Mit KI zur DORA-Compliance: Richtlinien EINFACH gemacht

Als ich im ersten Quartal 2024 mit der Arbeit in der DORA-Werkstatt begann, hätte ich nie gedacht, wie stark Künstliche Intelligenz (KI) meine Tätigkeit im Laufe des Jahres verändern würde – geschweige denn, welche enormen Effizienzsteigerungen möglich sein würden. Ein Blick zurück: Es war März 2024, und es blieben weniger als zehn Monate bis zum 17.

Ein Blick zurück: Es war März 2024, und es blieben weniger als zehn Monate bis zum 17. Januar 2025, als ich das erste Mal die DORA-Verordnung aufschlug. Schon nach kurzer Zeit war klar: Das Problem ist größer, als ich es mir vorgestellt hatte. Die Verordnung bestand aus einer Vielzahl von Dokumenten mit unzähligen Seiten juristischer Vorgaben. Die Zeit war knapp, und mir wurde schnell klar, dass ich kein Studium absolvieren konnte, um mir die Materie vollständig zu erschließen. Ich brauchte also eine effizientere Strategie.

Dazu überführte ich zunächst in mühevoller Handarbeit jedes DORA-Dokument per Copy und Paste in ein strukturiertes Datenformat in Excel. Anschließend nutzte ich VBA-Skripte, um gezielt nach Schlüsselartefakten zu suchen, die für die Herstellung der DORA-Compliance notwendig waren. Auf diesem Weg identifizierte ich besonders wichtige Textstellen, die ich über Wochen in akribischer Feinarbeit morgens zwischen 5 und 8 Uhr las, interpretierte und als „DORA-Anforderungen“ in einem Katalog dokumentierte. Viele von euch kennen diesen Katalog unter dem Begriff „DORA Deep Dive„.

Rückblickend war dieser Ansatz für meinen eigenen Wissensaufbau wertvoll, auch wenn er zeitintensiv war. Der Prozess half mir, die Tiefe und Komplexität der Verordnung zu verstehen und mit dem DORA-Puzzle eine Systematisierung für die Anforderungen zu finden. Doch heute, sieben Monate nach Beginn meiner Arbeit in der DORA-Werkstatt, hat sich mein Arbeitsalltag grundlegend verändert.

Zurück im Hier und Jetzt: Meine Schicht in der DORA-Werkstatt beginnt zwar immer noch früh – oft vor 5 Uhr – aber ich arbeite längst nicht mehr allein und schon gar nicht mehr „mit der Hand am Arm“. Stattdessen habe ich das Potenzial von KI für mich entdeckt und widme mich nun mit Hingabe der „Erziehung“ meines eigenen DORA-Chatbots. Die Idee dahinter: Ich bringe ihm all das bei, was ich über DORA gelernt habe, damit er dieses Wissen mit „der Welt“ teilen kann.

Wie das funktioniert? In der Theorie eigentlich ganz einfach: Man nehme ein „CustomGPT“ von OpenAI, füttere es mit DORA-Daten und erstelle so einen virtuellen DORA-Experten, den man jederzeit alles zum Regelwerk fragen kann. Soweit die Theorie 😉 Die Praxis sah zunächst jedoch etwas anders aus: Am Anfang benahm sich mein DORA-GPT wie ein pubertierender Teenager. Er beantwortete meine Fragen nur, wenn er gerade Lust dazu hatte, und wenn ich nach Details fragte, erzählte er mir nur einen Bruchteil von dem, was ich wissen musste. Manchmal dachte er sich sogar Dinge aus, nur um nicht zugeben zu müssen, dass er keine Ahnung hatte.

Das Spiel änderte sich, als ich begann, meinem DORA-Chatbot klar strukturierte Daten aus der DORA-Werkstatt zur Verfügung zu stellen und seine Freiheit einzuschränken – mit konkreten Hinweisen und Anleitungen, um sicherzustellen, dass er die „richtigen“ Dinge tut. Man könnte sagen, ich bin jetzt Ausbilderin und bringe meinem virtuellen Freund nicht nur das theoretische Wissen bei, sondern trainierte ihn auch darin, dieses Wissen ordentlich und verständlich wiederzugeben.

Technisch geht das mit einem CustomGPT von OpenAI sehr einfach. Wissen lädt man in Form von Dokumenten einfach über die Konfigurationsseite hoch und Anweisungen gibt man über das Hinweisfeld in Form von Freitext. Leider erreicht man hier aber auch schnell Grenzen: Das CustomGPT ist so etwas wie ein KI-Tool für Anfänger und verhält sich in etwa so, wie „Paint“ zu „Adobe Illustrator“. Es bietet nur begrenzte Gestaltungsmöglichkeiten, um KI-Neulingen wie mir den Einstieg zu erleichtern und schnelle Ergebnisse zu erzielen.

Das eigentliche Problem ist aber, dass GPTs nicht wirklich „schlau“ sind und Wissen nicht so aufbauen wie wir. Sie können zum Beispiel keine Seiten zählen – mein virtueller Freund weiß bis heute nicht, wie viele Seiten das DORA-Regelwerk hat (ehrlich gesagt, ich auch nicht 😄). Außerdem fällt es ihm schwer, präzise Anweisungen zu befolgen oder Aufgaben in einer festen Reihenfolge abzuarbeiten. Im Grunde versteht das DORA-GPT weder die Wissensbasis, die ich ihm eingepflanzt habe, noch meine Anweisungen dazu. Es erkennt lediglich Muster in den Daten und generiert wahrscheinliche Wortfolgen als Antwort auf spezifische Fragen. Das Tückische daran: Für Nicht-Experten klingen die Antworten oft plausibel, was bei einem komplexen und regulierten Thema wie DORA nur bedingt hilfreich ist.

Da ich keine KI-Entwicklerin bin (und das wohl auch nicht so schnell werde), habe ich die letzten Wochen genutzt, um meinen virtuellen DORA-Freund mithilfe der „Bordmittel“ von CustomGPT zu trainieren. Mein Fokus lag dabei auf der KI-gestützten Generierung der IKT-Sicherheitsrichtlinien, die wir gemäß DORA umsetzen müssen. Dafür habe ich dem Chatbot zuerst beigebracht, welche Richtlinien überhaupt existieren, und als Grundlage den DORA-Tempel verwendet, den ich vor einigen Tagen gepostet habe.

Im zweiten Schritt habe ich meinem DORA-GPT beigebracht, die vorgegebene Struktur aus meinem Template für IKT-Sicherheitsrichtlinien korrekt einzuhalten. Das war eine echte Herausforderung, denn wie ein Teenager hat er ständig Kapitel vergessen, neu hinzugedichtet oder einfach umbenannt. Es brauchte einiges an Geduld und unmissverständlichen Hinweistexten, bis er endlich zuverlässig die richtige Struktur befolgte.

Im dritten Schritt versuche ich nun, den Chatbot dazu zu bringen, alle relevanten Anforderungen zu einem Thema zu identifizieren und korrekt in die Richtlinie einzuarbeiten. Hier stoße ich jedoch an die Grenzen der „KI-Lösung für Anfänger“, die ich nur durch manuelles Eingreifen überwinden kann. Obwohl die fachlichen Anforderungen Teil der Wissensbasis meines DORA-GPTs sind, gelingt es mir nicht, ihn dazu zu bringen, diese vollständig in den Entwurf einzuarbeiten. Das hat auch damit zutun, dass das Hinweisfeld eines CustomGPT, in dem ich Anweisungen formuliere, auf 8000 Zeichen beschränkt ist. Viel zu wenig, um einen virtuellen Experten ordentlich auszubilden…

Leider sind die weiterführenden professionellen Trainingsmethoden bei CustomGPT nicht freigeschaltet. Um diese zu nutzen, müsste ich über OpenAI’s API eine eigene KI-Lösung entwickeln und mich mit Themen wie „Finetuning“ und Retrieval-Augmented Generation (RAG) auseinandersetzen. Das übersteigt im Moment noch meine Fähigkeiten und fühlt sich eher nach „Raketenwissenschaft“ an. 😉

Um trotzdem die Regelungslücken zu erkennen, die mein DORA-GPT in den Richtlinien hinterlassen könnte, nutze ich eine KI-gestützte Prüfmethode, indem ich gezielte Checkfragen stelle, wie: „Überprüfe, ob der Entwurf deiner Richtlinie die Anforderung XY enthält und erstelle mir, falls erforderlich, einen zusätzlichen Formulierungsvorschlag“.

Auf diese Weise entstehen Schritt für Schritt Richtlinienentwürfe, die anschließend von fachlichen Experten geprüft und weiterentwickelt werden können. Der große Vorteil: Wir sparen Monate an Arbeitszeit bei der Erstellung der Dokumente, entlasten unsere menschlichen Experten und stellen gleichzeitig sicher, dass die Richtlinien von Anfang an alle Mindestanforderungen erfüllen. Ich wette, ihr wollt einen kleinen Preview sehen, also legen wir los!😊

Ich so: „Erstelle mir eine Richtlinie zum IKT-Projektmanagement“

ChatGPT: Hier ist ein Entwurf für eine IKT-Projektmanagement-Richtlinie basierend auf den Vorgaben für DORA-konforme Richtlinien. Ich folge dabei den vorgegebenen Strukturpunkten:

So sehen die Antworten meines DORA-GPTs aus, ohne dass ich irgendetwas „nachschleifen“ musste. Es gibt sicherlich den ein oder anderen Punkt für sprachliche Korrekturen oder Bedarf für Konkretisierungen aber im Wesentlichen kann man damit schon gut arbeiten.

Die Herausforderung ist und bleibt aber die Vollständigkeit der Anforderungen, wie man auf dem dritten Screenshot erkennen kann. Am Beispiel der Richtlinie zum IKT-Projektmanagement weiß ich genau, dass ich meinem Chatbot eigentlich 15 fachliche Anforderungen beigebracht habe und er kann sich sogar daran „erinnern“ (das sieht man an der Anforderungs-ID, die er im Text ausgibt). Aufgrund seiner wahrscheinlichkeitsbasierten Arbeitsweise schafft es es aber nicht, alle vollständig aufzulisten. Hier besteht definitiv noch „Luft nach oben“ und ich bleibe dran!

Dennoch: Für mich fühlt sich das dieser Zwischenstand wie ein echter Gamechanger an!!

Wie seht ihr das? Einen tollen Start in den Tag und bis demnächst!