Der versierte CIO: Folge 1 – „Kann Ihr LLM eine Prüfung bestehen?“

Dr. Radha Plumb: Man braucht die Koordination und das Wissen über die Präferenzen der Organisation, und das ist etwas, was man für die eigene Organisation herausfinden und aufbauen muss. Ich glaube, dass diese Koordinierungsebene die erste wirklich große neue Frage ist, über die CIOs nachdenken müssen. Was ist Ihr KI-Betriebssystem? Wo platzieren Sie diese Steuerungsebene, und wie werden Sie sie an Ihre spezifischen Anforderungen anpassen?

Bradd Busick: Sie hören „The Savvy CIO: Modernize Wisely“, präsentiert von Park Place Technologies, das Unternehmen dabei unterstützt, Innovationen voranzutreiben, indem es den Zeit- und Kostenaufwand für das Management der IT-Infrastruktur reduziert und gleichzeitig die Leistung und Verfügbarkeit steigert. Ich bin Ihr Moderator, Bradd Busick.

Haben Sie sich schon einmal gefragt: „Wie soll ich modernisieren, wenn das Budget dagegen spricht?“ „Kann ich diese Innovation umsetzen, ohne den gesamten Betrieb zu gefährden?“ Gibt es da draußen tatsächlich jemanden, der alles gibt, obwohl es sich so anfühlt, als gäbe es von allem zu wenig? Wenn du eine dieser Fragen mit „Ja“ beantwortet hast, dann ist diese Sendung genau das Richtige für dich, denn du bist nicht allein – und um das zu beweisen, spreche ich mit den Leuten, die sich tatsächlich mit Budgetdruck, KI, Audits, Sicherheit und die Kunst, den Betrieb am Laufen zu halten, ohne dabei alles in den Sand zu setzen – mit den Menschen, die sich tatsächlich jeden Tag mit diesen Problemen auseinandersetzen.

Jeder CIO steht derzeit unter dem gleichen Druck: schnell bei KI vorankommen oder den Anschluss verlieren. Doch über diesem Drang nach mehr Tempo schwebt ein Schatten – die Herausforderung der Wirtschaftsprüfung. Dr. Radha Plumb kennt beide Seiten dieser Gleichung besser als fast jeder andere. Sie war jahrelang in den höchsten Ebenen des US-Verteidigungsministeriums tätig. Sie war als Chief Digital and Artificial Intelligence Officer des Pentagons tätig, wo sie die Bemühungen des Ministeriums zur Einführung von KI, Daten und Analytik leitete und neue Wege erschloss, um digitale Technologie in einer der größten und am stärksten regulierten Organisationen der Welt einzuführen und auszubauen. Im Grunde hat sie sich mit den Themen Daten, Risiken und Rechenschaftspflicht aus so ziemlich jedem erdenklichen Blickwinkel auseinandergesetzt.

Heute, als Vizepräsidentin für „AI-First“-Transformation bei IBM, widmet sie sich einem Projekt, das sie „Client Zero“ nennt: Dabei werden KI-Technologien und -Konzepte intern in die Praxis umgesetzt, um sie zu testen, bevor sie bei Kunden zum Einsatz kommen. Im Grunde probiert IBM seine eigenen Kreationen – und das alles unter ihrem kritischen Blick und ihrem feinen Gaumen. Ich spreche heute mit ihr darüber, was nötig ist, um den Einsatz von KI tatsächlich auditfähig zu machen – nicht in der Theorie, sondern in der Praxis. Was Prüfer fragen werden, worauf die meisten Unternehmen nicht vorbereitet sind und warum der Kompromiss zwischen Geschwindigkeit und Sicherheit möglicherweise das größte Missverständnis ist, das CIOs derzeit zurückhält.

Dr. Radha Plumb, herzlich willkommen bei „The Savvy CIO“.

Dr. Radha Plumb: Vielen, vielen Dank für die Einladung.

Bradd Busick: Es ist schön, hier bei Ihnen zu sein. Ich habe mich wirklich sehr auf unser heutiges Gespräch gefreut. Könnten Sie zu Beginn vielleicht ein wenig über sich selbst erzählen, über Ihre Rolle bei IBM und darüber, warum Sie genau die richtige Person sind, die ich mit all diesen Fragen dazu löchern kann, wie man einen LLM erfolgreich durch ein echtes Audit bringt?

Dr. Radha Plumb: Nun, ich denke, ich fange mal damit an, dass ich eigentlich eine ausgebildete Ökonomin bin, und viele Leute fragen dann: „Wie kommst du als Ökonomin denn hierher?“ Und ich sage dann gerne scherzhaft, dass ich nicht diese Art von Ökonomin bin. Ich habe mich nämlich schon früh mit angewandter Ökonometrie beschäftigt – das war Big Data, bevor es Big Data überhaupt gab. Daher habe ich mich grundlegend damit auseinander gesetzt, was es bedeutet, Daten in einer Reihe verschiedener Anwendungsbereiche zu haben und zu nutzen, damit sie aussagekräftig sind. Und ich glaube, ein Großteil der aktuellen Diskussion über KI dreht sich eigentlich um Daten. Deshalb freue ich mich sehr, hier die Gelegenheit zu haben, darüber zu sprechen und zu erläutern, wie das in der Praxis aussieht, denn ehrlich gesagt, ist es nicht glamourös und es gibt kein Patentrezept, aber es gibt einige Dinge, die wir als Gemeinschaft tun können, um hier Fortschritte zu erzielen.

Bradd Busick: Mir gefällt Ihr konsequenter Fokus auf Daten sehr gut – das ist wirklich interessant, denn Sie haben Ihren Weg von der Wissenschaft über Google und Facebook bis hin zum Pentagon und zu IBM eingeschlagen. Ich meine, wenn man sich diesen Werdegang ansieht, hat man den Eindruck, dass Sie das gleiche grundlegende Problem aus den unterschiedlichsten Blickwinkeln beleuchtet haben. Wie bringt man große, komplexe Organisationen dazu, auf der Grundlage von Daten gute Entscheidungen zu treffen und gleichzeitig verantwortungsbewusst mit Risiken umzugehen?

Dr. Radha Plumb: Oft kommt es darauf an, sich wirklich, wirklich klar zu machen, worin das Risiko besteht, wem es wichtig ist und wer die Verantwortung dafür übernehmen kann, etwas dagegen zu unternehmen. Oft geraten Menschen deshalb in eine Sackgasse, werden gebremst oder haben das Gefühl, etwas nicht tun zu können, weil sie denken: „Das ist riskant. Es gibt ein Sicherheitsrisiko, ein Compliance-Risiko und ein Prüfbarkeitsrisiko.“ Und wenn man das genauer unter die Lupe nimmt, wenn man diese Zwiebel Schicht für Schicht bis zum Kern schält: Was ist das eigentliche Risiko? Und nun wollen wir das definieren. Was kann getan werden, um es zu mindern – oder auch nicht? Und wer trägt letztendlich die Verantwortung für dieses Risiko? Ist es der Leiter der Rechtsabteilung? Ist es der Sicherheitsbeauftragte? Ist es der Verantwortliche für die Gewinn- und Verlustrechnung? Und fragen Sie sie: „Lohnt sich dieses Risiko angesichts der Vor- und Nachteile?“ Oft ist das bei Risikominderungsmaßnahmen der Fall, oder oft ist der Aufwand zu groß im Verhältnis zum Nutzen, und man kommt zu einer Entscheidung und kann zum nächsten Punkt übergehen. Aber ich glaube, dass diese Grauzone des diffusen Risikos wirklich der Feind des Fortschritts ist.

Bradd Busick: Und Risiko geht nicht ohne Governance ein. Ich meine, das erinnert mich irgendwie an die Entwicklung von DevOps, als wir als Branche jahrelang Geschwindigkeit und Stabilität als gegensätzliche Kräfte betrachteten, bevor wir erkannten, dass es sich eigentlich um ein Problem des Systemdesigns handelte und nicht um ein inhärentes Merkmal der Softwareentwicklung. Ist das ein treffender Vergleich zu dem Punkt, an dem wir derzeit bei der KI-Governance stehen?

Dr. Radha Plumb: Ja. Ich sage gerne scherzhaft, dass die beste Analogie, die mir einfällt, die ist, dass bessere Bremsen zu schnelleren Zügen führen, und das lässt sich aus der Entwicklung der Züge ableiten, bei der es natürlich man entgegen aller Erwartung die Züge zwischen den Haltestellen schneller fahren lassen konnte, sobald man über bessere und zuverlässigere Bremsen verfügte. Und ich stelle mir KI-Governance in diesem Kontext vor, wo KI-Governance tatsächlich das Grundlegende ist, das Ihnen die Gewissheit gibt, dass Ihre KI-Lösungen das tun, was Sie von ihnen erwarten, und nicht das, was Sie nicht von ihnen erwarten. So lässt sich das auf den Punkt bringen. Und genau das braucht man auch, damit es effektiv ist. Um also etwas zügig zu erledigen, sollten Sie diese Governance-Schritte in den Prozess einbauen, sie fest verankern – und wenn Sie das tun, erhalten Sie, um bei der Analogie zu bleiben, schneller einen viel robusteren Kuchen.

Bradd Busick: Wenn wir an Unternehmen denken, bestehen diese aus Menschen, Prozessen und Technologie. Nehmen wir das also vielleicht als Rahmen und gehen wir davon aus, dass alle Unternehmen KI benötigen – damit wollen wir die Voraussetzungen für unser Publikum schaffen. Eines der Dinge, die LLMs so einzigartig machen, ist, dass selbst die Modellentwickler noch kein vollständiges Verständnis davon haben, was in der sozusagen „kleinen schwarzen Box“ vor sich geht. So könnten Sie und ich beide eine identische Eingabe haben und sinnvoll unterschiedliche Antworten erhalten, und niemand hasst diese Unvorhersehbarkeit mehr als ein Prüfer, denn ihre gesamte Aufgabe besteht darin, zu überprüfen, warum das System das getan hat, was es getan hat, und ihre Arbeit wird mit einem LLM unglaublich viel anspruchsvoller. Lassen Sie uns also in dieses Hornissennest eintauchen. Erklären Sie mir und dem Publikum doch bitte, inwiefern sich ein LLM grundlegend von den Systemen unterscheidet, die Ihr Prüfer normalerweise zu bewerten gewohnt ist, und warum Sie diese Lücke verstehen müssen.

Dr. Radha Plumb: Ich halte es für hilfreich, die „Black Box“ in einzelne Bestandteile zu zerlegen, um zu verstehen, wo sich diese Box befindet. Es gibt also die Eingaben in diese Box, bei denen es sich im Grunde um die Daten und den Kontext handelt. Mit „Daten“ meine ich wörtlich die Daten, und das können strukturierte Daten sein, wie beispielsweise Ihre Finanzinformationen und Zahlen, halbstrukturierte Daten, wie Elemente aus Ihren Verträgen, oder wirklich unstrukturierte Daten, wie lange Dokumente oder sogar Bilder. Und all das fließt zusammen mit dem Kontext in Ihre Algorithmen ein – also der Frage, in welcher Beziehung diese Daten zum Geschäft und zu den Anwendungsfällen stehen.

Wir sind es gewohnt, diese Dinge zu kombinieren und deterministische Ergebnisse zu erzielen. Ich nehme also einen Kontext – ich verwende die einfachste Analogie: Ich nehme eine Reihe von Daten in einer flachen Datei, etwa einer Tabellenkalkulation, und wende eine bekannte statistische Formel an, wie zum Beispiel einen Mittelwert, und ich gebe sie ein – heraus kommt der Mittelwert. Das kann ich so oft wiederholen, bis ich eine Verteilung erhalte, oder ich kann den Verlauf über die Zeit betrachten und eine Zeitreihe erhalten. Das sind alles deterministische Ergebnisse.

Was LLMs beitragen, ist, diese unermessliche Menge an Daten und Zusammenhängen, die wir sowohl kennen als auch nicht kennen, und darauf eine Inferenzebene anzulegen, um Kombinationen von Informationen zu erzielen, die wir nicht kennen und die wir nicht hätten vorhersagen können, sodass ein inferentielles Ergebnis anstelle eines deterministischen entsteht. Das ist die Black Box. Das ist sozusagen die geheime Zutat. Der Vorteil davon ist, dass dadurch viele Dinge entstehen, die man zuvor vielleicht nicht hätte haben können oder an die man zuvor gar nicht gedacht hätte. Der Nachteil daran ist, dass man nicht genau weiß, welche einzelnen Elemente dazu geführt haben, oder wie man das Ergebnis immer wieder reproduzieren kann.

Ich denke, Sie sollten sich in Ihrem Prozess wirklich überlegen: Wo möchte ich etwas Kreatives, Neues und Anderes? Und genau dafür sind die LLMs da. Wo möchte ich deterministische Ergebnisse? Genau dort können Sie Ihre herkömmlichen Analysen oder MLOps einsetzen, wie zum Beispiel traditionelle KI-Methoden. Es müssen nicht überall LLMs zum Einsatz kommen. Und wie kombiniere ich dann, welche Steuerungsebene kombiniert diese Elemente, um die gewünschte Ausgabe zu erzeugen, die dann ein vorhersehbares Ergebnis für Prüfer darstellt – mit den Vorteilen generativer Modelle, wo man sie braucht, und der Vorhersehbarkeit deterministischer Modelle, wo es erforderlich ist?

Bradd Busick: Ich finde diesen Blickwinkel großartig. Und wenn man das aus der Perspektive eines CIOs betrachtet, der in manchen Fällen diesen Weg noch nicht beschritten hat oder in anderen Fällen ihn bereits beschritten hat, was wird Ihrer Einschätzung nach die erste Hürde im Bereich Compliance sein, über die sich ein CIO Sorgen machen sollte, wenn er sich noch am Anfang dieses Prozesses befindet und kurz vor der Umstellung auf ein KI-gestütztes System steht? Worüber sollte er sich Gedanken machen?

Dr. Radha Plumb: Lassen Sie mich das einmal aus der Perspektive von IBM betrachten, einfach weil es meiner Meinung nach ein anschauliches Beispiel ist. Sie haben Ihre Datenschicht, und Sie benötigen Daten-Governance und Kontrollen. Für CIOs fällt das oftmals in den Zuständigkeitsbereich eines Chief Data Officers, und es gibt Daten-Governance und Kontrollen, wie Sie wissen. Die allererste Frage, die Ihnen gestellt wird, lautet also: Wie entscheiden Sie, wer Zugriff auf welche Daten erhält, die abgerufen werden können? Wie sieht Ihre rollenbasierte Zugriffskontrolle aus? Wie sieht Ihr Identitäts- und Berechtigungsmanagement aus?

Der erste Schritt bei IBM besteht beispielsweise darin, dass wir – wie die meisten großen Unternehmen – über ein System verfügen, das Ihre Benutzer-ID mit Ihrer Rolle und dem entsprechenden Zugriff verknüpft. Nun müssen Sie diese Daten in Ihr algorithmisches System einlesen, und sobald Sie das getan haben, benötigen Sie etwas, das die Prozesse koordiniert: Fließen diese Daten in eine LLM-Konversation? Fließen diese Daten in eine deterministische Abfrage ein? Werden sie einfach nur in ein Dashboard geleitet? Fließen sie in einen Bericht ein? Diese Steuerungsebene ist ein Bereich, in dem Sie die Koordination und die Kenntnis der Präferenzen des Unternehmens benötigen, und das ist etwas, das Sie für Ihr Unternehmen herausfinden und aufbauen müssen. Unternehmen werden sich in diesem Punkt nicht alle gleich verhalten, und auch bei verschiedenen Anwendungen wird es Unterschiede geben.

Wir gehen beispielsweise bei der Koordination von Finanzdaten ganz anders vor als bei der Koordination von Regeln bezüglich Markenfarben und Markengrafiken, die in Inhalte einfließen müssen. Beides unterliegt bestimmten Vorgaben. Wir können bei IBM nicht 87 verschiedene Blautöne haben. Aber wir werden das anders handhaben als die Ertrags- und Umsatzrealisierung in unseren Finanzsystemen, und zwischen diesen beiden Bereichen gibt es noch eine ganze Menge anderer Aspekte. Ich glaube also, dass diese Orchestrierungsebene die erste wirklich große neue Frage ist, über die CIOs nachdenken müssen. Was ist Ihr KI-Betriebssystem? Wo platzieren Sie diese Steuerungsebene, und wie werden Sie sie an Ihre spezifischen Anforderungen anpassen?

Bradd Busick: Ja. Ich finde, das ist wirklich gut ausgedrückt. Und wenn wir darüber nachdenken, wie Nachvollziehbarkeit aus der Sicht eines Prüfers tatsächlich aussieht – um, wie Sie gesagt haben, die rollenbasierte Zugriffskontrolle klar zu formulieren: Das ist, worauf diese Person Zugriff hat oder nicht hat, das war der Eingabe- und das war der Ausgabewert in dieser orchestrierten Kontrollebene mit einem Rhythmus, einer Ordnung und einer Disziplin – leichter gesagt als getan, wie wir beide wirklich, wirklich gut wissen. Da Sie so viele verschiedene Arten solcher Implementierungen in so vielen verschiedenen Branchen gesehen haben, wo liegt Ihrer Meinung nach das größte Problem für die meisten Unternehmen? Sind es die Daten? Ist es das Modell? Liegt es irgendwo dazwischen? Erläutern Sie mir das doch bitte etwas genauer.

Dr. Radha Plumb: Ich würde sagen, es ist wahrscheinlich die Schnittstelle zwischen Technologie und Prozessen. Es ist ein bisschen sowohl die Daten als auch das Modell, aber eigentlich ist es… Ich glaube, derzeit herrscht das Gefühl, man könne einfach ein bisschen KI-Magie in einen Prozess einstreuen, der vielleicht zu komplex oder vielleicht nicht genau genug definiert ist, und dass dies dann zu wirklich messbaren Geschäftsergebnissen führen würde – aber das ist einfach nicht der Fall. Kein CIO wird das alleine in den Griff bekommen. Deshalb denke ich, dass die eigentliche Lösung darin besteht, die schwierige Diskussion darüber zu erzwingen, wie der Prozess aussehen sollte, wo die Technologie integriert werden muss, was die Technologie leisten muss, aber auch, wo der Prozess entsprechend angepasst werden muss.

Ich werde Ihnen ein konkretes Beispiel nennen. Wir haben an diesem agentenbasierten Workflow im Finanzbereich gearbeitet, um Budgetprognosen mit den Ist-Zahlen zu vergleichen – ein sehr häufiges Problem. Und ja, das können wir tun, und man muss sich Gedanken über den Agenten machen und darüber, welche Abweichungen man als relevant erachtet. Aber man muss die Berichte auch gewissermaßen standardisieren, denn man kann die Abweichungserkennung nicht für unendlich viele Fälle automatisieren. Das ist kein technologisches Problem. Wir können jeden gewünschten Schwellenwert festlegen. Das ist eine Frage der Prozesse und Kontrollen. Und das muss vom Geschäft kommen und dann mit der Technologie verknüpft werden – diese Umsetzung muss erfolgen. Und dann muss das auf eine Weise integriert werden, die vorhersehbar und überprüfbar ist, damit, wenn unser Finanzvorstand sagt: „Hey, warum betrachten wir diese Abweichung und nicht jene?“ gibt es eine klare geschäftliche Antwort und eine technologische Lösung, die diese untermauert und konkret demonstriert werden kann, um sie zu untermauern. Und diese Verknüpfung ist meiner Meinung nach eine große Herausforderung, die gelöst werden muss.

Bradd Busick: Es fühlt sich tatsächlich so an, als gäbe es hier ein kleines Stückchen Kunst und Wissenschaft, und es scheint, als würden die Leute die Verwaltung der Daten mit der Verwaltung des Modells selbst verwechseln.

Dr. Radha Plumb: Oh, ja.

Bradd Busick: Wie gehen Sie mit diesem Unterschied um und wie spiegelt sich das in Ihrer derzeitigen Arbeit und Ihrer Führungsrolle wider?

Dr. Radha Plumb: Ich versuche, dies gewissermaßen in verschiedenen Ebenen zu betrachten, denn meiner Meinung nach ist die Daten-Governance in gewisser Weise eine entscheidende Voraussetzung, bevor man überhaupt an irgendeine Art von KI- oder digitaler Lösung herankommt. Sie ist so etwas wie der Treibstoff, der Ihr KI-Modell antreibt; daher muss diese Governance-Ebene richtig gestaltet sein. Ich glaube, das Problem ist oft, dass man dabei stehenbleibt. Man hat also seine Daten-Governance, man hat seine Metadaten, man hat seine rollenbasierte Zugriffskontrolle, man hat seine maßgeblichen Systeme, und man denkt: „Großartig. Jetzt werde ich das mit KI bearbeiten.“ Und jetzt muss man sich überlegen: Okay, sobald ich diesem Ding meine Daten gegeben habe, was passiert dann? Welche Modell-Governance brauche ich? Was muss ich sehen können, was das Modell tut, auf welche Daten es zugreift, wie aktuell seine Daten sind, wie sich das Modell im Laufe der Zeit bewährt und ob ich bestimmte Verzerrungen feststellen kann? All die üblichen Aspekte, die man bei analytischen Lösungen – sagen wir mal bei deterministischen Lösungen – testen würde, muss man hier wieder einbeziehen.

Das Problem ist jedoch, dass es für diese Art von Modellen keine vergleichbaren Tests gibt. Deshalb konzentrieren wir uns viel stärker auf den Aspekt der Transparenz: Wir wollen verstehen, was das Modell tut, auf welche Daten es zugreift, wann es Schlussfolgerungen zieht, um die einzelnen Schritte des Inferenzprozesses transparenter zu gestalten und anhand dessen zu ermitteln, woher mögliche Abweichungen und Ergebnisse stammen könnten. Hoffentlich werden wir im Laufe der Zeit auch bessere Bewertungsinstrumente erhalten, und die Branche arbeitet weiterhin an deren Entwicklung. Aber ich denke, genau darin liegt derzeit die Komplexität: Es gibt keine fest etablierte, bekannte Methode, um die Genauigkeit oder Präzision auf die gleiche Weise zu prüfen, wie wir es gewohnt sind.

Bradd Busick: Ich finde, Ihre Anmerkung trifft den Nagel auf den Kopf. Ich meine, es fühlt sich tatsächlich so an, als würden wir das Flugzeug steuern, während wir noch daran arbeiten, es zu bauen – und das in einem regulatorischen Umfeld, das noch im Entstehen ist. Wenn Sie sich alle Organisationen ansehen, mit denen Sie bisher zu tun hatten: Wenn ein Prüfer käme und sich neben die meisten der CIOs setzen würde, mit denen Sie heute zu tun haben, glauben Sie dann, dass die Unternehmen tatsächlich eine Antwort parat haben, wenn ein Prüfer zu ihnen sagt: „Sagen Sie mir doch mal, was in Ihr LLM hinein- und herausfließt. Wie wird es gesteuert?“

Dr. Radha Plumb: Das ist lustig, denn ich habe gerade ein Gespräch mit dem Chief Investment Officer einer großen Bank geführt, der im Wesentlichen sagte, dass wir aus genau diesem Grund bei vielen unserer Investitionsentscheidungen keine KI einsetzen. Wir können keine Entscheidungen treffen, bei denen wir nicht nachvollziehen können, welche Daten ein- und ausgehen.“

Es gibt Dinge, die wir tun können, und Dinge, die wir nicht tun können, und ich denke, dies ist ein gutes Beispiel dafür, wo wir mit den Wirtschaftsprüfern und den Aufsichtsbehörden zusammenarbeiten müssen, um einen vernünftigen Mittelweg zu finden. Was man tun kann und was jeder tun sollte, ist zu sagen: Bei stark regulierten Entscheidungen ist dies die abgegrenzte Datenmenge, die vom Modell zur Entscheidungsfindung herangezogen werden darf. Und das wird, glaube ich, ein hervorragender Ausgangspunkt für die Regulierungsbehörden sein. Ich denke, der zweite Schritt, den man dann unternehmen sollte, ist der Einsatz von Tools – wir haben bei IBM zum Beispiel eines, das „Watsonx Governance“ heißt, aber es gibt eine Reihe solcher Governance-Tools, die Ihnen tatsächlich Aufschluss darüber geben, was Ihr Modell tut. Wo führt Ihr Modell also Inferenzberechnungen durch? Wie verhält es sich? Diese Transparenz wird für die Aufsichtsbehörden von großer Bedeutung sein.

Und schließlich kommt noch der letzte Schritt, wenn man Agent-basierte Lösungen darüberlegt… Wenn man darüber nachdenkt, was ein Agent ist: Es handelt sich um RPA, die mit einer Reihe von Signalen verbunden ist, die aus einem großen Datensatz stammen, den man im Grund mit natürlicher Sprachverarbeitung verarbeitet. Diese Reihe von Aktionen muss also mit den Daten verknüpft sein. Man sollte transparent sagen können: „Hier sind die Aktionen, die ausgeführt werden. Hier sind die Schwellenwerte, bei denen diese Aktionen ausgelöst werden.“ Und das liefert dem Prüfer nun alle Informationen – abgesehen von den sehr detaillierten Abläufen, mit denen die Daten vom Modell transformiert werden, um diese Schwellenwerte zu erreichen –, und ich denke, dass dies für die meisten, wenn auch nicht alle, regulierten Branchen ausreichen, um ein Gespräch mit dem Prüfer erfolgreich zu meistern.

Es sollte jedoch darauf hingewiesen werden, dass es derzeit einige Dinge gibt, für die wir noch keine gute Möglichkeit haben, sie in diese LLM-Systeme zu integrieren, und ein Teil davon besteht darin, die Dinge zu akzeptieren, die man nicht ändern kann. Es wird also Dinge geben, bei denen man das tun kann und die man nutzen kann, um Prozesse zu optimieren, aber es muss letztendlich ein Mensch darauf zurückgreifen, und ein Menschmuss es überprüfen und die Entscheidung auf der Grundlage der rechtlichen Vorgaben treffen, und das ist ebenfalls ein Bereich, den wir im Moment einfach nicht versuchen sollten, mit Technologie zu lösen.

Bradd Busick: Derzeit herrscht weitgehend Einigkeit darüber, dass Sicherheit und Geschwindigkeit von den meisten Unternehmen wie die beiden Enden einer Wippe behandelt werden. Steigt die Geschwindigkeit, sinkt die Sicherheit. Steigt die Sicherheit, verlangsamt sich der Prozess. Glauben Sie, dass diese Vorstellung von Geschwindigkeit und Sicherheit tatsächlich auf KI zutrifft, oder kann man tatsächlich beides haben?

Dr. Radha Plumb: Ich glaube, man muss beides haben, und deshalb muss man die Perspektive darauf, wo Sicherheit ins Gespräch kommt, umkehren. Ein großer Teil unseres Fokus bei IBM – und das war beim Pentagon genauso – liegt darauf, Sicherheit von vornherein zu integrieren. Die allerersten Gespräche, die ich über jedes neue KI-Tool führe, sind mit unserem CISO. Ich spreche viele, viele Male am Tag mit ihm und kenne im Grunde sein gesamtes Team mit Namen. Das ist kein Zufall. Denn wenn ich die Sicherheitsregeln und Erkenntnisse, die sie benötigen, nicht richtig hinbekomme, kann ich das Tool nicht bereitstellen.

Und diese Gespräche frühzeitig zu beginnen, damit ich weiß, ob es um eine Entscheidung zwischen Eigenentwicklung und Zukauf geht, welche Fragen sie stellen müssen und welche Integrationen sie testen möchten, das weiß ich schon im Vorfeld, und ich kann schnell Antworten erhalten und mir ein schnelles Bild davon machen, ob das Projekt erfolgreich sein wird oder nicht. Das bedeutet, dass wir am Ende ein Ergebnis erhalten, von dem wir wissen, dass es konform ist und skalierbar ist. Und diese „Security by Design“, so glaube ich, ist es, was es uns ermöglicht, Geschwindigkeit und Sicherheit in ein Gleichgewicht zu bringen. Und ich würde nicht einmal von einem Gleichgewicht sprechen. Ich würde sagen, dass „Security by Design“ einen positiven Kreislauf in Gang setzt: Es führt zu konformen Ergebnissen, ermöglicht eine schnelle Bereitstellung und ermöglicht es Ihnen, noch mehr „Security by Design“ umzusetzen. Dieser positive Kreislauf bringt Sie viel schneller voran.

Bradd Busick: Mir gefällt Ihre Beschreibung, dass Sie das gesamte Sicherheitsteam mit Namen kennen. Ich würde sagen, für unsere Zuhörer ist das ein wirklich fremdes Konzept. In manchen Fällen arbeitet der CISO eher gegen sie als mit ihnen. Und doch höre ich aus Ihren Worten heraus, wie entscheidend wichtig – und vielleicht sogar ein Wettbewerbsvorteil – es ist, Sicherheits- und Risikoteams bereits zu Beginn einer Initiative oder eines Projekts einzubeziehen, anstatt erst am Ende. Warum, glauben Sie, ist das heute so selten, angesichts der neuen Welt, in der wir leben?

Dr. Radha Plumb: Ich glaube, oft wollen die Leute Lösungen schnell einführen, und sie denken, wenn sie nur genügend geschäftlichen Nutzen aus den Anwendungsfällen nachweisen können, werden sie das Sicherheitsteam mit ins Boot holen können. Und oft führt das zu jenem Risikogespräch, über das wir zu Beginn gesprochen haben, in dem man sagt: „Es gibt dieses große Risiko, dessen Minderung uns viel kosten wird, und es gibt diesen großen geschäftlichen Nutzen – welcher P&L-Verantwortliche und welcher CISO möchte welches Risiko tragen?“ Und man kann das so handhaben, und das ist ein Weg, das Problem zu lösen, aber es ist langsam und führt entweder zu Risiken oder zu Ablehnung.

Wir haben festgestellt, dass es viel besser ist, gleich zu Beginn eine deutlich kleinere Diskussion zu erzwingen, nämlich: „Wo können wir das einsetzen? Wie wollen wir es einsetzen? Welche Daten werden wir verwenden? Welche Risiken gehen wir ein?“ Und gemeinsam mit dem CISO erfolgt eine ganze Reihe schrittweiser Risikominderungsmaßnahmen und Anpassungen, während man den MVP entwickelt oder die ersten Tests und Integrationstests durchführt; je nachdem, ob es sich um eine Eigenentwicklung oder den Kauf handelt, kann man all diese Schritte parallel dazu durchführen, was letztendlich dazu führt, dass die endgültige Entscheidung lautet: „Hey, wir haben hier ein paar Risiken, die wir nicht mindern können. Wir halten sie angesichts des geschäftlichen Nutzens jedoch nicht für so groß. Lassen wir es auf sich ankommen.“ Alle sind mit dieser Entscheidung sehr zufrieden. Aber das erfordert viel mehr Vorarbeit mit dem Team, und die Leute haben sich mental einfach noch nicht dazu entschlossen, den gesamten Prozess nach vorne zu verlagern. Es ist ein Designmerkmal. Es ist keine Compliance-Prüfung.

Bradd Busick: Ja. Das finde ich toll. Die Vorstellung, dass es sich um ein Designmerkmal handelt, trifft den Nagel auf den Kopf. Ich glaube, es ist neu, und ich glaube, für manche ist es fremd, vor allem, weil sie sich noch keine Gedanken darüber gemacht haben, wie wir eigentlich planen wollen. In manchen Fällen wurden sie geradezu darin hineingetrieben: „Übrigens, du hast eine KI-Plattform – was willst du damit anfangen?“ Wenn man also an die heutigen CIOs auf der ganzen Welt denkt, die über Plattformen verfügen, die vor 10 Jahren noch keine KI hatten, sondern über Big Data verfügten, und die nun tatsächlich über eine Plattform verfügen, die über agentenbasierte Funktionen verfügt, die jede Nacht aktiviert werden – was wäre das Eine, das Sie ihnen sagen würden, das sie ab morgen anders machen sollten?

Dr. Radha Plumb: Es ist lustig, denn es fühlt sich so an, als müsste es um Technologie gehen, und ich werde jetzt jedoch ganz und gar über Prozesse sprechen, und genau das würde ich Ihren CIOs raten: Machen Sie sich ein Bild von den Arbeitsabläufen und davon, wie diese in Ihrem Unternehmen verlaufen. Ich werde wieder das Beispiel IBM anführen, aber wir haben im Pentagon genau dasselbe getan: Wir haben das Geschäft in 10 große-zu-End-Unternehmens-Workflows unterteilt haben, und darin gibt es dann Aktivitätssätze – und so gehen wir bei der Bereitstellung von Agenten vor. Aber wenn Sie diesen Katalog haben, können Sie, sobald Sie neue Funktionen oder neue Fähigkeiten sehen, können Sie diese sehr schnell den entsprechenden Verkaufschancen zuordnen – wo und wie sie zum Einsatz kommen –, die entsprechenden Teams zusammenbringen und ein funktionsübergreifendes Team bilden, das neue Technologien aktiviert und einsetzt.

Aber wenn man diese anfängliche, etwas langweilige Prozessarbeit im Zusammenhang mit der Technik nicht hat, sodass man weiß: Okay, das sind die verschiedenen Teile unseres Vertriebsprozesses, und so sind sie mit unserer Sales Cloud verknüpft. Nun habe ich meine neuen Funktionen, die gerade in meiner Sales Cloud eingeführt wurden, oder eine neue App, für die wir gerade eine Partnerschaft eingegangen sind und die wir einbinden, sollte ich genau wissen, wo diese hingehören, und ich sollte wissen, wen ich anrufen kann, um zu sagen: „Hey, lass uns ein Team zusammenstellen, um uns das anzuschauen, einen kurzen 30-Tage-Test durchführen und prüfen, ob es tatsächlich die Produktivität steigert – und das Ganze dann wiederholen.“ Und das ist sozusagen der Ansatz, den wir gewählt haben: Diese Anfangsinvestition ist zwar mühsam, ermöglicht aber eine wirklich schnelle Bereitstellung.

Bradd Busick: Nun, ich hoffe, unsere Zuhörer hatten heute die Hände frei, denn du hast uns einige wertvolle Einblicke vermittelt. Es war mir eine Freude, mich mit dir zu unterhalten, Radha. Vielen Dank, dass du bei „The Savvy CIO“ zu Gast warst.

Dr. Radha Plumb: Vielen Dank für die Einladung.

Bradd Busick: Das heutige Gespräch mit Dr. Plumb hat mir sehr gut gefallen. Ich glaube, es gab ein paar Dinge, die mir besonders aufgefallen sind. Erstens: Wenn man Sicherheitsaspekte frühzeitig und regelmäßig einbezieht, entscheidet das oft über Erfolg oder Misserfolg einer Implementierung. Und mir hat ihre Bemerkung sehr gut gefallen: „Ich kenne alle Sicherheitsmitarbeiter mit Vornamen.“ Stellen Sie sich das in großem Maßstab an einem Ort wie dem Pentagon vor, wo man – ganz ehrlich – diese Beziehung fast schon haben muss, um Dinge voranzubringen. So viele CIOs, die heute zuhören, verlassen sich bei all den Dingen, die niemanden interessieren, bis sie schiefgehen, auf ihre CISOs und ihr Sicherheitsteam.

Ich glaube, Dr. Plumbs Hinweis auf das Verständnis von Arbeitsabläufen ist das A und O. Ohne Arbeitsabläufe wird man einfach KI auf etwas anwenden und hoffen, dass etwas Großartiges passiert – und wie wir alle wissen, laufen Unternehmen nicht auf Hoffnung. Daher halte ich es für ein besseres Erfolgsrezept, Zeit dafür aufzuwenden, die notwendige Disziplin anzuwenden, die eigenen Arbeitsabläufe zu dokumentieren und sie zu verstehen, damit man bei einem Audit den Arbeitsablauf mit der Technologie in Einklang bringen kann.

Das war’s für heute. Vielen Dank fürs Zuhören. Bitte folgt uns, damit ihr keine Folge verpasst. Das war „The Savvy CIO“, präsentiert von Park Place Technologies. Wenn Sie mehr über Park Place erfahren möchten, besuchen Sie www.parkplacetechnologies.com. Und nun noch ein letztes Wort von unserem Gast. Radha, da die Sendung „The Savvy CIO“ heißt: Was war die klügste Entscheidung, die Sie bisher in Ihrer Karriere getroffen haben?

Dr. Radha Plumb: Ich glaube, es war die Entscheidung, mich voll und ganz darauf zu konzentrieren, die KI für Unternehmen zu ergründen. Ich glaube, dass dies der Bereich sein wird, in dem die Menschen die nächsten fünf bis zehn Jahre damit verbringen werden, wirklich alles in der Gesellschaft zu verändern, und es ist wirklich spannend, Teil dieser Entwicklung zu sein.

Bradd Busick: Diese Sichtweise finde ich großartig, und ich kann dir nur zustimmen. Ich bin euer Moderator, Bradd Busick. Und wie immer gilt: Die IT sollte nicht nur mit am Tisch sitzen – die IT ist der Tisch. Macht’s gut.