird es zum Risiko.
In der IT-Governance denkt man oft an zehn große, zentrale Anwendungen. Aber das Problem ist kein Governance-Versagen, sondern Skalierungsversagen. Eine Abteilung kann hundert kleine Tools regeln, aber nicht zehntausend. An dieser Stelle setzt der nächste Schritt an. KI verschiebt die Ökonomie der Softwareherstellung um eine Größenordnung. Ein Mitarbeiter braucht keine Kenntnisse in Datenbankdesign, Excel-Formeln oder VB-Script. Er beschreibt in natürlicher Sprache, was er braucht, und erhält sofort eine funktionierende Version. Sie mag nicht perfekt sein, nicht sicher, nicht gut dokumentiert – aber sie löst das unmittelbare Problem.
KI-Agenten: Die neue Welle der Schatten-IT
Ein Vertriebsmitarbeiter kopiert jeden Morgen dieselben Daten aus drei Systemen in eine vierte Anwendung. Früher hätte er das an die IT gemeldet oder als lästige Routine akzeptiert. Heute beschreibt er das Problem seinem KI-Assistenten und hat in fünfzehn Minuten ein Skript, das die Aufgabe automatisiert. Am Ende der Woche nutzt das ganze Team das Tool, der manuelle Schritt ist aus den Kalendern verschwunden. Kein Projekt, keine Freigabe, keine Inventarliste.
Diese Prozesse haben eine entscheidende Konsequenz: Governance-Mechanismen, die für monatelange Projekte mit erheblichem Budget entwickelt wurden, greifen nicht mehr. Ein KI-generierter Workflow, der in zwanzig Minuten entsteht, geht nicht durch ein Steering Committee. Die Leute umgehen die Governance – verständlich, denn es ist rational. Das macht die Werkzeuge nicht harmlos. Ein Skript aus einer halben Stunde kann einen Kundendatensatz löschen, tausende falsche E-Mails versenden oder die Provisionsberechnung eines Quartals durcheinanderbringen. Die Erstellungszeit war noch nie ein Maß für die Wichtigkeit eines Systems.
Die Governance-Falle: Warum Skalierung versagt
Wasser fließt um jeden Felsen. Setzt man Governance als Barriere, findet das Wasser einen Weg. Das ist keine Böswilligkeit, sondern menschliches Verhalten – man will den Job gut machen und das schnellste Werkzeug nutzen. Die Lösung ist nicht, die Barriere höher zu bauen, sondern Governance selbst zu skalieren: automatisierte Kontrollen im Hintergrund statt manueller Freigaben.
Doch bis dahin ist es weit. Die IT-Abteilung ist heute schon überfordert mit der Menge an KI-Artefakten. Sein Arbeitgeber hat hunderte genehmigte Anwendungen, aber wahrscheinlich zehntausende kleiner KI-geschaffener Dinge – Agents, Workflows, Skripte, Prompts, die als „Agent Skills“ geteilt werden. Das Problem wird sich verschärfen, denn die Erstellung wird einfacher, die Transparenz hält nicht Schritt.
Software als Wegwerfprodukt: Neue Risiken, alte Verantwortung
Früher wurde Software als Asset behandelt – man dokumentierte sie für die Weiterentwicklung, plante Upgrades, weil sie jahrelang überleben sollte. Das gilt heute nicht mehr. Eine Abteilung kann eine bestehende Anwendung verwerfen und per KI eine neue generieren lassen, statt die alte zu warten. Ein Workflow existiert vielleicht nur für drei Wochen für einen temporären Prozess. Mehrere Teams generieren unabhängig voneinander leicht unterschiedliche Lösungen, weil das Erstellen einer neuen Variante weniger Aufwand ist als die bestehende anzupassen.
„Disposable bedeutet nicht konsequenzfrei.“ Ein Einwegbecher ist einfach, weil nichts von ihm abhängt. Software verbindet sich schnell mit Menschen, Systemen, Daten und Entscheidungen. Sie ist leicht zu erstellen, aber sobald jemand sich auf sie verlässt, trägt sie das Unternehmen. Der Code ist wegwerfbar, die Konsequenzen nicht. Die neue technische Schuld besteht nicht aus schlechtem Code, sondern aus einer diffusen Masse von natürlichsprachigen Anweisungen, Berechtigungen, Workflow-Verbindungen und impliziten Annahmen, die nirgends dokumentiert sind.
Shadow AI: Unsichtbare Artefakte und die Frage nach dem Eigentum
Der klassische Schatten-IT-Ansatz ging vom Kapazitätsproblem aus: Die zentrale IT lieferte zu langsam, also halfen sich die Fachbereiche selbst. Bei Shadow AI ist es ein Sichtbarkeitsproblem. Kapazität ist heute kein Thema mehr – jeder kann beliebig viele Artefakte erzeugen. Entscheidend ist: Wer weiß, was im Umlauf ist? Dann folgen Fragen: Wem gehört ein KI-Agent? Mit welcher Identität tritt er auf? Welche Berechtigungen hat er? Welche Systeme kann er erreichen? Welche Daten verarbeitet er – und wer haftet bei Fehlern?
Jede Welle der Schatten-IT erhöhte die Fähigkeit einzelner Mitarbeiter, komplexe Ergebnisse mit weniger Reibung zu erzeugen. Jede hinterließ ein aufgeschobenes Problem – das jetzige ist das größte, denn es geht um Entscheidungen im Namen des Unternehmens. Ein KI-Agent, der E-Mails formuliert, ein Skript, das Zahlungen auslöst, ein Workflow, der Policy-Ausnahmen genehmigt – das sind keine Spielereien, sondern geschäftskritische Prozesse außerhalb jeder Kontrolle.
Was können Unternehmen tun? Zwei Dinge. Erstens: Governance muss von der Projekt- auf die Artefakt-Ebene wechseln. Statt Projekte freizugeben: automatische Inventarisierung, kontinuierliche Überwachung, Klassifizierung von KI-generierten Tools nach Risiko. Zweitens: Akzeptieren, dass die Ära langfristiger, sorgfältig gepflegter Anwendungen vorbei ist. Die Realität sind kurzlebige, wirkungsvolle Automatisierungen, die schneller veralten als jedes Legacy-System. Die IT von morgen ist nicht Hüter aller Systeme, sondern Gestalter eines sicheren Rahmens für Experimente – ohne dass das Unternehmen unter den Konsequenzen leidet. Das ist keine Drama, sondern die nächste Stufe der digitalen Evolution.
Quelle: sjg.io
