Künstliche Intelligenz

Große Sprachmodelle beantworten heute nahezu jede Frage – flüssig, freundlich und mit großer Überzeugung. Ob die Antwort stimmt, ist eine andere Frage. Für die öffentliche Verwaltung, deren Handeln nachvollziehbar, rechtmäßig und aktenkundig sein muss, ist genau diese Frage entscheidend.

Das Wissen einer Behörde steckt nicht im Sprachmodell, sondern in ihren Akten, Vorgängen, Erlassen, Vermerken und Fachverfahren – und in den Köpfen der Mitarbeitenden, von denen in den kommenden Jahren viele in den Ruhestand gehen werden. Retrieval-Augmented Generation (RAG) verbindet beides: Ein Sprachmodell antwortet nicht aus dem Gedächtnis, sondern auf Grundlage der Dokumente, die ein Suchverfahren zuvor im Bestand der Behörde gefunden hat, und weist seine Quellen aus.

Was in der Demo überzeugt, scheitert in der Praxis oft an ganz anderen Stellen: an Zugriffsrechten und dem Umgang mit Verschlusssachen, an fehlenden Metadaten, an Schnittstellen zur E-Akte, an der Frage, wer für eine falsche Antwort verantwortlich ist, und nicht zuletzt an der Akzeptanz bei den Menschen, die damit arbeiten sollen. Auch und insbesondere KI-Anwendungen sind soziotechnische Systeme.

Wir haben selbst erlebt, wie dynamisch und wie lehrreich die Entwicklung eines RAG-Systems ist: Mit dem KI-Servicezentrum Berlin-Brandenburg am Hasso Plattner-Institut haben wir den Prototypen der Grundschutz-KI entwickelt, der Fragen zum IT-Grundschutz quellenbasiert beantwortet und derzeit wissenschaftlich evaluiert wird. Diese Erfahrung – einschließlich der Irrwege – bringen wir in Ihre Vorhaben ein.

An erster Stelle müssen eine klare Orientierung und Leitplanken für die Nutzung von KI in Ihrer Organisation stehen. In moderierten Workshops entwickeln wir mit Ihnen eine KI-Strategie, die zu Ihrer Organisation passt:

• Strategie und Ziele: Welche Rolle soll KI in Ihrer Organisation spielen – und welche ausdrücklich nicht?
• Menschen mitnehmen: Beschäftigte und Personalvertretung von Anfang an beteiligen, Sorgen ernst nehmen, Nutzen sichtbar machen. Akzeptanz entsteht durch Beteiligung, nicht durch Ankündigung.
• Kompetenzen aufbauen: Die KI-Verordnung verpflichtet Organisationen, die KI einsetzen, für ausreichende KI-Kompetenz ihrer Beschäftigten zu sorgen. Wir entwickeln Schulungskonzepte für Anwenderinnen und Anwender, Führungskräfte und IT – praxisnah und am eigenen Anwendungsfall.
• KI als Sicherheitsthema: Unkontrollierte Nutzung öffentlicher KI-Dienste („Schatten-KI“), Abfluss vertraulicher Daten über Eingaben, manipulierte Dokumente, die ein System zu falschen Antworten verleiten (Prompt Injection): Wir verbinden KI-Einführung mit Informationssicherheit und Sensibilisierung.
• KI als Architekturkomponente: Wir zeigen von Beginn an die Möglichkeiten der Integration von KI-Systemen und deren souveräne Nutzung in Ihrer IT-Infrastruktur auf.
• Governance und Verantwortung: Wer entscheidet über den Einsatz, wer verantwortet Ergebnisse, wie werden Nutzungsregeln und Dienstvereinbarungen gestaltet?
• Ethik und Compliance: Einordnung nach KI-Verordnung, DSGVO und IT-Grundschutz; Transparenz gegenüber Bürgerinnen und Bürgern.
• Partnerschaften: Welche Lösungen gibt es bereits bei anderen Behörden, IT-Dienstleistern oder in Länderverbünden – und was lässt sich nachnutzen? (siehe KI-Transparenzregister des Bundes)

Ergebnis ist eine abgestimmte KI-Leitlinie mit Handlungsfeldern, Verantwortlichkeiten und einem Fahrplan. Den Einstieg in konkrete Anwendungsfälle bildet die anschließende Bedarfsanalyse.

Beratung, Workshops, Wissenstransfer

Am Anfang steht nicht die Frage nach dem Werkzeug, sondern nach dem Problem:

• Wo kostet die Suche nach Wissen heute Zeit?
• Welche Vorgänge wiederholen sich?
• Welche Tätigkeiten sind unproduktiv?
• Wo geht Erfahrungswissen verloren?

Gemeinsam mit Fachbereichen, IT, Datenschutz und Informationssicherheit erheben wir Anwendungsfälle und bewerten sie nach Nutzen, Datenlage, Risiko und Umsetzbarkeit. Dazu gehören eine erste Einordnung nach der europäischen KI-Verordnung (Risikoklasse, Pflichten) und eine Abschätzung der Wirtschaftlichkeit, auf Wunsch nach dem WiBe-Fachkonzept.

Ergebnis ist eine priorisierte Liste von Anwendungsfällen mit einer Empfehlung, welcher davon sich für einen Piloten eignet – und welcher besser nicht.

Beratung, Projektsteuerung

KI-Systeme stellen das klassische Anforderungsmanagement vor neue Fragen:

• Wie spezifiziert man ein System, dessen Antworten nicht deterministisch sind?
• Was heißt „richtig“ bei einer zusammengefassten Antwort?
• Und wie prüft man das bei der Abnahme?

Wir unterstützen Organisationen dabei, Anforderungen so zu formulieren, dass sie überprüfbar sind – von der Antwortqualität (Vollständigkeit, Quellentreue, Nachvollziehbarkeit) über Betrieb, Datenschutz und Informationssicherheit bis zu Barrierefreiheit und Protokollierung. Wir entwickeln mit Ihnen Testfragen und Bewertungskriterien, die als Grundlage für Leistungsbeschreibung, Vergabe und Abnahme dienen.

So bleibt die Steuerung des Vorhabens in der Hand Ihrer Behörde – auch gegenüber Herstellern und Dienstleistern.

Fachberatung, Architektur, Prototyping

Der größte Nutzen von RAG in der Verwaltung entsteht dort, wo das Wissen bereits liegt: in der E-Akte, in Dokumentenmanagement- und Fachverfahren, in
Intranet, Wikis und Erlasssammlungen.

Hier stellen sich die eigentlichen Fragen:

• Schnittstellen: Wie gelangen Dokumente und Metadaten aus der E-Akte in den Suchindex (z. B. über Programmierschnittstellen, CMIS oder XDOMEA
  Exporte) – und wie aktuell muss der Index sein?
• Berechtigungen: Wie stellt das System sicher, dass niemand über die KI Inhalte sieht, die er in der Akte nicht sehen dürfte? Das Rechte- und
  Rollenkonzept der E-Akte muss in der Suche gelten.
• Datenqualität: Welche Rolle spielen Aktenplan, Metadaten, Dokumentversionen und Löschfristen für gute Antworten?
• Souveränität und Betrieb: Welches Sprachmodell läuft wo – im Eigenbetrieb, bei einem souveränen Provider oder hybrid? Die Optionen beschreibt unsere Skizze einer souveränen Lösungsarchitektur.
• Nachvollziehbarkeit: Jede Antwort verweist auf die zugrunde liegenden Dokumente, damit Mitarbeitende sie prüfen können.

Wir beraten herstellerunabhängig zu Architektur und Schnittstellen, begleiten den Proof of Concept und bauen bei Bedarf selbst Prototypen. Den Weg dahin kennen wir aus der Einführung der elektronischen Verwaltungsarbeit ebenso wie aus der Entwicklung der Grundschutz-KI.

Projektsteuerung, Evaluation, Wissenstransfer

Zwischen einem überzeugenden Prototypen und einem System im Regelbetrieb liegen Informationssicherheitskonzept, Datenschutz-Folgenabschätzung, Beteiligung der Personalvertretung, Betriebskonzept und Schulung. Wir begleiten diesen Weg schrittweise – Proof of Concept, Pilot mit ausgewählten Nutzergruppen, Ausbau – und messen nach jedem Schritt, ob das System hält, was es verspricht.

Für die Evaluation kombinieren wir automatisierte Prüfungen der Antwortgenauigkeit mit dem Urteil der Fachleute, die das System künftig nutzen.
Gleichzeitig unterstützen wir den Aufbau der KI-Kompetenz, die die KI-Verordnung von Organisationen verlangt, die KI einsetzen – nicht als Pflichtschulung, sondern als Wissenstransfer im Projekt.

Bei Vorhaben über mehrere Behörden hinweg übernehmen wir auf Wunsch das Programmmanagement, damit eine einmal erprobte Lösung nicht in jeder Behörde neu erfunden wird.

Leistungsfähige KI für die Verwaltung muss nicht bedeuten, Akten an einen außereuropäischen Cloud-Dienst zu schicken. Die Qualität eines RAG-Systems hängt weniger vom größten verfügbaren Sprachmodell ab als von guter Suche, sauberen Daten und durchdachten Berechtigungen. Deshalb lassen sich mit frei verfügbaren Sprachmodellen (Open-Weight-Modelle, deren Modellgewichte veröffentlicht sind und die sich auf eigener Hardware betreiben lassen) sehr gute Ergebnisse erzielen – in einer Umgebung, die vollständig unter europäischem Recht steht.

Souveräne Betriebsmodelle:

• Eigenbetrieb: Die Behörde oder ihr IT-Dienstleister betreibt alle Schichten selbst. Kein Dokument verlässt das eigene Netz – geeignet auch für Datenbestände mit hohem Schutzbedarf. Für Verschlusssachen gelten zusätzlich die Vorgaben der VSA.
• Souveräner Provider: Ein Anbieter mit Sitz und Rechenzentren in der EU, der der DSGVO und der europäischen KI-Verordnung unterliegt und nicht außereuropäischen Herausgabepflichten (etwa nach dem US CLOUD Act). Nachweise wie ein BSI-C5-Testat erleichtern die Prüfung.
• Hybrid: Suchindex und Daten bleiben in der Behörde, nur die Rechenleistung für das Sprachmodell wird beim souveränen Provider bezogen – mit verschlüsselter Verbindung und ohne Speicherung der Anfragen.

Welches Modell passt, hängt vom Anwendungsfall ab: von Schutzbedarf und Datenmenge, von der Zahl der Nutzenden, von vorhandener Infrastruktur, Personal und Budget. Wir unterstützen Sie dabei, diese Faktoren zu bewerten und das passende Setup zu wählen – herstellerunabhängig, mit einer Abschätzung von Kosten und Betriebsaufwand und mit Blick auf die Pflichten aus KI-Verordnung, DSGVO und IT-Grundschutz. Wo es sinnvoll ist, vergleichen wir mehrere Sprachmodelle an Ihren eigenen Testfragen, bevor eine Entscheidung fällt.