Ein Kollege erzählte mir diese Woche von einem Angebot aus den USA. Eine KI liest die vorhandenen Anforderungen eines Produkts, ordnet sie den geltenden Normen zu und erzeugt daraus die Unterlagen für den Auditor. Angeblich abgeschottet in der Cloud und ohne dass ein Mensch die Zuordnung prüft.
Ich habe das Angebot nicht selbst gesehen. Deshalb nenne ich keinen Namen und bewerte keinen Anbieter. Ich schreibe über das Muster dahinter, denn das kenne ich seit über zwanzig Jahren: Erst wird entwickelt. Danach wird belegt, dass alles richtig war. Nachweis, wenn das Gerät auf dem Hof steht. Kann man so machen ……
Das Muster ist älter als die KI#
Die Tabelle, die in der Woche vor dem Audit von Hand gefüllt wird, ist dasselbe Verfahren. Die KI macht es nur billiger und überzeugender. Wer jetzt die KI zur Ursache erklärt, verfehlt die Wurzel. Die Wurzel ist die Reihenfolge.
“Engineering ohne Audit-Theater”
Warum die nachträgliche Zuordnung kein Nachweis ist#
- Ähnlich ist nicht erfüllt. Die nachträgliche Zuordnung zeigt, dass ein Anforderungstext zu einer Normklausel passt. Sie zeigt nicht, dass die Anforderung aus der Klausel abgeleitet wurde und sie vollständig umsetzt.
- Sie sucht Deckung, keine Lücken. Für fast jede Klausel findet sich ein Text, der irgendwie passt. Was in der Konstruktion fehlt, fällt so nicht auf. Oder erst dann, wenn die das Kind im Brunnen ist.
- Niemand übernimmt die Aussage. Ein Sprachmodell liefert eine Wahrscheinlichkeit, dass zwei Texte zusammengehören. Ein Nachweis wird daraus erst, wenn die Fehlerquote dieser Zuordnung bekannt und geprüft ist oder wenn ein Mensch mit Verantwortung jede Zuordnung bestätigt.
Fragen Sie Ihren Anbieter nach der Fehlerquote. Gibt es keine Zahl, haben Sie keinen statistischen Nachweis. Sie haben eine recht dürftig begründete Hoffnung.
Die Norm für funktionale Sicherheit im Fahrzeug, ISO 26262, kennt dieses Problem. Teil 8 verlangt, das Vertrauen in jedes Softwarewerkzeug einzustufen: Kann das Werkzeug Fehler einbringen oder übersehen? Und, viel wichtiger, würde das jemand bemerken? Bei einem Werkzeug, dessen Ergebnis nicht geprüft wird, ist die zweite Frage mit Nein beantwortet.
In meinem Modell der Lebensfähigkeit ist das Pflicht 3: Wird das Entscheidende wirklich gemessen oder geschätzt? Die nachträgliche Zuordnung ist eine Schätzung, die wie eine Messung aussieht und bei der keiner weiß wie Sie zustande gekommen ist.
Wenn die Norm sich mitten im Projekt ändert?#
Normen ändern sich. Die dritte Ausgabe der ISO 26262 ist in Arbeit. Die Veröffentlichung wird überwiegend für 2027 erwartet.
Der Normtext selbst ist dabei milder, als viele glauben. Systeme, welche vor dem Veröffentlichungsdatum bereits in Entwicklung waren, nimmt die Ausgabe von 2018 ausdrücklich aus. Der Druck kommt von zwei anderen Seiten:
- Der Kunde schreibt die neue Ausgabe ins Lastenheft.
- Im Haftungsfall zählt der Stand von Wissenschaft und Technik zu dem Zeitpunkt, an dem das Produkt in den Verkehr gebracht wurde, nicht der Stand beim Projektstart (§ 1 Absatz 2 Nummer 5 Produkthaftungsgesetz).
Die Norm entlässt Sie aus der Verantwortung.
Ihr Kunde und das Gericht tun es nicht.
Die richtige Antwort auf eine neue Norm ist deshalb keine neue Zuordnungsrunde. Sie ist ein Änderungsantrag wie jeder andere: Welche Klauseln haben sich geändert? Welche Anforderungen hängen daran? Was muss neu abgeleitet und neu bestätigt werden?
Diese Fragen lassen sich nur beantworten, wenn die Verbindung zwischen Klausel und Anforderung schon vorher bestand. Wer erst nachträglich zuordnet, fängt bei jeder Normänderung von vorn an.
Die Kosten, nichts zu ändern#
Das Produkthaftungsrecht wird gerade neu gefasst. Nach dem Regierungsentwurf soll das neue Gesetz am 9. Dezember 2026 in Kraft treten. Software gilt mit der Änderung ausdrücklich als Produkt. Die Haftungsobergrenze entfällt. Geschädigte bekommen Beweiserleichterungen: Hersteller müssen Unterlagen offenlegen, und in bestimmten Fällen werden Fehler und Ursächlichkeit gesetzlich vermutet. Das Gesetz ist noch nicht verkündet, Einzelheiten können sich ändern.
Gehaftet wird für das fehlerhafte Produkt, nicht für die Präsentation beim Auditor. Die Nachweiskette ist das, was Sie vor Gericht in der Hand haben (sollten). Wer eine Kette offenlegen muss, welche durch eine Maschine nach der Entwicklung erzeugt und kein Mensch bestätigt hat, steht ohne Verteidigung da.
Die Lösung: die Reihenfolge umdrehen#
Handeln kann, wer die Konstruktionsfreigabe unterschreibt: der Sicherheitsverantwortliche, der Qualitätsleiter, der Geschäftsführer.
- Die Normklausel wird als Quelle angelegt, bevor die Anforderung geschrieben wird. Die Anforderung entsteht als Ableitung aus der Klausel. Die Verbindung ist damit eine Folge der Arbeit und keine Fleißaufgabe danach.
- Jede Verbindung trägt einen Zustand: vermutet, bestätigt oder getrennt. Gezählt wird nur, was ein Mensch bestätigt hat.
- Die Bestätigung der Klausel liegt vor der Konstruktionsfreigabe, nicht vor dem Audit.
- Eine neue Normausgabe läuft als Änderungsantrag mit Auswirkungsanalyse.
KI darf helfen. Sie darf Kandidaten vorschlagen und Lücken melden. Sie darf nicht die Instanz sein, die bestätigt. Alternativ haben Sie eine Hochrisiko KI.
Gegenprobe. Wenn die Reihenfolge die Ursache ist, dann sinkt nach dieser Umstellung die Zahl der Auditfeststellungen zu fehlender Abdeckung. Zugleich steigt der Anteil der Anforderungen, deren Herkunft zum Zeitpunkt der Konstruktionsfreigabe bestätigt ist. Messen Sie beides über einen Entwicklungszyklus bis zum nächsten Audit. Bewegt sich nichts, war die Reihenfolge nicht die Ursache, und die Diagnose muss neu gestellt werden.
So mache ich das in OTSM#
Ich nenne das Prinzip Trace by Construction: by construction, not by convention!
Die Verbindung entsteht in dem Moment, in dem die Anforderung unter ihrer Quelle angelegt wird, und sie trägt einen Typ. Sie gilt zunächst als vermutet. In der Abdeckunggsanalyse zählt sie erst, wenn ein Mensch sie bestätigt hat.
Das macht eine Anforderung nicht richtig. Die Unsicherheit verschwindet nicht. Sie liegt aber an einer Stelle, an der man sie sehen und prüfen kann: bei der Erhebung, nicht versteckt in einer Zuordnung danach.
Einordnung der Quellen#
- Das beschriebene Angebot kenne ich nur aus dem Bericht eines Kollegen. Das ist Hörensagen und wird hier nicht als Tatsache behandelt.
- Der Geltungsbereich der ISO 26262 stammt von der Seite der ISO selbst, also aus erster Hand.
- Der Termin der dritten Ausgabe stammt von Beratungshäusern, die Schulungen dazu verkaufen. Eine einzelne Quelle nennt 2029.
- Die Angaben zum neuen Produkthaftungsrecht stammen von einer Industrie- und Handelskammer und einer Kanzlei mit Beratungsinteresse. Maßgeblich ist am Ende der verkündete Gesetzestext.