Vom DORA-Anforderungskatalog zum virtuellen DORA-Berater

Ich will verstehen, wie das funktioniert – nicht nur theoretisch, sondern praktisch! Dieser Gedanke treibt mich seit Monaten an, wenn ich über den Einsatz von Künstlicher Intelligenz ( KI ) nachdenke.

Ich will verstehen, wie das funktioniert – nicht nur theoretisch, sondern praktisch!

Dieser Gedanke treibt mich seit Monaten an, wenn ich über den Einsatz von Künstlicher Intelligenz (KI) nachdenke.

Warum mich das beschäftigt, lässt sich eigentlich ganz einfach erklären:

1. Naheliegend bei meinem Profil ist natürlich der Aspekt der Regulatorik. Mit der KI-Verordnung haben wir ein europäisches Regelwerk mit umfassenden Anforderungen, die (nicht nur) Finanzunternehmen umsetzen müssen.
2. Außerdem bin ich Wirtschaftsinformatikerin. Ich habe daher naturgemäß ein fachlich begründetes Interesse an dieser bahnbrechenden technologischen Entwicklung, die das Potenzial hat, ganze Wirtschaftsbereiche und Geschäftsprozesse grundlegend zu verändern, disruptive Effekte zu erzeugen und völlig neue Berufsbilder entstehen zu lassen.
3. Und dann gibt es da noch meine DORA-Werkstatt. Sie ist in den letzten Monaten zu einem echten Wissensspeicher rund um die Themen Resilienz, Informationssicherheit und IKT-Risikomanagement geworden. Schon lange beschäftigt mich die Frage, wie ich diesen Wissen leichter zugänglich machen kann, denn in einer Welt, in der fast täglich neue Guidelines, Fachbücher und Whitepapers erscheinen, braucht es neue Wege der Wissensvermittlung.

Genau an dieser Stelle kommt generative KI ins Spiel, denn sie ist in der Lage, meine Texte zu verstehen, Inhalte kontextabhängig wiederzugeben und Antworten auf fachspezifische Fragen zu formulieren. Warum also nicht einen virtuellen KI-basierten DORA-Berater entwickeln, der Fragen beantworten und konkrete Aufgaben aus der Cybersecurity-Domäne übernehmen kann?

Meine ersten Gehversuche mit KI – und die Grenzen von CustomGPT

Die Idee des virtuellen DORA-Beraters hat mich nicht mehr losgelassen und so beschäftige ich mich seit geraumer Zeit mit der Frage, wie ich eine eigene KI mit meinem regulatorischen Wissen füttern kann, damit sie zu einem hilfreichen Werkzeug in meiner Fachdomäne wird.

Meine Reise begann vor etwa einem Jahr – wie bei vielen – mit der Pro-Version von OpenAIs ChatGPT. Ich erstellte ein eigenes CustomGPT und speiste es mit strukturierten Inhalten aus meiner DORA-Werkstatt. Die Ergebnisse waren allerdings ernüchternd.

Zwar bietet CustomGPT die Möglichkeit, Dokumente hochzuladen und „Knowledge Retrieval“ zu aktivieren. Doch die Antworten blieben häufig ungenau, unvollständig oder schlicht falsch. Ob und wie genau meine Inhalte tatsächlich verarbeitet wurden, blieb unklar. Eigentlich wirkte der gesamte Prozess wie eine Blackbox: keine Transparenz über die Vorbereitung meiner Daten in ein maschinenlesbares Format, kein gesicherter Zugriff auf meine Wissensbasis und keine Möglichkeiten der Einflussnahme.

Mein Fazit: CustomGPT eignet sich gut für erste Experimente. Wer aber einen verlässlichen, domänenspezifischen KI-Assistenten entwickeln möchte, stößt damit schnell an Grenzen.

KI-Training für ambitionierte Laien

Um die Idee eines virtuellen DORA-Beraters weiterentwickeln zu können, musste ich zunächst besser verstehen, wie KI eigentlich funktioniert – wie ein Modell trainiert wird und wie Wissen aufbereitet werden muss, sodass es überhaupt in diesen Trainingsprozess einfließen kann.

Doch was bedeutet „trainieren“ eigentlich konkret? Man hört oft, dass KI-Systeme Unmengen an Daten und enorme Rechenleistung benötigen, und dass die Qualität der Daten entscheidend sei. Aber was steckt wirklich dahinter?

Wer sich erstmals mit dem Thema beschäftigt, stößt schnell auf ein ganzes Vokabular an Fachbegriffen, das zunächst einmal entschlüsselt werden muss. Oder wisst ihr aus dem Stegreif, worin sich „RAG“ und „Fine-Tuning“ unterscheiden? Oder was Begriffe wie „Unsupervised Learning“, „Deep Learning“ und „Self-Supervised Learning“ genau bedeuten?

Im Herbst 2024 bin ich diesen Konzepten zum ersten Mal begegnet. Drei Begriffe haben sich dabei als besonders relevant für mein Vorhaben herausgestellt: Prompt Engineering, Retrieval-Augmented Generation (RAG) und Fine-Tuning – drei unterschiedliche Ansätze, um die Leistungsfähigkeit von Large Language Models (LLMs) gezielt zu verbessern:

• Prompt Engineering: Die gezielte Formulierung von Eingaben (Prompts), um präzisere und relevantere Antworten vom Modell zu erhalten.
• RAG (Retrieval-Augmented Generation): Eine Methode, bei der das Sprachmodell mit einer externen Wissensquelle kombiniert wird, auf die es zur Beantwortung von Fragen zurückgreift.
• Fine-Tuning: Das gezielte Nachtrainieren eines vorhandenen Modells mit neuen, domänenspezifischen Inhalten, um das Verständnis und die Genauigkeit des Sprachmodells in einem Fachbereich zu verbessern.

Die nachstehende Grafik hat mir damals schnell klargemacht: Bei der Entwicklung eines virtuellen DORA-Beraters wird es auf eine Kombination dieser Methoden hinauslaufen, denn das Sprachmodell muss mit domänenspezifischer Terminologie umgehen können und benötigt Zugriff auf aktuellen, fachlich relevanten Content aus dem Bereich Cybersecurity.

Der steinige Weg zum KI-Training

Aber wie findet man eigentlich den Einstieg in dieses sogenannte „KI-Training“? Wie baut man ein RAG-System auf? Und wie – bitte schön – bringt man einem Large Language Model bei, regulatorisches Fachwissen zu verstehen und korrekt wiederzugeben?

Die Antwort? Die hätte ich auch gern 😄

Was ich inzwischen aber sicher weiß: Man braucht vor allem eine gute Portion Durchhaltevermögen und Ehrgeiz – denn die Realität ist oft ernüchternd.

Die meisten Tutorials, Blogartikel und Erklärvideos bewegen sich entweder im Modus Buzzword-Bingo oder tauchen direkt in mathematische Grundlagen ab, die auch aus der Atomphysik stammen könnten. Andere wiederum überschlagen sich mit Codebeispielen in einem technischen Kauderwelsch, das für ambitionierte Laien wie mich kaum zu entschlüsseln ist…

Zwischen „Das geht ganz einfach mit ein paar Prompts“ und „Hier ist die Gleichung für Cross-Entropy-Loss bei Self-Supervised Learning“ klafft ein gewaltiger Graben – und genau dort stehe ich – mit meinem festen, unerschütterlichen Glaubenssatz:

Da muss ich doch irgendwie einen Fuß in die Tür bekommen…

Und so liegen auf meinem Schreibtisch nun – direkt neben dem Buch „Rechnen bis 1000“ meiner neunjährigen Tochter – diverse Fachbücher zu dieser anspruchsvollen Thematik, die mir hoffentlich helfen, das nötige Rüstzeug aufzubauen.

Denn die nüchterne Wahrheit ist: Trotz meines Studiums der Wirtschaftsinformatik fehlt mir in vielen Bereichen das methodische und technische Fundament, um ein KI-Modell selbst anzupassen und zu trainieren. Was fehlt sist beispielsweise Wissen zu:

• Aufbau und Konfiguration technischer Entwicklungsumgebungen
• Programmieren mit Python (nicht nur lesen, sondern wirklich schreiben)
• Entwurf von Systemarchitekturen und die Arbeit mit APIs
• Verständnis neuronaler Netze und maschinellen Lernens
• Nutzung von Cloud-Infrastrukturen und GPU-Instanzen
• Umsetzung grundlegender IT- und Datensicherheitsmaßnahmen
• u.s.w. …

Zwischen Anspruch und Machbarkeit – mein Weg zum PoC

Ich bin Realistin: die drei Fachbücher werden mich natürlich nicht zur Python-Entwicklerin machen – und auch nicht zur Expertin für Cloud-Infrastrukturen, Machine Learning, Data Science oder operativer IT-Sicherheit. Aber das war ja eigentlich auch nie mein Antritt, oder?

Eine wesentliche Erkenntnis: KI ist kein Nebenprojekt für Einzelkämpfer. Um hier wirklich weiterzukommen und professionelle Lösungen an die Rampe zu stellen, braucht es ein Zusammenspiel vieler Köpfe mit unterschiedlichsten Fähigkeiten:

• Wir brauchen echte Techniker – Entwicklerinnen, Machine-Learning-Profis, IT-Architekten und Sicherheitsspezialisten, die wissen, wie man aus Theorie funktionierende KI-Systeme baut.
• Wir brauchen Data Engineers, die Daten so strukturieren und aufbereiten können, dass sie für KI-Modelle tatsächlich nutzbar sind.
• Wir brauchen Fachexpertinnen und -experten, die sinnvolle KI-Business Cases identifizieren, Anforderungen formulieren und Fachkonzepte dazu schreiben.
• Und – was in vielen Diskussionen zu kurz kommt – wir brauchen Menschen, die zwischen all diesen Welten vermitteln. Menschen, die „ein bisschen was von allem verstehen“ – genug Technik, genug Fachlichkeit, genug Abstraktionsvermögen –, um Brücken zwischen den einzelnen Disziplinen zu bauen.

Genau dafür werden Wirtschaftsinformatikerinnen wie ich eigentlich ausgebildet. Unser Job: die Lücken schließen zwischen Fachbereich und IT, zwischen Idee und Umsetzung. Doch Hand aufs Herz: 15 Jahre nach dem Studium ist das alles andere als leicht. Der technologische Fortschritt ist rasant, der Arbeitsalltag fordernd – und auch Familie, Haushalt und Leben beanspruchen ihre Zeit.

De facto bleibt wenig Raum, um mit der Entwicklung Schritt zu halten. Und trotzdem: Genau jetzt beginnt die KI-Zukunft. Nicht irgendwann – sondern jetzt. Und ganz ehrlich: Mit Ende 30 einfach das Spielfeld räumen und es den jungen Studienabsolventen mit ihrem frischen KI-Wissen überlassen – das kommt ja wohl nicht infrage. 😄

Deshalb habe ich mich entschieden, selbst aktiv zu werden – und ein lokales LLM aufzusetzen. Keine High-End-Lösung, aber: eine sichere Umgebung für meine Inhalte aus der DORA-Werkstatt. Einfach zu bedienen, schwer kaputtzumachen – und vor allem: keine wesentlichen Risiken, wenn ich beim Experimentieren doch mal auf den falschen Knopf drücke. 😅

Vielleicht gelingt mir so ein erster Proof of Concept. Nicht, um alles perfekt zu machen – sondern um zu verstehen, was hinter einem KI-System wirklich passiert. Und um ein Gespür dafür zu bekommen, was mit KI heute schon möglich ist.

Neue Hardware, neue Tools, neue Motivation

Mit dem Entschluss, ein lokales LLM aufzusetzen, kamen natürlich neue Herausforderungen auf mich zu. Schnell wurde klar: Mein fünf Jahre altes Surface Pro war schlicht zu schwach, um lokale KI-Modelle sinnvoll testen zu können. Aber Hardware-Probleme lassen sich zum Glück lösen – und so arbeite ich nun (zum ersten Mal in meinem Leben) mit einem Apple M4 MacBook Pro. Über Rechenleistung muss ich mir also vorerst keine Gedanken mehr machen. 😉

Das Programmieren fühlt sich momentan noch ein bisschen an wie bei „Jugend forscht“ – und mein Wissen im Bereich Machine Learning ist ehrlich gesagt noch weit von der „allgemeinen Hochschulreife“ entfernt. 😅 Aber ich bin begeistert, wie viele großartige Lern-Ressourcen es inzwischen im Internet gibt: engagierte Communities, Fachartikel, hilfreiche YouTube-Tutorials – und nicht zuletzt ChatGPT selbst.

Der Chatbot ist inzwischen zu einem echten Lernbegleiter geworden – nicht nur für theoretische Fragen, sondern auch bei technischen Details: Wie funktioniert die Shell auf einem Mac? Welche Bibliotheken muss ich installieren und warum eigentlich? Wie richte ich eine virtuelle Umgebung ein und wie komme ich da wieder raus!? Hier liefert der Chatbot nicht nur gute Erklärungen, sondern unterstützt auch mit funktionierenden Code-Schnipseln – eine enorme Hilfe für jemanden wie mich, der sich Schritt für Schritt in diese Welt hineinarbeitet.

Ich bin gespannt, wohin mich diese Reise noch führt. Aber eines ist klar: Die Zeit, die ich in dieses Thema investiere, ist gut investiert, denn lebenslanges Lernen bekommt durch den Einzug von Künstlicher Intelligenz in unsere Gesellschaft, unsere Arbeitswelt und unseren Alltag eine ganz neue Bedeutung. Wer heute den Anschluss an diese technologische Entwicklung verpasst, riskiert schnell, am leeren „Bahnhof in die Zukunft“ zurückzubleiben.

Wie sieht es bei euch aus? Gibt es Gleichgesinnte, wer hat schon mehr Erfahrungen, die er teilen mag? Ich freue mich wie immer über eure Gedanken und Kommentare!

Habt einen schönen Tag und bis bald 🙂

🎉😉🎉Ach übrigens – wenn ihr mehr Interesse an meiner DORA-Werkstatt habt, schaut gerne auf meiner Website www.marlen-hofmann.de vorbei. Dort findet ihr neben vielen nützlichen Informationen auch weitere Informationen zu meinem DORA-Anforderungskatalog, welcher über die FCH AG erworben werden kann, sowie meine DORA-Schulungsfolien, die einen strukturierten, praxisnahen Wissensaufbau zur DORA-Verordnung ermöglichen.