Risiko, Architektur und Handeln
Die Teilnehmer absolvieren die acht vorangegangenen Module individuell und kommen anschließend zu dieser moderierten Sitzung wieder zusammen, um das Gelernte zu testen, zu vergleichen und anzuwenden. Der Abschluss ist bewusst als Workshop konzipiert und nicht als Vortrag oder Quiz: Der Mehrwert entsteht dadurch, dass gemeinsam im Raum an den Unterlagen, Szenarien und Entscheidungen der eigenen Organisation gearbeitet wird – und dass die Teilnehmer am Ende ein konkretes Ergebnis auf Vorstandsebene mitnehmen, statt nur einer Reihe von Notizen.
So läuft die Sitzung ab
Führen Sie diese Übung als synchrone Gruppensitzung von 90 bis 150 Minuten durch, je nach Gruppengröße und der Anzahl der durchzuführenden Übungssätze. Arbeiten Sie in kleinen Gruppen von drei bis fünf Personen. Ein Moderator achtet auf die Zeit, bringt Meinungsverschiedenheiten zur Sprache, anstatt sie zu beschönigen, und sorgt dafür, dass jeder Satz mit einer kurzen Rückmeldung endet. Die vier unten aufgeführten Übungsblöcke münden in den 90-minütigen Abschlussablauf und das dazugehörige Governance-Memo; kleinere Gremien können einen Teil davon durchführen, doch Übungsblock D und der Abschlussablauf sollten immer vollständig absolviert werden.
Übungssatz A – Zuordnung aufzeichnen
Beginnen Sie bei Ihrer eigenen Organisation. Bevor es um Architektur oder Szenarien geht, muss sich die Gruppe ein gemeinsames, klares Bild davon machen, welche Datensätze tatsächlich für die Governance von Bedeutung sind und wo jeweils die größten Schwachstellen liegen.
Workshop-Format
- Führen Sie die zehn wichtigsten, für die Unternehmensführung relevanten Unterlagen auf, über die Ihre Organisation verfügt – Sitzungsprotokolle, Unterlagen für den Vorstand, Strategieentwürfe, Beratungsprotokolle von Ausschüssen, Abstimmungsergebnisse, Verfahren bei abweichenden Meinungen, KI-Zusammenfassungen, Genehmigungen, offizielle Korrespondenz und so weiter.
- Ordnen Sie jeden Datensatz den Kategorien „geringe“, „mittlere“ oder „hohe“ Auswirkung zu, falls er verändert, verloren, weitergegeben oder angefochten würde. Gehen Sie dabei vom schlimmsten denkbaren Fall aus, nicht vom typischen Fall.
- Markieren Sie jeden Datensatz, für den keine unveränderliche Herkunft oder keine nachprüfbare Änderungshistorie vorliegt – also bei dem Sie nicht nachweisen können, wer ihn erstellt hat, wie er geändert wurde oder an wen er weitergegeben wurde.
- Nennen Sie die drei Datensätze, bei denen ein souveräner Ansatz am dringendsten erforderlich ist, und begründen Sie dies jeweils mit einem Satz.
Diskussionsthemen
- In welchen Punkten waren sich die Teilnehmer bei der Bewertung der Folgen uneinig, und was sagt diese Uneinigkeit über unausgesprochene Annahmen aus?
- Welche Datensätze mit „erheblichen Auswirkungen“ wiesen letztendlich die schwächste Herkunftsnachweisbarkeit auf – und warum kommt diese Kombination so häufig vor?
- Wie viele Ihrer Top-Ten-Anbieter nutzen Tools, deren Nutzungsbedingungen, Gerichtsstand oder Verfügbarkeit ohne Ihre Zustimmung geändert werden könnten?
Übungssatz B – Labor zum Ausfallszenario
Ein abstraktes Risiko wird konkret, wenn man einen einzelnen Fehler von Anfang bis Ende nachverfolgt. Weisen Sie jeder Gruppe ein Szenario zu und spielen Sie es dann zweimal durch – einmal in der Welt, in der Sie derzeit leben, und einmal in der Welt, die Sie gestalten könnten.
Workshop-Format
- Der Moderator weist jeder Gruppe ein Szenario zu: eine Auslassung in der KI-Zusammenfassung (eine wesentliche abweichende Meinung, die aus dem Protokoll gestrichen wurde); umstrittene Sitzungsprotokolle (zwei Parteien erinnern sich unterschiedlich an den Beschluss); ein durchgesickertes Vorstandsdokument; ein behördenübergreifender Auskunftsantrag; oder eine ungenaue Urheberschaftsnachverfolgung.
- Stellen Sie Schritt für Schritt nach, wie sich das Szenario in Ihrer aktuellen Umgebung entwickelt – was nachweisbar ist, was umstritten ist, wo das Unternehmen Risiken ausgesetzt ist und wer das Restrisiko trägt.
- Wiederholen Sie nun die Rekonstruktion unter der Annahme einer „Sovereign-Record“-Architektur – mit überprüfbarer Herkunft, kontrollierten Grenzen, nachverfolgbarem Änderungsverlauf und expliziten KI-Einschränkungen.
- Rückmeldung: Welche Schäden verschwinden unter der souveränen Architektur, welche bleiben bestehen und welche werden eher sichtbar (und damit bekämpfbar), anstatt verborgen zu bleiben?
Diskussionsthemen
- Welche Schäden ließen sich nicht durch architektonische Gestaltung vermeiden – und was sagt Ihnen das über die Grenzen der Architektur im Vergleich zu Politik und Kultur?
- In welchen Fällen hat es sich unangenehm angefühlt, ein Unrecht sichtbarer zu machen, und warum könnte gerade dieses Unbehagen der springende Punkt sein?
- Wer entscheidet in einem Fall, der mehrere Rechtsordnungen betrifft, letztendlich darüber, welche Informationen heute offengelegt werden – Ihr Vorstand, die Geschäftsbedingungen eines Anbieters oder eine ausländische Rechtsordnung?
Übungssatz C – Politik und Verfassungsgestaltung
Architektur ohne Regeln ist nichts weiter als reine Datenspeicherung. Bei dieser Aufgabe soll jede Gruppe die Standard-Verfassungsregeln für eine einzelne Datensatzklasse formulieren und diese anschließend anhand eines schwierigen Fallbeispiels auf Herz und Nieren prüfen.
Workshop-Format
- Wählen Sie eine Dokumentenart aus: Sitzungsprotokolle, Strategieentwürfe oder Ausschussberatungen.
- Entwerfen Sie die Standardregeln: Wer darf lesen, wer darf bearbeiten, wer darf exportieren, wer darf genehmigen und wer darf löschen?
- Legen Sie fest, was einer Gegenzeichnung (einer zweiten zuordenbaren Genehmigung) bedarf und was ein KI-Assistent mit dem Dokument tun darf und was nicht – zum Beispiel zusammenfassen, aber niemals stillschweigend ändern, oder einen Entwurf erstellen, aber niemals genehmigen.
- Prüfen Sie die Regeln anhand eines Ausnahmefalls: einer geschützten kulturellen Angelegenheit, eines Arbeitsrechtsstreits oder eines Antrags auf externe Überprüfung. Wo versagen die Standardregelungen, und welche kontrollierte Ausnahme ist erforderlich?
Diskussionsthemen
- Hat Sie dieser Ausnahmefall dazu gezwungen, eine Standardregel zu lockern oder eine kontrollierte Ausnahme mit eigener Herkunft hinzuzufügen? Worin besteht der Unterschied, und warum ist das von Bedeutung?
- Wer kann in Ihrem Entwurf etwas Unumkehrbares bewirken – und wird diese Befugnis gegengezeichnet, protokolliert und begrenzt?
- Was hat eure Gruppe als Dinge festgelegt, die KI niemals tun darf, und wie würde die Architektur dies durchsetzen, anstatt es nur festzulegen?
Aufgabensatz D – Erklärung zu den Maßnahmen des Vorstands
Der Kurs ist nur insofern seinen Preis wert, als er Veränderungen auf Vorstandsebene bewirkt. Jede Gruppe fasst ihre Arbeit nun in einer einseitigen Stellungnahme zusammen und verteidigt diese, wenn sie in Frage gestellt wird.
Workshop-Format
- Entwerfen Sie eine einseitige Erklärung des Vorstands, die vier Teile umfasst: das von Ihnen identifizierte Risiko im Ist-Zustand; das Prinzip, an das Sie sich im Soll-Zustand halten werden; den von Ihnen vorgeschlagenen Umfang des Pilotprojekts; sowie die erforderlichen Steuerungsmechanismen.
- Beschränken Sie sich auf eine Seite – ein Vorstandsbeschluss, der nicht auf eine Seite passt, wird es nicht auf die Tagesordnung des Vorstands schaffen.
- Tragen Sie die Aussage vor der Versammlung vor.
- Stellen Sie sich kritische Fragen von Kollegen, die in der Rolle von Vorstandsmitgliedern (Ist das finanzierbar und verhältnismäßig?), Wirtschaftsprüfern (Können Sie das belegen?) und Aufsichtsbehörden (Erfüllt dies Ihre Verpflichtungen?) auftreten.
Diskussionsthemen
- Welche Frage war am schwierigsten zu beantworten, und liegt die Lücke in Ihren Belegen, Ihrer Architektur oder Ihren Richtlinien?
- Könnte ein skeptischer Vorstand Ihre Erklärung lesen und genau wissen, was er damit genehmigen soll?
- Was müsste in zwölf Monaten der Fall sein, damit es sich gelohnt hätte, diese Aussage zu schreiben?
Der 90-minütige Capstone-Flow
Wenn die Zeit knapp ist, ist dies der unverzichtbare Kern der Einheit. Hier werden die vier Übungsblöcke zu einer einzigen zeitlich festgelegten Abfolge zusammengefasst, die pro Gruppe ein greifbares Ergebnis liefert.
Workshop-Format
- Teil 1 · Risikobeschreibung (20 Min.) – Vervollständigen Sie gemeinsam den Satz: „Unsere Organisation ist einem wesentlichen Risiko ausgesetzt, wenn die Protokolle der Beratungen …“ Stützen Sie sich dabei auf die Zuordnungsaufgaben aus Übungssatz A und die Szenarien aus Übungssatz B.
- Teil 2 · Architekturkonzept (25 Min.) – abgeschlossen: „Ein für unsere Zwecke geeignetes Umfeld für souveräne Entscheidungsfindung wäre …“ Nennen Sie die Eigenschaften, die die in Teil 1 aufgezeigten Schwachstellen beheben würden.
- Teil 3 · Maßnahmenerklärung (25 Min.) – Nennen Sie drei Verpflichtungen: eine auf Vorstandsebene, eine auf operativer Ebene und eine im Rahmen eines Pilotprojekts oder eines Proof-of-Concept. Für jede muss es einen Verantwortlichen und einen Zeithorizont geben.
- Teil 4 · Rückmeldung (20 Min.) – Jede Gruppe stellt ihre Risiko-, Architektur- und Maßnahmenaussagen vor; die Teilnehmer diskutieren diese und verfeinern sie.
Diskussionsthemen
- Leitet sich Ihre Handlungsempfehlung aus Ihrer Risikobeschreibung ab, oder hat sich die Gruppe auf eine bevorzugte Lösung festgelegt, bevor sie das Risiko benannt hat?
- Ist Ihr Pilotprojekt klein genug, um damit zu beginnen, und aussagekräftig genug, um daraus zu lernen?
- Welche der drei Verpflichtungen wird am schwersten einzuhalten sein, und was würde verhindern, dass sie stillschweigend außer Kraft tritt?
Capstone-Ergebnis
Jede Gruppe erhält zum Abschluss ein kurzes Governance-Memo – ein einziges Dokument, auf dessen Grundlage der Vorstand Maßnahmen ergreifen kann. Es umfasst vier Abschnitte: Hauptrisiken (aus der Bestandsaufnahme und dem Szenario-Labor), Grundsätze für den Zielzustand (aus der Architektur-Erklärung und der Richtliniengestaltung), kurzfristige Maßnahmen (Verpflichtungen auf Vorstandsebene, operative Maßnahmen und Pilotprojekte) sowie einen Pilotvorschlag (Umfang, Kontrollmechanismen, Verantwortlicher und Zeithorizont). Das Memo bildet die Brücke von diesem Kurs zu einer konkreten Entscheidung: Es sollte vorgelegt, im Protokoll festgehalten und – passenderweise – als eigenständiges, verbindliches Dokument aufbewahrt werden.