Kernaussagen für das Management
Dieser Block fasst die wesentlichen Aussagen des Whitepapers für Entscheider zusammen.
Kernsatz
MOTIVE Gateway verankert AI Governance dort, wo KI genutzt wird — als zentrale Kontrollschicht, die den Geschäftszweck erfasst, Regeln vor der Ausführung prüft, erforderliche Freigaben steuert und Entscheidungen nachvollziehbar dokumentiert.
Prüfungsstatus
Der PoC wurde anhand von 200 synthetischen Aufgaben aus acht Geschäftsdomänen evaluiert und als Konferenzbeitrag auf der ICEIS 2026 (peer-reviewed) publiziert. Die Ergebnisse belegen technische Machbarkeit unter kontrollierten Bedingungen. Ein produktiver Kundeneinsatz und realisierte Einsparungen sind nicht belegt.
Empfehlung
Einen abgegrenzten Geschäftsprozess mit bestehendem Dokumentations- und Freigabebedarf auswählen. Eine Ausweitung erfolgt erst nach dokumentierter Abnahme anhand einer real gemessenen Ausgangsbasis.
Wesentliche Führungsentscheidungen
- Prozessverantwortung, zulässigen Datenumfang und Kapazität für Pilot und Reviews vor Beginn festlegen
- Budget und Dauer erst nach Prüfung der vorhandenen Infrastruktur, Schnittstellen und Policies planen
- Zusätzlichen Eingabe-, Prüf- und Betriebsaufwand im Business Case ausweisen — nicht nur Nutzenpotenziale
- Betriebsverantwortung vor Pilotbeginn namentlich oder funktional zuweisen
- Messbare Ausgangsbasis erheben, bevor der Pilot startet — sonst ist kein Vergleich möglich
Executive Summary
Unternehmen, die Sprachmodelle in ihre Arbeitsabläufe integrieren, müssen Nutzung, Verantwortung und Nachweise zusammenführen. Isolierte Zugänge und nachträglich zusammengestellte Dokumentation erschweren diese Steuerung. MOTIVE Gateway adressiert diese Lücke mit einer zentralen Kontrollschicht.
Das Gateway erfasst den Geschäftszweck jeder KI-Anfrage, prüft Regeln vor der Ausführung, steuert erforderliche menschliche Freigaben und dokumentiert Entscheidungen nachvollziehbar. Der Schwerpunkt liegt auf kontrollierter Nutzung und belastbarer Dokumentation — nicht auf der Verbesserung fachlicher KI-Qualität.
98 %
Vollständige Ausführungsspuren (TCR) im PoC-Korpus
94 %
Rekonstruierbare simulierte Audits (ARSR)
96 %
Erfüllung anwendbarer Kontrollen (COSR)
72 %
Erfolgreiche Korrektur zurückgewiesener Anfragen
Modellierte Baseline; kein gemessenes produktives Vergleichssystem. Ergebnisse nach Sienou, A. (2026), ICEIS 2026, DOI: 10.5220/0014970100004018
1. Die geschäftliche Ausgangslage
Generative KI wird häufig schneller in Arbeitsabläufe integriert, als Kontroll- und Freigabeprozesse angepasst werden. Eine AI Policy kann zwar festlegen, was erlaubt ist — sie stellt jedoch nicht sicher, dass diese Vorgaben bei jeder einzelnen Nutzung eingehalten und dokumentiert werden.
Für Geschäftsleitung, IT und Governance-Verantwortliche entstehen dadurch konkrete, bisher unbeantwortete Fragen:
Zuordnung und Zweck
Wer hat die Nutzung veranlasst und für welchen Geschäftszweck?
Zulässigkeit
Welche Daten, Werkzeuge und Ergebnisse waren erlaubt?
Aufsicht
War eine menschliche Prüfung erforderlich — und hat sie stattgefunden?
Rekonstruierbarkeit
Lassen sich diese Informationen später verlässlich zusammenführen?
MOTIVE Gateway wurde entwickelt, um diese Fragen bereits im Arbeitsablauf zu beantworten.
2. Der Lösungsansatz
Das Gateway ergänzt bestehende Anwendungen um eine zentrale Governance-Schicht. Bevor eine Anfrage ausgeführt beziehungsweise ein Ergebnis freigegeben wird, werden Zweck, Vorgaben und erforderliche Aufsicht geprüft. Die wesentlichen Entscheidungen werden in einem Evidenzspeicher festgehalten.
2.1 So verändert sich der Arbeitsablauf
Geschäftlicher Zweck: Passende Regeln anwenden
Geschäftlicher Zweck: Vorgaben konsistent umsetzen
Geschäftlicher Zweck: Missverständnisse und Dokumentationslücken reduzieren
Geschäftlicher Zweck: Korrekturen vor der Ausführung ermöglichen
Geschäftlicher Zweck: Verantwortung im Prozess verankern
Geschäftlicher Zweck: Rückfragen und Prüfungen unterstützen
2.2 Vier Workstreams für eine umsetzbare Lösung
| 1. Governance & Daten | 2. Plattform & Sicherheit | 3. Betrieb & Befähigung | 4. Wirkung & Wirtschaftlichkeit |
|---|
| Use Case und Kontrollbedarf | Anwendungen und Modellzugänge | Prozess- und Review-Owner | Reale Ausgangsmessung |
| Policies und Freigaberegeln | Identitäten, Routing und Evidenz | Schulung und Arbeitsanweisungen | Kontrollqualität und Fehlalarme |
| Rechtsgrundlage und Nutzungsrechte | Umgehungsschutz und Ausfallverhalten | Vertretung und Eskalation | Arbeitsaufwand und Gesamtkosten |
| Ergebnis: freigegebener Kontrollrahmen | Ergebnis: getestete Integration | Ergebnis: betriebsfähiger Ablauf | Ergebnis: belastbare Freigabegrundlage |
3. Architektur und Kontrollen
3.1 Die sechs MOTIVE-Komponenten
Die Referenzarchitektur trennt Regelentscheidung und Regeldurchsetzung von Auftragserstellung und Ausführungssteuerung. Ihr spezifischer Beitrag ist die Verbindung von dokumentierter Absicht, verbindlichen Kontrollen, menschlicher Aufsicht und gesicherten Nachweisen.
Request Intake & Context Resolution
Am zentralen Eingang: Rolle, Geschäftsdomäne und Sensitivität für die Governance-Prüfung erfassen.
Policy Decision Point (PDP)
Als Governance-Regeldienst neben der Routing-Steuerung: Kontrollstufe, zulässige Werkzeuge, Freigaben und Aufbewahrung bestimmen — über reine Kostenregeln hinaus.
Manifest Builder
Zwischen Anwendung und kontrollierter Ausführung: Zweck, Ergebnisanforderung und Einschränkungen strukturiert dokumentieren.
Policy Enforcement Point (PEP)
Als verbindliche Prüfstelle vor Ausführung: Unvollständige oder regelwidrige Anfragen blockieren; Guardrails um Governance-Prüfungen ergänzen.
Orchestrator & Oversight Workflow
Mit Routing und Freigabeprozess verbunden: Erforderliche menschliche Prüfung und dokumentierte Entscheidung sicherstellen.
Evidence Store
Als eigener, in der Plattform noch nicht ausgewiesener Dienst: Auftrag, Kontrollentscheidung, Ausführung und Freigabe nachvollziehbar zusammenführen.
3.2 Fünf Kontrollen mit geschäftlicher Bedeutung
| Kontrolle | Was sie leisten soll | Wo ihre Grenze liegt |
|---|
| Zweck dokumentieren | Nutzung begründen und zuordnen | Ein eingetragener Zweck kann falsch oder irreführend sein |
| Einschränkungen durchsetzen | Zulässige Inhalte und Ausschlüsse überprüfbar machen | Keine allgemeine Garantie für inhaltliche Richtigkeit |
| Menschliche Aufsicht steuern | Verantwortung und Freigabe sichtbar machen | Wirksam nur mit qualifizierten Prüfern und ausreichender Zeit |
| Nachweise gegen Manipulation absichern | Spätere Rekonstruktion unterstützen | Gesicherte Aufzeichnungen beweisen nicht die Wahrheit ihres Inhalts |
| Unternehmensregeln vorab prüfen | Regelverstöße frühzeitig anhalten | Abhängig von Qualität und Aktualität der Regeln |
Für die Umsetzung entscheidend: Kostenkontrolle ist noch keine vollständige Governance-Policy. Inhaltsfilter ersetzen keine Zweckprüfung. Technische Logs ersetzen keinen strukturierten Evidenzspeicher.
4. Was bisher erprobt wurde
Der Proof of Concept umfasst 200 synthetische Aufgaben, jeweils 25 aus Gesundheitswesen, Finanzen, Recht, öffentlichem Sektor, Bildung, Personalwesen, Marketing und Operations. Ergänzend wurden gezielte Regelverstöße, simulierte Audits und eine Expertenbewertung untersucht.
| Kennzahl | Baseline | Gateway |
|---|
| Vollständige Ausführungsspuren (TCR) | 0,67 | 0,98 |
| Vollständigkeit der Manifestfelder (MCS) | 0,53 | 1,00 |
| Erfüllung anwendbarer Kontrollen (COSR) | 0,58 | 0,96 |
| Blockierte absichtliche Regelverstöße (PVDR) | 0,23 | 0,87 |
| Rekonstruierbare Audits (ARSR) | 0,31 | 0,94 |
Modellierte Baseline; kein gemessenes produktives Vergleichssystem. Nach Sienou (2026), Tabellen 3–4, S. 1638.
Was der Vergleich aussagt
Die Baseline wurde aus Annahmen, veröffentlichten Informationen und Experteneinschätzungen gebildet — sie wurde nicht unter gleichen Bedingungen gemessen. Die Differenzen sind deshalb Anhaltspunkte für einen Pilotversuch, keine belastbaren Leistungs- oder Einsparversprechen.
47 von 50
Simulierte Audits allein aus dem Evidenzspeicher abschließbar — noch kein Nachweis für reale Unternehmensaudits.
26 von 30
Absichtliche Regelverstöße vor Ausführung blockiert — vier Verstöße wurden nicht erkannt.
87 %
Gateway-Manifeste von Experten als „auditbereit" eingestuft — drei Experten, 30 Manifeste, kein externes Audit.
42 von 58
Zurückgewiesene Anfragen erfolgreich korrigiert — Hinweis auf nutzbares Korrekturfeedback, kein langfristiger Lerneffekt belegt.
5. Vom PoC zum produktiven Einsatz
Empfohlen wird ein begrenzter Pilot in einem abgegrenzten Geschäftsprozess mit bestehendem Dokumentations- und Freigabebedarf. Geeignet sind zunächst wiederkehrende Arbeitsabläufe mit klaren Regeln, benannten Verantwortlichen und messbarer Ausgangslage.
5.1 Fünf Phasen zur Betriebsentscheidung
Einen geeigneten Prozess auswählen
Abnahmekriterium: Zweck, Nutzergruppe, Datenumfang und Verantwortliche sind festgelegt
Fachliche, rechtliche und technische Voraussetzungen herstellen
Abnahmekriterium: Freigegebene Policies, Daten- und Rechtekonzept, definierte Reviews
Gateway im realistischen Arbeitsablauf prüfen
Abnahmekriterium: Gemessener Vergleich mit dem bisherigen Prozess
Nutzen und Zusatzaufwand gegenüberstellen
Abnahmekriterium: Daten zu Dokumentationsqualität, Regelverstößen, Review-Aufwand, Wartezeit und Akzeptanz
Einsatz freigeben, anpassen oder beenden
Abnahmekriterium: Dokumentierte Abnahme einschließlich verbleibender Risiken
5.2 EU AI Act — Einordnung
Die Publikation ordnet Architekturbausteine Anforderungen an Risikomanagement, Aufzeichnungen, Transparenz und menschliche Aufsicht zu und verweist dabei auf Artikel 9, 12, 13 und 14. Dieses Mapping ist kein Konformitätsnachweis. Die rechtliche Risikoeinstufung richtet sich nach dem konkreten System und Verwendungszweck.
6. Grenzen und Entscheidungsrisiken
| Grenze | Bedeutung für die Entscheidung |
|---|
| Synthetische Aufgaben statt realem Dauerbetrieb | Ergebnisse müssen im eigenen Arbeitsumfeld bestätigt werden |
| Geschätzte Vergleichsbasis | Keine belastbare Aussage über relative Einsparungen oder Überlegenheit |
| Formale Prüfung erkennt nicht jede schädliche Absicht | Fachliche Aufsicht und zusätzliche Sicherheitsprüfungen bleiben notwendig |
| Drei Experten und begrenzte Angriffstests | Kein allgemeiner Robustheits- oder Compliance-Nachweis |
| Zusätzliche Eingaben und Freigaben | Gefahr von Verzögerungen und Ausweichen auf unkontrollierte Kanäle |
| Keine veröffentlichten produktiven Kosten- und Betriebsdaten | Kein belastbarer ROI, kein zugesagtes Betriebsniveau |
Nach Sienou (2026), S. 1637–1639.
Nächste Schritte
Möchten Sie prüfen, ob ein abgegrenzter Pilot in Ihrer Organisation sinnvoll ist und welche Voraussetzungen dafür erfüllt sein müssen?