Künstliche Intelligenz in Stiftungen

Künstliche Intelligenz kann Stiftungen bei vielen Aufgaben unterstützen.

Sie kann Texte strukturieren, Informationen zusammenfassen und erste Entwürfe erstellen. Auch Recherche, Übersetzung und wiederkehrende Verwaltungsaufgaben lassen sich teilweise vereinfachen.

Die Verantwortung übernimmt das System jedoch nicht.

KI-Ausgaben können falsch, unvollständig oder verzerrt sein. Vertrauliche Daten können in ungeeignete Systeme gelangen. Auch Urheberrechte und gesetzliche Transparenzpflichten können betroffen sein.

Ein verantwortlicher Einsatz beginnt deshalb nicht mit dem verfügbaren Werkzeug.

Er beginnt mit Aufgabe, Daten, Risiko und menschlicher Kontrolle.

Die technische Möglichkeit allein begründet noch keinen sinnvollen Einsatz.

Vor der Auswahl eines Systems sollte die Stiftung klären:

• Welche konkrete Aufgabe soll unterstützt werden?
• Welches Problem besteht heute?
• Welchen Nutzen erwarten wir?
• Welche Daten werden benötigt?
• Welche Fehler können entstehen?
• Wer ist von den Ergebnissen betroffen?
• Wer prüft und verantwortet die Verwendung?
• Gibt es eine einfachere Lösung?

Eine KI-Anwendung kann Zeit sparen und zugleich neuen Prüfaufwand verursachen.

Ein schnell erstellter Text hilft wenig, wenn Fakten und Quellen anschließend vollständig neu recherchiert werden müssen. Eine automatisierte Bewertung schafft keinen Vorteil, wenn ihre Kriterien nicht nachvollziehbar sind.

Nicht jede wiederkehrende Aufgabe sollte automatisiert werden.

Besonders sinnvoll kann KI dort sein, wo sie Menschen vorbereitet und entlastet. Zurückhaltung ist erforderlich, wenn sie Entscheidungen über Menschen oder den Zugang zu Förderung beeinflusst.

Für den Einstieg eignen sich überschaubare Aufgaben mit begrenzten Folgen.

Dazu können gehören:

• Gliederungsentwürfe,
• sprachliche Überarbeitung eigener Texte,
• Zusammenfassungen freigegebener Unterlagen,
• interne Ideensammlungen,
• Formulierung erster Fragenkataloge,
• Übersetzung nicht vertraulicher Inhalte,
• Unterstützung bei wiederkehrenden Standardaufgaben.

Auch bei diesen Anwendungen ist eine Prüfung erforderlich.

Das Risiko bleibt jedoch meist beherrschbarer als bei Entscheidungen über Förderanträge, Personal oder besonders schutzbedürftige Menschen.

Ein Pilot sollte einen klaren Anfang und ein festgelegtes Ende besitzen. Danach wird entschieden, ob der Einsatz fortgeführt, verändert oder beendet wird.

Eine einheitliche Regel für jeden KI-Einsatz greift zu kurz.

Die Stiftung sollte Anwendungen nach ihren möglichen Folgen einordnen.

Niedrigeres Risiko
Das System unterstützt interne Entwürfe mit freigegebenen Informationen. Ergebnisse werden vor jeder weiteren Nutzung geprüft.

Mittleres Risiko
Die KI verarbeitet interne Unterlagen oder bereitet fachliche Bewertungen vor. Fehler können Entscheidungen beeinflussen.

Höheres Risiko
Das System bewertet Menschen, priorisiert Förderanträge oder verarbeitet besonders sensible Daten. Fehler können Zugänge, Rechte oder Chancen beeinträchtigen.

Diese Einordnung ist zunächst organisatorisch. Sie ersetzt keine rechtliche Einstufung nach dem europäischen KI-Recht.

Sie hilft jedoch, Prüf- und Schutzmaßnahmen angemessen festzulegen.

Je größer die mögliche Auswirkung, desto höher müssen Transparenz, Dokumentation und menschliche Kontrolle sein.

Die einfache Bedienung vieler KI-Systeme verdeckt, dass Daten an einen externen Anbieter übermittelt werden können.

Deshalb gehören folgende Informationen nicht ohne geprüfte Grundlage in ein System:

• personenbezogene Daten,
• unveröffentlichte Förderanträge,
• Gesundheits- und Sozialdaten,
• Vertragsentwürfe,
• Personalinformationen,
• Sitzungsunterlagen,
• Konten und Zugangsdaten,
• vertrauliche Angaben zu Stiftern oder Partnern,
• Geschäfts- und Sicherheitsinformationen.

Vor der Freigabe eines Werkzeugs sollte die Stiftung klären:

• Welche Daten verarbeitet der Anbieter?
• Wo erfolgt die Verarbeitung?
• Wie lange werden Eingaben gespeichert?
• Werden Daten zum Training verwendet?
• Wer erhält Zugriff?
• Welche Einstellungen stehen zur Verfügung?
• Können Eingaben und Ausgaben gelöscht werden?
• Welche vertraglichen Regelungen bestehen?
• Ist eine Nutzung im vorgesehenen Fall datenschutzrechtlich zulässig?

Die Antwort kann je nach Produkt, Tarif und Einstellung unterschiedlich ausfallen.

Eine allgemeine Aussage wie „Das System ist datenschutzkonform“ reicht deshalb nicht.

Nicht jede Aufgabe benötigt vollständige Originalunterlagen.

Häufig lassen sich Daten reduzieren, anonymisieren oder durch neutrale Beispiele ersetzen.

Vor einer Eingabe sollte geprüft werden:

• Wird der Name benötigt?
• Muss der vollständige Antrag verarbeitet werden?
• Reicht ein abstrahierter Sachverhalt?
• Können vertrauliche Passagen entfernt werden?
• Ist eine lokale oder besonders geschützte Lösung verfügbar?
• Kann die Aufgabe ohne personenbezogene Daten erledigt werden?

Anonymisierung muss tatsächlich wirksam sein.

Das bloße Entfernen eines Namens genügt nicht, wenn eine Person anhand anderer Angaben weiterhin identifizierbar bleibt.

Datensparsamkeit schützt nicht nur die betroffenen Personen. Sie begrenzt auch die Folgen einer Fehlbedienung oder eines Sicherheitsvorfalls.

Generative KI kann überzeugend formulieren. Die sprachliche Sicherheit sagt jedoch nichts über die sachliche Richtigkeit aus.

Systeme können:

• Fakten erfinden,
• Quellen falsch zuordnen,
• veraltete Informationen verwenden,
• Zahlen verändern,
• rechtliche Aussagen verkürzen,
• Zitate erzeugen, die nicht existieren,
• Unsicherheit sprachlich verdecken.

Deshalb gilt:

Eine KI-Ausgabe ist ein Entwurf oder Arbeitshinweis. Sie ist kein belastbarer Nachweis.

Fakten, Zahlen und Quellen müssen anhand geeigneter Originalquellen geprüft werden. Bei rechtlichen, steuerlichen oder fachlichen Bewertungen bleibt qualifizierte Beratung erforderlich.

Auch mathematisch wirkende Ergebnisse benötigen Kontrolle. Ein strukturiertes Rechenmodell kann auf falschen Eingaben oder ungeeigneten Annahmen beruhen.

Der Hinweis „Alle Ergebnisse werden geprüft“ bleibt zu unbestimmt.

Die Stiftung sollte festlegen:

• Wer prüft?
• Was wird geprüft?
• Welche Quellen werden verwendet?
• Welche Fehler dürfen nicht auftreten?
• Wer gibt das Ergebnis frei?
• Wie wird die Prüfung dokumentiert?
• Wann darf ein Ergebnis nicht verwendet werden?

Die prüfende Person benötigt ausreichende Fachkenntnis.

Wer eine rechtliche Aussage nicht selbst einordnen kann, kann ihre Richtigkeit auch nicht allein durch sorgfältiges Lesen bestätigen.

Menschliche Kontrolle bedeutet außerdem mehr als eine formale Freigabe. Die Person muss das Ergebnis tatsächlich verändern oder verwerfen können.

Stiftungsorgane müssen ihre Entscheidungen auf einer angemessenen Informationsgrundlage treffen.

KI kann Informationen ordnen oder Entscheidungsvorlagen vorbereiten. Sie darf jedoch nicht unbemerkt die inhaltliche Entscheidung übernehmen.

Problematisch wird es insbesondere, wenn:

• Kriterien nicht bekannt sind,
• Gewichtungen nicht nachvollzogen werden können,
• Eingabedaten unvollständig sind,
• frühere Verzerrungen fortgeschrieben werden,
• das Organ nur noch eine erzeugte Rangfolge bestätigt,
• niemand die Ausgabe fachlich erklären kann.

Die Verantwortung verbleibt beim zuständigen Organ.

Das gilt auch dann, wenn das System von einem externen Dienstleister bereitgestellt wird.

Der Einsatz bei Förderentscheidungen liegt nahe.

KI könnte Anträge zusammenfassen, formale Angaben prüfen oder thematisch sortieren. Gleichzeitig können Fehler den Zugang zu Förderung beeinflussen.

Vor einem solchen Einsatz sind insbesondere folgende Fragen zu klären:

• Welche Aufgabe übernimmt das System?
• Dient es nur der Vorbereitung oder auch der Bewertung?
• Welche Daten werden verarbeitet?
• Sind Antragstellende über die Nutzung informiert?
• Welche Kriterien und Gewichtungen gelten?
• Können Benachteiligungen entstehen?
• Wie werden fehlerhafte Ergebnisse erkannt?
• Wer trifft die endgültige Entscheidung?
• Können Betroffene eine menschliche Überprüfung erreichen?

Eine automatische Vorentscheidung kann auch dann problematisch sein, wenn sie offiziell nur als Unterstützung bezeichnet wird.

Entscheidend ist, welchen tatsächlichen Einfluss das Ergebnis besitzt.

Ein risikoärmerer Einstieg kann darin bestehen, ausschließlich formale Vollständigkeitshinweise oder interne Zusammenfassungen erstellen zu lassen. Auch dafür müssen Datenschutz und Qualität geprüft werden.

KI-Systeme arbeiten auf Grundlage von Daten und entwickelten Modellen.

Diese Grundlagen können gesellschaftliche oder historische Verzerrungen enthalten. Auch scheinbar neutrale Kriterien können bestimmte Gruppen benachteiligen.

Mögliche Risiken entstehen beispielsweise durch:

• Sprache und Ausdrucksweise,
• Herkunft oder Wohnort,
• Alter,
• Behinderung,
• Bildungsweg,
• Größe und Bekanntheit einer Organisation,
• Qualität professioneller Antragsunterlagen.

Ein sprachlich überzeugender Antrag ist nicht automatisch fachlich besser. Eine kleine Initiative verfügt möglicherweise nicht über dieselben Ressourcen wie eine etablierte Organisation.

Wer KI zur Vorbereitung von Förderentscheidungen nutzt, muss deshalb nicht nur einzelne Fehler prüfen.

Auch systematische Verzerrungen und mittelbare Benachteiligungen gehören in die Betrachtung.

KI-Systeme können Texte, Bilder, Musik oder Präsentationen erzeugen.

Ob und wie diese Inhalte verwendet werden dürfen, ist nicht allein mit dem Hinweis „KI-generiert“ beantwortet.

Zu prüfen sind insbesondere:

• Rechte an eingegebenen Materialien,
• Nutzungsbedingungen des Anbieters,
• mögliche Ähnlichkeiten mit geschützten Werken,
• Rechte abgebildeter Personen,
• Marken- und Persönlichkeitsrechte,
• Rechte an der erzeugten Ausgabe.

Geschützte Bilder, Texte oder unveröffentlichte Manuskripte dürfen nicht ohne tragfähige Grundlage als Eingabe verwendet werden.

Auch die Stiftung sollte klären, ob sie für den vorgesehenen Zweck ausreichende Rechte an der Ausgabe besitzt.

Bei Veröffentlichung oder kommerzieller Nutzung kann eine fachliche Prüfung erforderlich sein.

Die europäische KI-Verordnung ist seit dem 1. August 2024 in Kraft. Ihre Vorschriften gelten nach einem gestuften Zeitplan.

Bestimmte Regelungen gelten bereits seit dem 2. Februar 2025. Dazu gehören Verbote einzelner KI-Praktiken und die Pflicht, ein ausreichendes Maß an KI-Kompetenz sicherzustellen.

Weitere Vorschriften gelten seit dem 2. August 2025. Der weit überwiegende Teil der Verordnung gilt seit dem 2. August 2026. Für einzelne Regelungen bestehen spätere Anwendungszeitpunkte.

Welche Pflichten eine Stiftung treffen, hängt von ihrer Rolle und vom eingesetzten System ab.

Sie kann insbesondere Nutzerin beziehungsweise Betreiberin eines Systems sein. Bei eigener Entwicklung oder wesentlicher Veränderung können andere Rollen und Pflichten entstehen.

Auch die rechtliche Risikokategorie ist entscheidend.

Eine abschließende Einordnung erfordert deshalb eine Betrachtung des konkreten Anwendungsfalls. Der Einsatz eines verbreiteten Standardwerkzeugs ist nicht automatisch frei von Pflichten.

Unabhängig vom KI-Recht bleiben Datenschutz, Urheberrecht, Arbeitsrecht, Vertraulichkeit und interne Zuständigkeiten zu beachten.

Der europäische Rechtsrahmen verlangt von Anbietern und Betreibern Maßnahmen für ein ausreichendes Maß an KI-Kompetenz der beteiligten Personen.

Eine allgemeine Schulung für alle Beschäftigten genügt nicht zwingend.

Die erforderliche Kompetenz hängt ab von:

• eingesetztem System,
• konkreter Aufgabe,
• Kenntnissen der Nutzenden,
• möglichen Auswirkungen,
• betroffenen Personen und Gruppen.

Wer KI nur für interne Textentwürfe nutzt, benötigt andere Kenntnisse als eine Person, die damit Förderanträge vorsortiert.

Zur KI-Kompetenz gehören insbesondere:

• grundlegende Funktionsweise,
• typische Fehler,
• Datenschutz und Vertraulichkeit,
• fachliche Prüfung,
• Erkennen von Verzerrungen,
• sichere Eingaben,
• Verhalten bei Vorfällen.

Schulung sollte nicht nur einmal stattfinden.

Systeme, Funktionen und Rechtsrahmen verändern sich. Die Stiftung benötigt deshalb einen regelmäßigen Lernprozess.

Nicht jeder KI-unterstützte Text muss pauschal gekennzeichnet werden.

Der europäische Rechtsrahmen sieht jedoch für bestimmte Anwendungen Transparenzpflichten vor. Dazu gehören insbesondere bestimmte KI-Interaktionen, Deepfakes und unter Voraussetzungen KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse.

Für öffentlich informierende Texte kann eine Ausnahme bestehen, wenn eine menschliche Überprüfung oder redaktionelle Kontrolle erfolgt und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Auch unabhängig von einer gesetzlichen Kennzeichnungspflicht kann Transparenz sinnvoll sein.

Die Stiftung sollte deshalb festlegen:

• Wann wird ein KI-Einsatz intern dokumentiert?
• Wann werden Betroffene informiert?
• Welche Inhalte werden öffentlich gekennzeichnet?
• Wer übernimmt die redaktionelle Verantwortung?
• Wie wird eine menschliche Prüfung nachgewiesen?

Eine pauschale Kennzeichnung jedes Arbeitsschritts ist nicht zwingend hilfreich.

Entscheidend ist, ob Menschen erkennen müssen, dass sie mit einem System interagieren oder künstlich erzeugten beziehungsweise manipulierten Inhalten begegnen.

Sobald KI in der Stiftung genutzt wird, sollten verständliche Regeln bestehen.

Eine Richtlinie kann insbesondere festlegen:

• zugelassene Systeme,
• zulässige Anwendungsfälle,
• verbotene oder sensible Eingaben,
• Anforderungen an Datenschutz und Vertraulichkeit,
• fachliche Prüfpflichten,
• Freigaben vor Veröffentlichung,
• Regeln für Förder- und Personalentscheidungen,
• Dokumentation und Kennzeichnung,
• Verantwortlichkeiten,
• Meldung von Fehlern und Vorfällen.

Die Richtlinie sollte zur Stiftung passen.

Eine kleine Organisation benötigt kein umfangreiches Regelwerk. Sie braucht aber eindeutige Antworten auf die wichtigsten Fragen.

Besonders wichtig ist eine Ansprechperson für Zweifelsfälle. Mitarbeitende und Ehrenamtliche müssen wissen, an wen sie sich vor einer neuen Nutzung wenden können.

KI wird häufig genutzt, bevor die Organisation ein offizielles System eingeführt hat.

Mitarbeitende verwenden private Konten oder frei verfügbare Angebote. Dadurch können vertrauliche Daten unbemerkt in externe Systeme gelangen.

Ein pauschales Verbot löst dieses Problem nicht immer.

Die Stiftung sollte zunächst verstehen:

• Welche Werkzeuge werden bereits verwendet?
• Für welche Aufgaben?
• Welche Daten werden eingegeben?
• Welche Konten und Tarife kommen zum Einsatz?
• Welche Zugänge müssen beendet oder geordnet werden?

Anschließend kann sie sichere und praktikable Alternativen bereitstellen.

Regeln werden eher eingehalten, wenn sie den tatsächlichen Arbeitsalltag berücksichtigen.

Ein Pilotprojekt sollte nicht nur prüfen, ob eine Funktion technisch arbeitet.

Zu betrachten sind auch:

• tatsächliche Zeitersparnis,
• zusätzlicher Prüfaufwand,
• Art und Häufigkeit von Fehlern,
• Datenschutz und Sicherheit,
• Auswirkungen auf Arbeitsabläufe,
• Akzeptanz der Beteiligten,
• notwendige Schulungen,
• Nutzen für die Stiftungsarbeit.

Die Auswertung sollte zu einer klaren Entscheidung führen.

Der Einsatz kann fortgeführt, begrenzt oder beendet werden. Auch ein technisch funktionierendes System kann ungeeignet sein, wenn Kontrolle und Nutzen nicht in einem angemessenen Verhältnis stehen.

Fehler und Fehlbedienungen lassen sich nicht vollständig ausschließen.

Mögliche Vorfälle sind:

• Eingabe vertraulicher Daten,
• Veröffentlichung falscher Informationen,
• diskriminierende Ergebnisse,
• unzulässige Nutzung geschützter Inhalte,
• unerwartete Speicherung von Daten,
• missbräuchliche Nutzung eines Kontos.

Die Stiftung sollte vorab festlegen:

• Wer wird informiert?
• Welche Nutzung wird sofort gestoppt?
• Welche Daten oder Inhalte sind betroffen?
• Muss eine externe Stelle eingeschaltet werden?
• Wie werden Betroffene geschützt?
• Wie wird der Vorfall dokumentiert?
• Welche Regeln müssen angepasst werden?

Eine offene Fehlerkultur verbessert die Sicherheit.

Wer Vorfälle aus Angst verschweigt, verhindert eine rechtzeitige Reaktion.

Ein verantwortlicher KI-Einsatz folgt vier Regeln.

Zweck
Der konkrete Nutzen und die Grenzen des Einsatzes sind bestimmt.

Daten
Nur freigegebene Informationen werden in geprüften Systemen verarbeitet.

Prüfung
Fachliche und menschliche Kontrolle ist verbindlich zugeordnet.

Lernen
Piloten werden ausgewertet, Regeln aktualisiert und Kompetenzen aufgebaut.

Diese Regeln sichern nicht jede Anwendung automatisch ab.

Sie schaffen aber eine belastbare Grundlage für die weitere Prüfung.

RHSM unterstützt Stiftungen dabei, KI organisatorisch einzuordnen.

Ausgangspunkt sind Aufgabe, Daten, mögliche Auswirkungen und die Verantwortung der zuständigen Organe.

RHSM kann insbesondere begleiten bei:

• der Erfassung bestehender KI-Nutzungen,
• der Bewertung organisatorischer Anwendungsrisiken,
• der Entwicklung einer KI-Richtlinie,
• der Klärung von Rollen und Freigaben,
• der Gestaltung menschlicher Prüfprozesse,
• der Vorbereitung und Auswertung von Piloten,
• dem Aufbau von Schulung und Vorfallmanagement.

RHSM trifft keine abschließende rechtliche oder technische Sicherheitsbewertung.

Datenschutz-, urheber-, arbeits- und KI-rechtliche Fragen werden mit entsprechend qualifizierten Fachleuten bearbeitet. Entscheidungen über Systeme und Anwendungen bleiben bei den zuständigen Stellen der Stiftung.

Künstliche Intelligenz kann Stiftungen entlasten und neue Arbeitsmöglichkeiten schaffen.

Ihr Nutzen entsteht jedoch nicht durch die Technik allein.

Die Stiftung muss wissen, für welche Aufgabe ein System eingesetzt wird. Daten, Fehlerfolgen und menschliche Kontrolle müssen vorab geklärt sein.

Je stärker Menschen, Förderzugänge oder sensible Informationen betroffen sind, desto höher sind die Anforderungen.

KI kann Verantwortung unterstützen.

Sie kann sie nicht übernehmen.

Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung. Er ersetzt keine individuelle rechtliche, datenschutzrechtliche, urheberrechtliche, arbeitsrechtliche oder technische Beratung. Pflichten und Risiken müssen anhand des konkreten Systems und Anwendungsfalls geprüft werden.