Das Governance-Risiko nichtstaatlicher Beratungsprotokolle
Dieses Modul macht das organisatorische Risiko deutlich. Wenn Protokollaufzeichnungen veränderbar, schwer zu überprüfen, auf verschiedene Anbieter verteilt oder externen Rechtsordnungen ausgesetzt sind, trägt die Organisation ein reales und sich verstärkendes Haftungsrisiko – selbst wenn bisher noch nichts schiefgelaufen ist. Das Ziel besteht darin, diese Risiken so präzise zu benennen, dass ein Vorstand sie in seinen eigenen Systemen erkennen und gegen den Komfort abwägen kann, der sie hervorgebracht hat.
3.1 Aufzeichnungen als Beweisgrundlage für die Legitimität
Die meisten Organisationen behandeln Protokolle von Beratungen als administrativen Ballast – ein Nebenprodukt von Sitzungen, das nur dazu da ist, abgelegt und vergessen zu werden. In der Praxis bilden sie jedoch die Beweisgrundlage für die institutionelle Legitimität. Sie sind das Einzige, was es einer Organisation später ermöglicht, nachzuweisen, dass eine Entscheidung im Rahmen eines ordnungsgemäßen Verfahrens getroffen wurde: dass das relevante Material berücksichtigt wurde, dass abweichende Meinungen Gehör fanden, dass Konflikte bewältigt wurden und dass Genehmigungen echt waren. Wenn das Protokoll darüber, wie eine Entscheidung zustande kam, unbemerkt geändert, unvollständig abgerufen oder als unecht entlarvt werden kann, wird die Fähigkeit der Organisation, ein ordnungsgemäßes Verfahren nachzuweisen, geschwächt – und eine Legitimität, die nicht nachgewiesen werden kann, ist im Zweifelsfall nicht von einer Legitimität zu unterscheiden, die nie vorhanden war.
Wichtige Lerninhalte
- Protokollaufzeichnungen sind Teil des Kontrollumfelds und nicht bloß Archivunterlagen – sie dienen der Organisation als Nachweis dafür, dass ihre Kontrollen tatsächlich funktioniert haben.
- Ein ordnungsgemäßes Verfahren, das Sie nicht nachweisen können, stellt eine Haftung dar und ist kein Einwand; in Streitfällen liegt die Beweislast in der Regel bei der Organisation, die ihr Verfahren nachweisen muss, und nicht beim Widersprechenden, der es widerlegen muss.
- Die Aussagekraft einer Aufzeichnung hängt von ihren Eigenschaften ab – Urheberschaft, Veränderbarkeit, Vollständigkeit, Überprüfbarkeit – und nicht davon, wie gewissenhaft die Beteiligten ihrer Meinung nach gehandelt haben.
Diskussionsthemen
- Welche Entscheidung Ihrer Organisation wäre am schwersten zu verteidigen, wenn bekannt wäre, dass die einzige verfügbare Aufzeichnung unbemerkt bearbeitet werden könnte?
- In welchen Bereichen stützt sich Ihre Unternehmensführung derzeit eher darauf, dass sich die Beteiligten an die Geschehnisse erinnern, als auf Aufzeichnungen, die diese belegen können?
- Was ist der praktische Unterschied zwischen „wir haben uns korrekt verhalten“ und „wir können nachweisen, dass wir uns korrekt verhalten haben“?
3.2 Fünf Risikokategorien
Das Risiko einer nicht-souveränen Protokollierung von Beratungen besteht nicht aus einer einzigen Gefahr, sondern aus einer Reihe unterschiedlicher, sich gegenseitig verstärkender Risiken. Indem man diese Risiken einzeln benennt, kann ein Vorstand jedes einzelne anhand seiner eigenen Systeme bewerten, anstatt sich auf ein vages Unbehagen gegenüber „der Cloud“ zu verlassen. Fünf Kategorien decken diesen Bereich ab.
- Integrität – Aufzeichnungen können unbemerkt bearbeitet, überschrieben oder zusammengefasst werden, sodass keine Partei sicher sein kann, dass die Aufzeichnung den tatsächlichen Geschehnissen entspricht.
- Gerichtsbarkeit – Daten, die auf einer von ausländischen Unternehmen kontrollierten Infrastruktur gespeichert sind, unterliegen ausländischen Gesetzen und den Verpflichtungen der Anbieter, einschließlich einer erzwungenen Offenlegung, von der die Organisation möglicherweise niemals Kenntnis erhält.
- Wiederverwendung von KI – Sensibles Entscheidungsmaterial kann das Verhalten des Modells auf undurchsichtige Weise beeinflussen, wenn die Architektur nicht souverän ist, ohne dass es eine verlässliche Abgrenzung hinsichtlich der nachgelagerten Nutzung gibt.
- Nachvollziehbarkeit – ohne verlässliche Nachweise kann die Organisation nicht nachvollziehen, wie eine Schlussfolgerung zustande gekommen ist, sodass Entscheidungen weder überprüft, angefochten noch angemessen begründet werden können.
- Vertrauen – Die Beteiligten könnten berechtigterweise daran zweifeln, dass der Prozess fair, vollständig und wahrheitsgetreu dokumentiert war, was das Vertrauen untergräbt, selbst wenn die zugrunde liegende Entscheidung fundiert war.
Diese Risiken überschneiden sich. Ein Zuständigkeitsproblem kann zu einem Problem bei der Wiederverwendung von KI werden; eine Integritätslücke führt unmittelbar zu einer Anfechtbarkeitslücke; und jedes dieser Probleme wird, sobald es für die Beteiligten sichtbar wird, zu einem Vertrauensproblem. Bei der KI-gestützten Governance spitzt sich die Situation zu: Es reicht nicht aus, nur die Endergebnisse zu speichern. Organisationen benötigen vertrauenswürdige Nachweise über die erteilten Eingabeaufforderungen, die herangezogenen Quellen, die durchgeführten Überprüfungsschritte und die erteilten Genehmigungen. Eine veränderbare Aufzeichnung schwächt gleichzeitig sowohl die rechtliche Verteidigungsfähigkeit als auch die ethische Rechenschaftspflicht.
Weiterführende Literatur
- Europäischer Datenschutzbeauftragter – TechDispatch zum Thema Blockchain — über Integrität und Überprüfbarkeit als Eigenschaften des Datenschutzes und darüber, wo sie hilfreich sind (oder auch nicht).
- ENISA – Datenschutztechnik — technische Maßnahmen zur Gewährleistung der Integrität, Rückverfolgbarkeit und Nachvollziehbarkeit in Datensystemen.
Diskussionsthemen
- Welchem der fünf Risiken ist Ihr Unternehmen derzeit am stärksten ausgesetzt – und welches davon wurde noch nie überhaupt bewertet?
- Wenn KI Sie heute bei der Unternehmensführung unterstützt: Können Sie die Eingabeaufforderungen, Quellen, Überprüfungsschritte und Genehmigungen hinter einem bestimmten Ergebnis nachweisen oder nur das Ergebnis selbst?
- Welches dieser fünf Risiken wird zu einer existenziellen Bedrohung, wenn die Entscheidung Rechte, kulturelle Legitimität, öffentliche Mittel oder langfristige Vermögenswerte betrifft?
Fallsimulation · Triage anhand von fünf Risikofaktoren
Markieren Sie für jedes der unten aufgeführten Aufzeichnungssysteme, wo das größte Risiko tatsächlich liegt. Dies ist eine Triage, kein endgültiges Urteil – das Ziel besteht darin, zu erkennen, welchen der fünf Risikokategorien jedes System Sie aussetzt, damit der Vorstand dieses Risiko gegen den damit verbundenen Komfort abwägen kann.
Selbsttest
1. Warum werden Protokollaufzeichnungen als Beweisgrundlage für die Legitimität bezeichnet?
Die Legitimität, die in Frage gestellt wird, ist das, was die Organisation nachweisen kann – und das Protokoll der Beratungen ist das Mittel für diesen Nachweis.
2. Welche Aussage beschreibt das Risiko der „Wiederverwendung von KI“ am besten?
Ohne eine souveräne Architektur gibt es keine verlässliche Abgrenzung dafür, wie das Beratungsmaterial in nachgelagerten Prozessen verwendet wird.
3. Bei der KI-gestützten Unternehmensführung reicht es nicht aus, das Endergebnis zu speichern, da die Organisation außerdem … benötigt.
Anfechtbarkeit und Rechenschaftspflicht hängen davon ab, wie das Ergebnis zustande gekommen ist, und nicht allein vom Ergebnis selbst.