Ein technisch funktionierender Prototyp ist noch kein belastbarer Unternehmensprozess. Vor der KI-Automatisierung müssen sechs Voraussetzungen geklärt sein.
Kernaussage
Aufgabe, Daten, Rollen, Freigabe, Risiko und Erfolgskriterium gehören vor die technische Umsetzung.
Wer diese sechs Felder erst nach dem Aufbau klärt, passt den Prozess an das Werkzeug an. Wer sie vorher klärt, kann entscheiden, ob KI überhaupt notwendig ist, welches Kontrollniveau gilt und wie der Ablauf in die Organisation passt.
Ausgangslage
Im Oktober 2023 war generative KI längst in vielen Unternehmen angekommen.
Texte wurden vorbereitet, Dokumente zusammengefasst, Anfragen klassifiziert und erste Abläufe über Schnittstellen verbunden. Gleichzeitig entstand ein typischer Übergang:
Aus einem hilfreichen Einzelversuch sollte ein wiederholbarer Prozess werden.
Beispiel:
Ein Mitarbeitender nutzt ein Sprachmodell, um eingehende Anfragen zu analysieren und eine Antwort vorzubereiten. Das Ergebnis spart Zeit. Nun soll der Vorgang automatisch nach jedem Formulareingang starten.
Damit verändert sich die Risikolage.
Der Einzelversuch war sichtbar und kontrollierbar. Die Automatisierung verarbeitet künftig jeden passenden Vorgang, möglicherweise mit personenbezogenen Daten, unterschiedlichen Fällen und unmittelbaren Folgeaktionen.
Vor diesem Übergang reicht die Frage „Funktioniert der Prompt?“ nicht mehr aus.
Die sechs Prüffelder
1. Aufgabe
Die Aufgabe muss enger beschrieben sein als der gesamte Prozess.
Nicht ausreichend:
KI soll Kundenanfragen bearbeiten.
Präziser:
Das System soll aus einer vollständigen Anfrage die betroffene Leistung und fehlende Pflichtangaben erkennen, einen internen Antwortentwurf vorbereiten und unsichere Fälle markieren.
Die Beschreibung muss enthalten:
- erwartetes Ergebnis,
- zulässige Eingaben,
- nicht zulässige Aufgaben,
- Abbruchbedingungen,
- Weiterverarbeitung.
Je breiter die Aufgabe, desto schwieriger werden Prüfung und Verantwortung.
2. Daten
Es muss geklärt sein, welche Daten verwendet werden, woher sie stammen und wohin sie übertragen werden.
Prüffragen:
- Sind personenbezogene oder vertrauliche Informationen enthalten?
- Ist die Nutzung für den Zweck erforderlich?
- Welche Daten können minimiert oder entfernt werden?
- Welcher Anbieter verarbeitet die Daten?
- Wo werden Eingaben und Ausgaben gespeichert?
- Welche Berechtigungen gelten?
- Welche Quellen sind verbindlich und aktuell?
Die Datenschutzprüfung richtet sich nach dem konkreten Einsatz. Dieser Beitrag ersetzt keine Rechtsberatung. Bei personenbezogenen Daten, besonderen Kategorien, Beschäftigtendaten oder erheblichen Auswirkungen ist eine spezialisierte Kanzlei oder ein Datenschutzbeauftragter einzubeziehen.
3. Rollen
Der Ablauf benötigt benannte Rollen.
Mindestens:
- fachlicher Prozessverantwortlicher,
- Verantwortlicher für Wissen und Daten,
- technische Zuständigkeit,
- prüfende oder freigebende Rolle,
- Ansprechpartner für Fehler und Eskalation.
Eine Person kann mehrere Rollen übernehmen. Die Funktionen müssen trotzdem getrennt beschrieben sein.
Ohne diese Klarheit bleibt ein Fehler zwischen Fachbereich, IT und Anbieter liegen.
4. Freigabe
Es muss festgelegt sein, was automatisch weiterverarbeitet werden darf und was menschliche Bestätigung benötigt.
Mögliche Stufen:
- interner Entwurf ohne externe Wirkung,
- automatische Verarbeitung mit Stichproben,
- Pflichtprüfung vor Versand,
- Vier-Augen-Freigabe,
- keine Automatisierung bei unsicherem oder sensiblem Fall.
Freigabe ist kein einheitlicher Schalter. Sie richtet sich nach Wirkung, Umkehrbarkeit und Fehlerfolgen.
5. Risiko
Risiko wird im konkreten Kontext bewertet.
Relevante Kategorien:
- fachlich falsche Ausgabe,
- unzulässige Datenverarbeitung,
- diskriminierende oder unangemessene Behandlung,
- Sicherheits- oder Zugriffsproblem,
- Reputationsschaden,
- falsche Systemaktion,
- fehlende Nachvollziehbarkeit,
- Abhängigkeit von Anbieter oder Modell,
- unerwarteter Prozessabbruch.
Der NIST AI RMF ordnete Risiko bereits 2023 als laufende Aufgabe aus Governance, Kontext, Messung und Behandlung ein. Eine einmalige Freigabe ersetzt keine Beobachtung im Betrieb.
6. Erfolgskriterium
Vor dem Aufbau wird festgelegt, woran Nutzen und Qualität beurteilt werden.
Mögliche Kriterien:
- Anteil korrekt erkannter Fälle,
- Anteil notwendiger Nacharbeit,
- Bearbeitungszeit,
- Zahl und Art der Eskalationen,
- Fehlerfolgen,
- Nutzerakzeptanz,
- Prozesskosten,
- Daten- und Sicherheitsvorfälle.
Ein Erfolgskriterium darf nicht nur lauten, dass die Automatisierung technisch ausgeführt wurde.
Strategische Einordnung
Die sechs Felder bilden keine zusätzliche Verwaltungsschicht. Sie übersetzen technische Möglichkeiten in eine verantwortbare Unternehmensentscheidung.
NIST ordnet diese Aufgabe als Verbindung von Governance, Kontext, Messung und Risikobehandlung. ISO/IEC 23894 behandelt Risiko ebenfalls über den gesamten Lebenszyklus. Für einen einzelnen Anwendungsfall bedeutet das: Die Prüfung endet nicht mit dem Pilot. Änderungen an Modell, Daten, Prozess oder Anbieter können eine erneute Bewertung auslösen.
Das Modell schafft damit einen gemeinsamen Übergabepunkt zwischen Fachbereich, Technik, Datenschutz und Führung.
Das Prüfmodell
Perspektive aus der Praxis
Die sechs Prüffelder müssen nicht in einem monatelangen Programm bearbeitet werden.
Für einen begrenzten Anwendungsfall kann ein kompaktes Arbeitsdokument ausreichen:
- eine Seite Aufgabenbeschreibung,
- Daten- und Quellenliste,
- Rollenübersicht,
- Freigaberegel,
- Risikoliste,
- Messplan.
Der Wert liegt in der gemeinsamen Entscheidung.
Fachbereich, Technik und Verantwortung sehen denselben Anwendungsfall. Dadurch werden ungeklärte Annahmen sichtbar, bevor sie in Schnittstellen und Automatisierungsregeln eingebaut werden.
Was Unternehmen nicht tun sollten
Unternehmen sollten nicht mit dem technisch spektakulärsten Anwendungsfall beginnen.
Geeigneter ist ein Vorgang mit:
- klarer Aufgabe,
- begrenztem Datenumfang,
- korrigierbarem Ergebnis,
- vorhandener Fachprüfung,
- messbarem Nutzen.
Sie sollten ebenfalls keine personenbezogenen oder vertraulichen Daten in ein System geben, bevor Rechtsgrundlage, Zweck, Anbieter, Speicherung und Zugriff geklärt sind.
Und sie sollten einen funktionierenden Test nicht direkt auf alle Fälle ausweiten. Der Pilot muss auch Ausnahmen, Fehler und Wartungsbedarf sichtbar machen.
Konsequenz für Unternehmen
Die sechs Prüffelder verlangsamen die Einführung nicht unnötig. Sie verhindern, dass unklare Entscheidungen später technisch teuer werden.
Ein Unternehmen kann nach der Prüfung zu drei sinnvollen Ergebnissen kommen:
- Der Vorgang ist geeignet und wird kontrolliert pilotiert.
- Nur einzelne Schritte werden automatisiert.
- Die Voraussetzungen reichen noch nicht aus und werden zuerst verbessert.
Auch die Entscheidung gegen eine sofortige Automatisierung kann ein gutes Ergebnis sein.
Fachlicher Anschluss
KI-Automatisierung vor dem Aufbau prüfen
KI-Orchestrierung und Prozessberatung verbinden fachliche Aufgabe, Daten, Rollen, Freigabe, Risiko und Messung. Die SDC-Discovery schafft die Entscheidungsgrundlage für einen kontrollierten Pilot statt einer vorschnellen Systemintegration.
CTA: KI-Automatisierung anhand der sechs Prüffelder einordnen
Weiterführende Insights
- KI und Automatisierung
- Automatisierung rettet keine ungeklärten Prozesse
- KI ohne Wissensgrundlage produziert austauschbare Ergebnisse
- Warum menschliche Prüfung Teil jedes belastbaren KI-Prozesses bleibt
Über den Autor
Göke Frerichs ist Digitalstratege und Smart Digital Creative. Er arbeitet seit 1999 professionell an der Verbindung von digitaler Strategie, Kommunikation, Technologie und Umsetzung.
Quellen
- National Institute of Standards and Technology, „Artificial Intelligence Risk Management Framework (AI RMF 1.0)“, 2023, https://www.nist.gov/itl/ai-risk-management-framework
- ISO, „ISO/IEC 23894:2023. Artificial intelligence. Guidance on risk management“, 2023, https://www.iso.org/standard/77304.html
- Information Commissioner’s Office, „Guidance on AI and data protection“, aktualisiert 15. März 2023, https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/artificial-intelligence/guidance-on-ai-and-data-protection/
- Information Commissioner’s Office, „AI and data protection risk toolkit“, https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/artificial-intelligence/guidance-on-ai-and-data-protection/ai-and-data-protection-risk-toolkit/
- OECD, „OECD AI Principles“, https://oecd.ai/en/ai-principles