Risikobewertung und organisatorische Migration
Dieses Modul setzt die Konzepte des Kurses in einen praktischen Rahmen um, den ein Vorstand nutzen kann. Es enthält eine Risikotaxonomie zur Bewertung nicht-souveräner Datensätze, Indikatoren für die Umsetzungsreife, die signalisieren, dass eine Organisation mit der ernsthaften Umsetzung beginnen kann, sowie einen realistischen, schrittweisen Migrationsplan. Das Ziel besteht nicht darin, alle Unterlagen von heute auf morgen als souverän einzustufen, sondern dem Vorstand dabei zu helfen, zu entscheiden, welche Unterlagen diese Umstellung rechtfertigen und wie damit begonnen werden kann.
8.1 Eine Risikoklassifizierung auf Vorstandsebene
Nicht jeder Datensatz hat denselben Bekanntheitsgrad, und wenn man sie alle gleich behandelt, verschwendet man Aufwand und verdeckt dabei die Datensätze, die wirklich von Bedeutung sind. Ein Gremium kann nicht-staatliche Datensätze anhand von sechs Dimensionen bewerten: Rechtsraumrisiko (welche Gesetze und Behörden für die Daten gelten), Beweisrisiko (ob Authentizität und Integrität nachgewiesen werden können), kulturelles Risiko bzw. Risiko des Vertrauens der Gemeinschaft (ob die Verwahrung den Erwartungen der Gemeinschaft entspricht), Risiko einer KI-Übersteuerung (ob maschinelle Prozesse ohne menschliche Kontrolle agieren können), Portabilitätsrisiko (ob die Organisation ihre Datenhistorie vollständig mitnehmen kann) und Risiko der Betreiberabhängigkeit (ob die Kontinuität von einem einzigen Anbieter oder einer einzelnen Person abhängt).
Wichtige Lerninhalte
- Die sechs Dimensionen sind ein Instrument zur Einstufung, keine Bewertungsskala – sie helfen dem Vorstand dabei, Unterlagen nach ihrem Risiko einzustufen, und dienen nicht dazu, eine einzige Note zu vergeben.
- Ein Datensatz kann in den meisten Bereichen ein geringes Risiko aufweisen und in einem Bereich ein extrem hohes Risiko; dieser eine Bereich reicht bereits aus, um ein eigenständiges Substrat zu rechtfertigen.
- Das Risiko einer KI-Übersteuerung und das Risiko der Abhängigkeit vom Bediener werden häufig unterschätzt, da sie erst am Tag des Tests sichtbar werden.
Diskussionsthemen
- Auf welche der sechs Dimensionen hat Ihre Organisation derzeit keine stichhaltige Antwort?
- Wo stehen Komfort und Sichtbarkeit im Widerspruch zueinander, und wer entscheidet über den Kompromiss?
- Welche Datensätze sind so risikoarm, dass man sie unberührt lassen kann, und ist diese Einschätzung irgendwo schriftlich festgehalten?
8.2 Indikatoren für die Einsatzbereitschaft
Die Einführung von KI scheitert, wenn sie als Entscheidung über die Tool-Auswahl und nicht als Governance-Entscheidung beginnt. Unternehmen sind für ernsthafte Einführungsmaßnahmen bereit, wenn sie vier Dinge klar umsetzen können: ihre besonders wertvollen Governance-Dokumente benennen, ihre derzeitigen Abhängigkeiten von Anbietern identifizieren, ihre KI-gestützten Arbeitsabläufe beschreiben und darlegen, welche Entscheidungen ausdrücklich von Menschen getroffen werden müssen. Für all dies ist keine neue Technologie erforderlich – vielmehr muss sich der Vorstand klar mit seinen eigenen Praktiken auseinandergesetzt haben.
Wichtige Lerninhalte
- Die Benennung besonders wertvoller Datensätze zwingt dazu, zwischen dem, was sich wichtig anfühlt, und dem, was im Ernstfall tatsächlich eine tragende Rolle spielen würde, zu unterscheiden.
- Die Erfassung von Lieferantenabhängigkeiten verdeutlicht konkret die in Abschnitt 8.1 genannten Risiken in Bezug auf Betreiberabhängigkeit und rechtliche Zuständigkeiten.
- Die Klärung der Frage, welche Entscheidungen weiterhin von Menschen getroffen werden müssen, ist die Grenze, die dafür sorgt, dass KI-gestützte Arbeitsabläufe sicher erweitert werden können, anstatt dass ihre Einführung ein Risiko darstellt.
Diskussionsthemen
- Könnte Ihr Vorstand heute seine besonders wertvollen Governance-Unterlagen auflisten, ohne zuvor eine Sitzung abzuhalten, um diese Liste zu erstellen?
- Welche KI-gestützten Arbeitsabläufe werden derzeit genutzt, die der Vorstand nie offiziell beschrieben oder genehmigt hat?
- Welche Entscheidungen hat die Organisation implizit an ein Tool delegiert, von denen sie bei näherer Betrachtung jedoch darauf bestehen würde, dass sie in menschlicher Hand bleiben müssen?
8.3 Der Migrationspfad
Digitale Souveränität ist ein Prozess und kein Alles-oder-Nichts-Sprung. Ein realistischer, schrittweiser Ansatz ermöglicht es einer Organisation, zielgerichtet vorzugehen, aus einem begrenzten ersten Schritt zu lernen und erst dort zu expandieren, wo der Nutzen nachgewiesen ist. Die Schritte: (1) Ermittlung der Entscheidungsunterlagen mit dem höchsten Risiko; (2) Erfassung von Abhängigkeiten hinsichtlich Rechtsordnungen und Anbietern; (3) Trennung von Arbeitsabläufen, die der Bequemlichkeit dienen, von solchen, die als „verfassungsmäßiges Gedächtnis“ fungieren; (4) Einführung einer strengeren Protokollierung von Herkunft und Genehmigungen; (5) Pilotierung einer souveränen Umgebung für eine abgegrenzte Governance-Funktion; und (6) Ausweitung auf KI-gestützte Entscheidungshilfen und sensible, gemeinschaftsbezogene Prozesse.
Wichtige Lerninhalte
- Die Phasen 1–3 dienen der Diagnose und sind nahezu kostenlos; sie schärfen die Urteilsfähigkeit, bevor eine Entscheidung über den Einsatz von Technologie getroffen wird.
- Die Trennung von Workflows für den praktischen Gebrauch von Workflows mit konstitutionellem Speicher verhindert eine übermäßige Komplexität bei Datensätzen, bei denen dies nicht erforderlich ist.
- Ein begrenztes Pilotprojekt liefert die Belege und das Vertrauen, die eine Ausweitung auf KI-gestützte und gemeinschaftsorientierte Prozesse rechtfertigen – die Reihenfolge ist entscheidend.
Diskussionsthemen
- Was ist das kleinste realisierbare Pilotprojekt, das dennoch den Nutzen von Aufzeichnungen über staatliche Beratungsprozesse für die Regierungsführung belegt?
- Welcher Arbeitsablauf ist wirklich „Bequemlichkeit“ und welcher ist verfassungsrechtliches Gedächtnis, das sich als Bequemlichkeit tarnt?
- Was müsste am Ende einer Pilotfolge gegeben sein, damit der Vorstand die sechste Staffel genehmigt?
8.4 Kompromisse und was man dafür opfert
Eine souveräne Entscheidung ist nicht kostenfrei, und ein Vorstand tut sich keinen Gefallen, wenn er sie als solche behandelt. Bei einer disziplinierten Umsetzung werden die Kosten gegen den Nutzen abgewogen, und dieselbe Risikodisziplin wie in Abschnitt 8.1 gilt auch für die souveräne Entscheidung selbst.
Wichtige Lerninhalte
- Laufende Kosten – staatliche Infrastruktur muss finanziert, instand gehalten und betrieben werden; diese Kosten sind real und wiederkehrend, es handelt sich nicht um einmalige Ausgaben.
- Komfort und Integrationen – auf einen Teil des Komforts, der Ausgereiftheit und der vorgefertigten Integrationen gängiger Tools wird verzichtet, und diese Einschränkungen machen sich im Alltag bemerkbar.
- Kontinuität des Anbieters – Ein kleinerer oder neuerer Anbieter birgt Risiken hinsichtlich Kontinuität und Reife, die bei einem großen etablierten Anbieter möglicherweise nicht bestehen, und diese Risiken müssen gründlich bewertet werden.
- Eine souveräne Plattform stellt an sich bereits eine Betreiberabhängigkeit dar – die Einführung einer einzigen souveränen Plattform birgt ein eigenes Risiko der Betreiberabhängigkeit und muss derselben Taxonomie gemäß Modul 8.1 unterzogen werden; sie darf nicht davon ausgenommen werden.
Diskussionsthema
- Wenn Sie die „Sovereign Option“ selbst anhand der 8.1-Risikotaxonomie bewerten würden, in welchen Punkten würde sie schlechter abschneiden als Ihre derzeitige Regelung – und ist das ein Kompromiss, den Ihr Vorstand bewusst in Kauf nehmen würde?
Selbsttest
1. Welchem Zweck dient die sechsdimensionale Risikotaxonomie in Abschnitt 8.1?
Die Taxonomie stuft Datensätze nach ihrer Exposition in verschiedenen Dimensionen ein – bereits eine einzige akute Dimension kann ausreichen, um eine Änderung zu rechtfertigen.
2. Gemäß 8.2 hängt die Bereitschaft für eine ernsthafte Adoptionsarbeit in erster Linie von … ab.
Bereitschaft entsteht durch klare Selbsterkenntnis, nicht durch das Budget oder die Werkzeuge – ein Vorstand, der sein verfassungsmäßiges Gedächtnis nicht wiederfinden kann, ist nicht bereit, es zu übertragen.
3. Wofür sollte das erste Migrationspilotprojekt ausgewählt werden?
Der erste Anwendungsfall sollte den Nutzen unmissverständlich verdeutlichen – ein Workshop sollte dem Gremium eine Pilothypothese liefern und nicht nur ein abstraktes Bewusstsein schaffen.