Schlussstein der Reihe Vom Werkzeug zur Souveränität.
Was heißt Souveränität für jemanden, der kein eigenes Sprachmodell trainiert und kein Rechenzentrum betreibt? Von März bis Oktober habe ich die Werkzeuge der großen KI-Labore für fast alles eingesetzt: mehrere Apps, vier Websites, drei Rechner, die Zuordnung von Belegen zu Buchungen. Meine Einsicht daraus: Souveränität heißt für mich weniger, alles selbst zu machen, als wechseln zu können, ohne dass die Arbeit lange stehen bleibt.
Dahinter stehen einige Fragen, die für den privaten Einsatz ebenso taugen wie für den im Unternehmen.
Wer steht am Ende dafür gerade?#
Bei KI ist die Versuchung groß, das zu verwischen, weil die Vorschläge schnell und überzeugend kommen.
Bei mir sucht die KI in über zweihunderttausend archivierten Mails nach Belegen. Gebucht wird erst nach meiner Bestätigung, jeder Fall einzeln, weil es um mein Geld geht und die Zahl der Fälle das zulässt. Das ist eine Wahl, keine Vorschrift. Rechenschaft lässt sich auch anders sicherstellen: durch regelmäßige Messung an geprüften Beispielen, durch Stichproben, durch Grenzwerte, ab denen ein Mensch hinsieht.
Im Unternehmen: Am besten trägt eine benannte Person die Rechenschaft für eine KI-gestützte Entscheidung und legt fest, wie sie sie wahrnimmt, je Fall oder je Zeitraum.
Woran merken wir, ob es gut ist?#
Bei mir sind das fünfzig von Hand geprüfte Beispiele aus echten Mails. Ein neues Modell muss sie bestehen, bevor ich wechsle, und damit sind sie zugleich ein Weg, Rechenschaft ohne Einzelfreigabe zu tragen. Eine Lehre daraus: Ein automatischer Optimierer hatte die Beispiele auswendig gelernt und sah auf dem Papier besser aus. Verraten hat ihn erst sein eigener Text, der sie wörtlich zitierte.
Fertig ist so eine Prüfliste allerdings nie. Angriffe und Angreifer entwickeln sich weiter, also müssen auch die Testfälle laufend ergänzt werden.
Seit Oktober liest nachts ein kleines eigenes Modell als Zweitmeinung mit. Es markiert nur, und bei der ersten Messung fand es alle neun Belege, die das große dort übersehen hatte.
Im Unternehmen: Eine Prüfliste mit echten Fällen, die wiederholt und ergänzt wird. Ohne sie lassen sich Anbieter schwer vergleichen und deshalb auch schwer wechseln.
Was darf ein Agent anfassen?#
Wenn meine Agenten allein arbeiten, dann in abgeschotteten Umgebungen, und sie sehen dort nur die Ordner, die ich freigebe. Für meinen Server haben sie einen Zugang, der nur git kann und nur für ein Repository gilt. Das Mailarchiv sehen sie nur entschärft, das Original bleibt ihnen verschlossen.
Wie weit Abschottung tragen kann, habe ich außerdem in einem Test ausprobiert: ein Agenten-Werkzeug aus China in früher Beta, in einer Sandbox mit lokalem Modell und einem Wikipedia-Abzug, ohne Internetzugang. Das war kein Regelbetrieb, sondern die Frage, wie sich so etwas gesichert nutzen ließe, wenn der Sicherheitsbedarf es verlangt.
Was ein Agent liest, kann ihn täuschen. Im Oktober habe ich meinen Belegfluss erstmals mit präparierten Mails angegriffen: Keine Rechnung verschwand, aber ein Angriff auf die Kontonummer gelang. Seither wird eine Kontonummer zurückgehalten, wenn das Modell Verdacht meldet oder sie nur versteckt auftaucht, und ein Wechsel fällt im Review auf.
Im Unternehmen: Rechte pro Aufgabe, nicht pro Werkzeug. Ein Verbot im Prompt ist eher eine Bitte, ein fehlender Zugang wirkt verlässlicher.
Wer rechnet, und wie schnell kann ich wechseln?#
Bei mir entscheidet eine Adresse in einer Konfigurationsdatei, wer rechnet: der Rechner im Arbeitszimmer oder ein europäischer Vermittler in Österreich mit Zugang zu Anbietern in Europa. Der Wechsel ist eine Zeile, die Prüfung danach gehört dazu. Der Vergleich im August ergab praktisch gleiche Genauigkeit, der Vermittler war viermal schneller. Seither läuft die Nachtarbeit zu Hause, große Aufholläufe laufen über den Vermittler. Noch eine Idee, ohne Code: ein zentrales Tor vor allen Modellen, das an einer Stelle belegt, welche Daten das Haus verlassen.
Wechseln ist dabei nicht nur eine Frage des Wollens. Modelle werden auch abgekündigt, und dann muss der zweite Weg bereitstehen.
Im Unternehmen: Möglichst zwei Wege für wichtige Aufgaben, beide schon benutzt und in geregelten Abständen neu geprüft.
Wo liegen meine Daten und mein Wissen?#
Mein Mailarchiv liegt zu Hause, in zwei Fassungen: das Original nur für mich, die entschärfte Kopie für die Agenten. Dokumente bekommen ein maschinenlesbares Beiblatt, statt verändert zu werden. Notizen sind Dateien, Code liegt auf dem eigenen Server.
Natürlich kann selbst ein Modell auf meinem Rechner bemerkbare Abhängigkeiten mit sich bringen: Modelle werden gerne „politisch korrekt“ nach Maßstäben des jeweiligen Herkunftslandes nachtrainiert. Wo etwas rechnet, wer es gebaut hat und wer es abschalten kann, sind drei verschiedene Fragen.
Im Unternehmen: Lässt sich für jede Anwendung in einem Satz sagen, welche Daten das Haus verlassen?
Wofür nutze ich welche Modelle?#
Die stärksten Modelle der großen Labore sind für mich Forschung und Entwicklung: Ich nutze sie für Aufgaben, die ich selten mache und für die mir die Routine fehlt. Wiederkehrende Arbeit mit festen Vorgaben, oft an schützenswerten Daten, ist eher Produktion. Dafür genügen meist kleinere offene Modelle, auf meinen zwei Rechnern oder in der EU gehostet.
Hier geht es also um die Wahl der Modelle, nicht um die klassischen Werkzeuge, die ein KI-System in meiner Umgebung benutzen kann. Die gehören zur Frage, was ein Agent anfassen darf.
Diese Frage ist die leichteste, wenn die anderen beantwortet sind, und die schwerste, wenn nicht. Dann wird aus dem Angebot schnell eine Abhängigkeit, die man erst bemerkt, wenn ein Anbieter die Bedingungen ändert.
Im Unternehmen: Offenheit für die stärksten Modelle muss kein Widerspruch zur Souveränität sein, sie kann ihr Ergebnis sein.
Was das kostet#
Abnahmen, die sich wiederholen: Ein neues Modell muss dieselben Beispiele bestehen, ein gemietetes regelmäßig neu, weil der Anbieter es ändern kann, ohne dass man es merkt. Testfälle, die mit den Angriffen mitwachsen. Betrieb: zwei Computer für die Inferenz, Backups, ein gesichertes Archiv. Und Wissen, das man sich selbst erarbeiten muss.
Dafür kann ich von einer Preisänderung, einer Abkündigung oder einer Übernahme lesen und habe gute Chancen, dass am Abend dieselbe Arbeit erledigt ist, vielleicht auf einem anderen Weg.
Der Kreis schließt sich#
Diese Fragen dürfen sich gerne alle stellen, die KI in ihrem Betrieb einführen. Aus solchen Fragen ist ein Lernspiel entstanden, das den Weg vom einzelnen Wort bis zum handelnden Agenten in Karten erzählt. Als Kurzfassung zum Mitnehmen gibt es das KI-Verständnis-Bingo.
Welche dieser Fragen ist in Ihrem Alltag die schwerste?