Wer verantwortet den Agenten?

Governance-Benchmark über 210 Unternehmen: Zuständigkeit, Freigabe, Haftung

In 54 Prozent der Unternehmen ist nicht eindeutig geregelt, welches Gremium die Handlungen eines produktiven Agenten verantwortet. Der Benchmark ordnet die gefundenen Modelle und ihre Belastbarkeit.

Vier gefundene Modelle

Modell A, Delegation an die IT: am häufigsten, am wenigsten belastbar. Die IT verantwortet den Betrieb, nicht aber die fachliche Wirkung einer Handlung. In allen untersuchten Vorfällen mit fachlicher Auswirkung war dieses Modell im Einsatz.

Modell B, Zuordnung zum Fachbereich: der Fachbereich verantwortet, die IT betreibt. Belastbarer, erfordert aber im Fachbereich eine Kompetenz zur Beurteilung technischer Rechte, die selten vorhanden ist.

Modell C, dediziertes Freigabegremium: 23 Prozent der Unternehmen, in regulierten Branchen deutlich häufiger. Höchster Aufwand, klarste Zuordnung.

Modell D, Zuordnung an einen benannten Verantwortlichen je Agent, analog zum Anwendungsverantwortlichen. Selten, aber in der Bewertung der Autoren das tragfähigste Modell für Unternehmen ohne eigenes Gremium.

Die Reißleine als Prüfstein

Die Autoren schlagen eine einfache Prüffrage für Aufsichtsgremien vor: Wer darf einen produktiven Agenten binnen fünf Minuten abschalten, und ist das erprobt? Nur 11 Prozent der Unternehmen konnten beides beantworten. In 39 Prozent war zwar eine Abschaltmöglichkeit vorhanden, aber nie erprobt.

Prüfung der Rechte

Am schwächsten ausgeprägt ist die wiederkehrende Prüfung: Nur 6 Prozent der Unternehmen überprüfen regelmäßig, welche Rechte ein Agent tatsächlich noch benötigt. Rechte, die für einen Pilotzweck vergeben wurden, bleiben in der Regel bestehen. Die Autoren sprechen von schleichender Rechteakkumulation und vergleichen sie mit der bekannten Problematik verwaister Berechtigungen bei menschlichen Mitarbeitern.