Wir sprechen noch immer viel zu oft über künstliche Intelligenz wie über einen Wettkampf zwischen Mensch und Maschine.

Wer wird schneller sein? Wer wird die besseren Entscheidungen treffen? Welche Berufe werden verschwinden? Welche Fähigkeiten werden ausschließlich menschlich bleiben?

Diese Erzählung ist verlockend, beschränkt uns aber auf eine zu enge Frage: Wer wird gewinnen?

Während wir nach einem Sieger suchen, müssen Organisationen viel unmittelbarere Fragen beantworten. Bei welchen Entscheidungen können wir künstliche Intelligenz einbeziehen? Auf Grundlage welcher Daten? Mit welchen Kontrollen? Wer bleibt verantwortlich? Wie lässt sich der Betrieb fortsetzen, wenn das System irrt, ausfällt oder angegriffen wird?

Die eigentliche Trennlinie wird wahrscheinlich nicht zwischen Menschen und Maschinen verlaufen. Sie wird Organisationen, die diese Technologien mit Urteilsvermögen einsetzen können, von jenen unterscheiden, die lediglich ihre bisherigen Schwächen automatisiert haben.

Die Macht liegt bei denen, die noch überprüfen können

Métrics-Säule: Macht und Bedrohungen

Künstliche Intelligenz verändert bereits die Machtverhältnisse.

Sie ermöglicht es, große Informationsmengen zu analysieren, Zusammenhänge zu erkennen, überzeugende Inhalte zu erstellen und bestimmte Entscheidungen zu beschleunigen. Sie eröffnet Unternehmen und öffentlichen Institutionen neue Fähigkeiten, aber auch kriminellen Gruppen und Akteuren, die Destabilisierungsstrategien verfolgen.

Dieselbe Technologie kann dazu dienen, eine Desinformationskampagne aufzudecken oder eine solche zu erzeugen. Sie kann eine kritische Infrastruktur stärken oder helfen, deren Schwachstellen zu erkennen. Sie kann den Zugang zu Wissen erleichtern oder den Informationsraum mit irreführenden Inhalten überfluten.

Der Bericht 2026 der Agentur der Europäischen Union für Cybersicherheit hebt insbesondere die Bedeutung geopolitischer Spannungen und der zunehmenden Vernetzung digitaler Ökosysteme hervor. Er erinnert auch daran, dass unsere technologischen Abhängigkeiten die Angriffsfläche vergrößern.[1]

In diesem Kontext liegt Macht nicht mehr allein in der Menge verfügbarer Informationen. Sie liegt in der Fähigkeit, deren Herkunft festzustellen, sie miteinander abzugleichen, ihre Grenzen zu verstehen und eine Antwort zurückzuweisen, wenn sie nicht ausreichend zuverlässig ist.

Die strategische Herausforderung besteht daher nicht nur darin, künstliche Intelligenz einzuführen. Es geht darum, eine eigenständige Bewertungsfähigkeit zu erhalten.

Ein technischer Fortschritt wird erst durch Skalierung nützlich

Métrics-Säule: Wissenschaft und Technologien

Eine spektakuläre Demonstration lässt sich in wenigen Minuten durchführen. Ihre Umwandlung in eine operative Fähigkeit erfordert wesentlich mehr Zeit.

Zwischen Labor und praktischer Anwendung liegen Daten, Infrastrukturen, Cybersicherheit, Interoperabilität, Kompetenzen, Wartung, Finanzierung und die Einhaltung regulatorischer Vorgaben. Auch der Einsatzkontext der Technologie und die möglichen Folgen eines Fehlers müssen verstanden werden.

Dieser Unterschied erklärt, warum zwei Organisationen mit demselben Instrument grundverschiedene Ergebnisse erzielen können. Technologie ersetzt weder Fachwissen noch das Verständnis des Problems.

Die europäische Verordnung über künstliche Intelligenz übersetzt diese Anforderung in organisatorische Verantwortung. Artikel 4 verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um entsprechend den Kenntnissen, der Erfahrung und dem Nutzungskontext ihrer Teams ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Für als hochriskant eingestufte Systeme sieht die Verordnung außerdem Pflichten zum Risikomanagement, zur Transparenz und zur menschlichen Aufsicht vor.[2]

Mit anderen Worten: Ein Werkzeug zu kaufen reicht nicht. Man muss wissen, was es leistet, was es nicht leistet und unter welchen Umständen seine Ergebnisse nicht mehr zuverlässig sind.

Innovation beginnt mit einer Technologie. Transformation beginnt, wenn die Organisation die Fähigkeit erwirbt, sie zu verstehen und zu steuern.

Den Tag einplanen, an dem das System nicht mehr antwortet

Métrics-Säule: Kritische Systeme und Resilienz

Wir bewerten ein System gern dann, wenn es unter normalen Bedingungen funktioniert. Resilienz zeigt sich jedoch, wenn diese Bedingungen wegfallen.

Was geschieht, wenn die Daten beschädigt sind? Wenn der Anbieter nicht mehr verfügbar ist? Wenn ein Update die Leistung des Modells verändert? Wenn ein Angriff auf eine Komponente der technologischen Kette zielt? Wenn die Teams einen inzwischen vollständig automatisierten Vorgang nicht mehr manuell ausführen können?

Die europäische NIS2-Richtlinie zählt gerade Geschäftskontinuität, Krisenmanagement, Datensicherungen und die Sicherheit der Lieferketten zu den erwarteten Risikomanagementmaßnahmen der in ihren Geltungsbereich fallenden Einrichtungen. Sie weist auch den Leitungsorganen die Aufgabe zu, diese Maßnahmen zu genehmigen und zu überwachen.[3]

Im Finanzsektor führt die DORA-Verordnung diese Logik weiter, indem sie einen strukturierten Ansatz für digitale Resilienz und risikogerechte Testprogramme verlangt: Schwachstellenanalysen, szenariobasierte Tests, Sicherheitsüberprüfungen und Penetrationstests.[4]

Die CNIL empfiehlt ihrerseits, klassische IT-Sicherheit mit einer Analyse der spezifischen Risiken von KI-Systemen zu verbinden. Sie betont insbesondere die Zuverlässigkeit der Daten, die Dokumentation der Komponenten, die Kenntnis der Systemgrenzen, Sicherheitsaudits und die Vorbereitung von Verfahren zur Rückkehr zu einem früheren Zustand.[5]

Die Frage lautet daher nicht: „Ist dieses System leistungsfähig?“

Sie lautet: „Werden wir noch handlungsfähig sein, wenn es sich nicht mehr wie vorgesehen verhält?“

Automatisierung verteilt Verantwortung neu

Métrics-Säule: Wirtschaft, Governance und Mensch

Technologien treffen niemals auf eine neutrale Organisation.

Sie berühren Verantwortlichkeiten, Kompetenzen, Bewertungsverfahren und den Informationsfluss. Sie können einen Beruf infrage stellen, aber auch einen Status, eine berufliche Identität oder eine Form von Macht.

Deshalb darf Widerstand nicht vorschnell als Ablehnung des Fortschritts interpretiert werden. Er kann völlig berechtigte Fragen ausdrücken: Wer kontrolliert das Ergebnis? Wer haftet für den Fehler? Wie wird meine Arbeit bewertet? Gewinne ich an Selbstständigkeit oder muss ich einfach mehr produzieren?

Nach Angaben der Internationalen Arbeitsorganisation übt inzwischen etwa jeder vierte Beschäftigte einen Beruf aus, der in gewissem Maße generativer künstlicher Intelligenz ausgesetzt ist. Die IAO hält jedoch die Veränderung von Arbeitsplätzen weiterhin für wahrscheinlicher als ihre vollständige Abschaffung, insbesondere weil zahlreiche Aufgaben nach wie vor menschliches Eingreifen erfordern. Sie fordert daher, diesen Wandel durch sozialen Dialog zu gestalten.[6]

Diese Transformation lässt sich nicht allein mit Produktivitätskennzahlen steuern.

Ein Dashboard kann die Zahl automatisierter Aufgaben oder die eingesparte Zeit messen. Weit schwerer zeigt es den Vertrauensverlust eines Teams, das schrittweise Verschwinden einer kritischen Kompetenz oder den Umstand, dass manche Beschäftigte den Empfehlungen eines Systems nicht mehr zu widersprechen wagen.

Die überarbeiteten OECD-Grundsätze zu künstlicher Intelligenz betonen gerade Transparenz, Robustheit, Rückverfolgbarkeit und Verantwortung während des gesamten Lebenszyklus der Systeme.[7]

Solide Governance besteht daher nicht darin, die Teams aufzufordern, dem Werkzeug zu vertrauen. Sie schafft die Bedingungen, unter denen dieses Vertrauen gewährt, begrenzt oder entzogen werden kann.

Der Wert einer Lösung beginnt nach der Demonstration

Métrics-Säule: Erprobung und Partnerlösungen

Technologische Demonstrationen finden im Allgemeinen in einer kontrollierten Umgebung statt. Organisationen bewegen sich dagegen unter weit weniger geordneten Bedingungen.

Ihre Daten sind unvollkommen. Bestehende Systeme können nur schwer miteinander kommunizieren. Verantwortlichkeiten sind geteilt. Rechtliche, finanzielle und menschliche Einschränkungen überlagern sich.

Deshalb muss eine Lösung unter realen Szenarien erprobt werden: Cyberkrise, Lieferunterbrechung, Ausfall eines Anbieters, Informationsangriff, Sensorausfall oder eine Entscheidung unter hohem Druck.

Getestet werden muss nicht nur die Technologie, sondern auch die Organisation, die sie nutzt.

Wer erkennt den Vorfall? Wer kann das System anhalten? Gibt es eine Ausweichlösung? Können die Teams ohne das Werkzeug handeln? Lassen sich Daten und Modelle zurückführen? Sind die Verantwortlichkeiten zwischen Entwickler, Integrator, Anbieter und Nutzer klar definiert?

Erprobung wird damit zu einem Governance-Instrument. Sie ermöglicht es, Versprechen an der Realität zu messen, Abhängigkeiten aufzudecken und festzustellen, unter welchen Bedingungen eine Innovation tatsächlich zur Resilienz beitragen kann.

Entscheiden, was wir stärken wollen

Wir kennen die endgültigen Grenzen künstlicher Intelligenz noch nicht. Schon heute nach Fähigkeiten zu suchen, die sie niemals nachbilden kann, könnte uns daher von dringenderen Entscheidungen ablenken.

Wir können dagegen entscheiden, welche Fähigkeiten wir stärken wollen: Urteilsvermögen, Vorbereitung, Zusammenarbeit, Verantwortung und die Freiheit, einer automatisierten Entscheidung zu widersprechen.

In dieser Perspektive ist Métrics verankert.

Die Vernetzung von Bedrohungsspezialisten, Wissenschaftlern, Industrieunternehmen, Verantwortlichen kritischer Systeme, Führungskräften, Juristen und Finanzierungsakteuren ermöglicht es, über ein rein technologisches Verständnis von Fortschritt hinauszugehen.

Denn eine Organisation wird nicht dadurch resilient, dass sie die fortschrittlichsten Werkzeuge besitzt.

Sie wird es, wenn sie weiß, warum sie diese einsetzt, welche Verantwortung sie ihnen überträgt und wie sie weiter entscheiden wird, wenn sie an ihre Grenzen stoßen.

Anmerkungen und Quellen

1. ENISA, Threat Landscape 2026, Analyse der Bedrohungen für die Europäische Union und der Auswirkungen digitaler Abhängigkeiten: Agentur der Europäischen Union für Cybersicherheit https://www.enisa.europa.eu/publications/enisa-threat-landscape-2026.

2. Verordnung (EU) 2024/1689 über künstliche Intelligenz, insbesondere Artikel 4, 9, 13 und 14 zu KI-Kompetenz, Risikomanagement, Transparenz und menschlicher Aufsicht: amtlicher Text auf EUR-Lex https://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:32024R1689.

3. Richtlinie (EU) 2022/2555, bekannt als NIS2, insbesondere Artikel 20 und 21 zur Verantwortung der Leitungsorgane, zur Geschäftskontinuität, zum Krisenmanagement und zur Sicherheit der Lieferketten: amtlicher Text auf EUR-Lex https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022L2555.

4. Verordnung (EU) 2022/2554, bekannt als DORA, insbesondere Artikel 24 bis 27 zu Testprogrammen für digitale operationale Resilienz: amtlicher Text auf EUR-Lex https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022R2554.

5. CNIL, Sicherheit bei der Entwicklung eines KI-Systems gewährleisten, Empfehlungen zu Risikoanalysen, Audits, Nutzungsbeschränkungen, Ausgabekontrollen und Verfahren zur Rückkehr zu einem früheren Zustand: Empfehlungen der CNIL https://www.cnil.fr/fr/ia-garantir-la-securite-du-developpement.

6. Internationale Arbeitsorganisation, Generative künstliche Intelligenz und Beschäftigung: Überarbeitung 2025: Forschungsbericht der IAO https://www.ilo.org/fr/publications/intelligence-artificielle-generative-et-emploi-revision-2025.

7. OECD, Grundsätze zu künstlicher Intelligenz, 2024 überarbeitet: Transparenz, Erklärbarkeit, Robustheit, Betriebssicherheit, Schutz und Verantwortung: OECD-Grundsätze zu KI https://www.oecd.org/fr/themes/principes-de-l-ia.html.