Armin Jacob ist seit Januar 2025 in der Abteilung Hochschulentwicklung als Projektmanager Digitalisierung tätig. Neben seiner Hauptaufgabe, der Entwicklung des Campus-Management-Systems Casy, hat Jacob im Auftrag des Präsidiums eine KI-Richtlinie für Verwaltungshandeln verfasst, die erklärt, was beim Umgang mit den von der Hochschule bereitgestellten KI-Tools zu beachten ist.
Herr Jacob, seit Mai 2026 stellt die HAW ihren Beschäftigten und Studierenden ein KI-Toolset zur Verfügung. Um welche Werkzeuge handelt es sich?
Über die Academic Cloud der Gesellschaft für wissenschaftliche Datenverarbeitung Göttingen besteht Zugriff auf die Dienste Chat AI, Image AI, Voice AI, CoCo AI und Protein AI. Diese unterstützen bei einer Vielzahl von häufig anfallenden Aufgaben in Forschung, Lehre und Verwaltung. Sie erstellen oder fassen beispielsweise Texte zusammen und generieren Grafiken nach den Vorgaben der Nutzerinnen und Nutzer. Außerdem ist es möglich, Audiodateien transkribieren, Code-Vervollständigungsplugins bei der Programmierung zu nutzen und auch Proteinstrukturen vorherzusagen.
Ist die Einstiegshürde genommen und ein Verständnis dafür entstanden wie man die KI-Tools mit Arbeiten beauftragt, bedienen sich die Werkzeuge häufig intuitiv. Wofür braucht es dann eine Richtlinie?
Die Richtlinie ist keine Bedienungsanleitung zur Nutzung im Sinne eines Tutorials. Stattdessen soll die Richtlinie die Rahmenbedingungen für die Nutzung festlegen, die sich allerdings je nach Anwendungsbereich in Forschung, Lehre oder Verwaltung unterscheiden können. Das vorliegende Dokument bezieht und beschränkt sich dabei explizit auf Tätigkeiten im Verwaltungskontext. Dort arbeiten wir im Regelfall nicht nur mit sensiblen personenbezogenen Daten, sondern es wird auch ein hoher Anspruch an die Integrität und Korrektheit unserer Entscheidungen gestellt. Beispielsweise muss die Entscheidung über die Anerkennung von an anderen Hochschulen erworbenen Kompetenzen im Rahmen eines Hochschulwechsels oder Auslandssemesters für Studierende und im Zweifelsfall auch für Gerichte nachvollziehbar sein und darf nicht allein auf Basis der Aussage eines KI-Systems beziehungsweise der dahinterliegenden probabilistischen Methoden gefällt werden. Letzteres ergibt sich auch aus Erwägungen der Datenschutz-Grundverordnung und der KI-Verordnung.
Die Richtlinie richtet sich also exklusiv an die Mitarbeiterinnen und Mitarbeiter, die in der Verwaltung der Hochschule tätig sind?
Nein, sie betrifft alle Beschäftigten der Hochschule, soweit sie Verwaltungsaufgaben wahrnehmen. Das schließt dann auch Mitarbeiterinnen und Mitarbeiter aus der Technik und das wissenschaftliche Personal mit ein. Dabei geht es einerseits um Tätigkeiten, bei denen personenbezogene Daten von beispielsweise Studierenden wie Namen oder Kontaktinformationen verarbeitet werden, aber andererseits auch um Tätigkeiten im Zusammenhang mit nicht-personenbezogenen, aber trotzdem sensiblen Daten, wie beispielsweise Haushaltsplänen oder Vergabeverfahren.
Warum beschränkt die Richtlinie den Einsatz von KI-Tools auf die Unterstützung?
Die Nutzung von KI für vollständig automatisierte Entscheidungen wäre an umfangreiche gesetzliche Vorgaben geknüpft. Im skizzierten Beispiel der Anerkennung könnte ein KI-System vielleicht auf Basis der Modulbeschreibungen die Passgenauigkeit relativ gut bewerten, aber hierbei gäbe es wahrscheinlich immer noch einen Ermessenspielraum. Diesen darf es aber nach § 35a des Verwaltungsverfahrensgesetz bei einem vollständig automatisiert erlassenen Verwaltungsakt nicht geben. Natürlich begrenzen daneben auch die Datenschutz-Grundverordnung und die KI-Verordnung unseren Spielraum. Entsprechend sieht die Richtlinie das Ermessen als menschliche Kernkompetenz an, die bei derartigen Entscheidungen nicht einer KI überlassen werden kann und darf. Schlussendlich muss eine Person die Verantwortung für die Entscheidung übernehmen.
Dürfen privat genutzte KI-Tools für die Erledigung von Aufgaben an der Hochschule genutzt werden?
Nein, grundsätzlich nicht. Sie erfüllen weder die Anforderungen aus dem Datenschutzrecht bei der Verarbeitung personenbezogener Daten noch bieten sie ein ausreichendes Sicherheitsniveau beim Umgang mit internen Dokumenten beziehungsweise interner Kommunikation.
Bei den privaten Abos von ChatGPT oder Claude werden die eingegebenen Daten in der Standardeinstellung zum Beispiel zum Training der KI-Modelle genutzt, sodass sich im schlimmsten Fall Teile dienstlicher E-Mails oder Finanzpläne später in den Antworten an unbeteiligte Nutzer wiederfinden.
Auch erfolgt bei der Nutzung fast immer eine Übermittlung der Eingaben an Server und Diensteanbieter außerhalb Europas, was nicht nur mit Blick auf die digitale Souveränität kritisch zu betrachten ist, sondern auch mit Blick auf datenschutzrechtliche Belange. Die Schrems-Urteile des EuGH zum Safe-Harbour- und später dem Privacy-Shield-Abkommen werden in diesem Zusammenhang vielleicht einigen bekannt sein. Auch die bei Enterprise-Angeboten mit amerikanischen Anbietern oft vereinbarte Verarbeitung von Daten in Europa ist aufgrund der amerikanischen Gesetzeslage, der alle dortigen Anbieter unterliegen, und dem damit verbundenen, möglichen Zugriff durch die US-Regierung aus meiner Sicht nicht wirklich ausreichend.
Wir sind daher froh, mit der Gesellschaft für wissenschaftliche Datenverarbeitung Göttingen einen Partner gefunden zu haben, der die Datenverarbeitung in deutschen Rechenzentren durchführt und die eingegebenen Informationen nicht zum Training von KI-Diensten nutzt, sondern auf frei verfügbare Sprachmodelle zurückgreift und diese auf eigener Hardware betreibt.
KI-Tools leisten Beeindruckendes, sind aber nicht frei von Fehlern, wenn sie beispielsweise Halluzinieren und Fakten erfinden, um die gestellte Aufgabe möglichst umfassend zu erfüllen. Geht die Richtlinie auch darauf ein?
Absolut, die menschliche Kontrolle und Korrektur der Ausgaben ist unabdingbar. Diesen Schritt sieht die Richtlinie explizit im Verantwortungsbereich der Nutzenden. Wer KI nutzt, muss auch dafür Sorge tragen, dass beispielsweise die Gesetzestexte in der Antwort auch wirklich existieren oder urheberrechtliche geschütztes Material nicht auf Werbeplakaten landet. Einige dieser Kontexte sind daher explizit in der Richtlinie aufgeführt.
Ist die Beachtung der Richtlinie die einzige Bedingung dafür, dass die Mitarbeiterinnen und Mitarbeiter der Hochschule die KI-Tools verwenden dürfen?
Nein, denn bei personenbezogenen Daten muss auch immer der datenschutzrechtliche Aspekt mitberücksichtigt werden. Im Anhang der Richtlinie sind für die von der Hochschule bereitgestellten Tools einige personenbezogenen Kategorien von Daten aufgeführt, die aus vertraglichen Gründen nicht eingegeben werden dürfen. Bei Fragen zu diesem Themenkomplex kann auch unsere Datenschutzbeauftragte, Angela Mannitz, weiterhelfen. Angedacht ist außerdem eine Dienstvereinbarung, die das Angebot und den Besuch von Schulungsangeboten im KI-Kontext regeln soll.
Die KI-Richtlinie für Verwaltungshandeln findet sich in HAW-Intern unter den hochschulweiten Materialien als „KI-Richtlinie Verwaltungshandeln“. In den hochschulweiten Materialien sind unter „KI-Tools der HAW Kiel“ auch Informationen zu den angesprochenen Softwarewerkzeugen zu finden.
