Blick hinter die Kulissen der LivinIT Trophy: Was zeichnet hervorragende IT-Projekte aus?
Als Head of Jury der Confare LivinIT Trophy bewertet Gottfried Tonweber die eingereichten IT-Projekte. Der Partner für Cyber Security & Data Privacy bei EY Österreich, dem Award-Partner der Trophy, spricht im Interview über Bewertungskriterien, veränderte Projektrollen durch künstliche Intelligenz und erforderliche Sicherheitskonzepte.
Jetzt zum Confare CIOSUMMIT Salzburg anmelden und live dabei sein, wenn die LivinIT Trophy verliehen wird!
TONi, du bist gerade intensiv dabei, die Projekte für die LivinIT Trophy zu beurteilen. Du bist Head of Jury und ihr schaut euch sehr erfolgreiche IT-Projekte aus ganz unterschiedlichen Unternehmen an. Wir haben im Vorgespräch darüber gesprochen, dass AI beim IT-Projektmanagement mittlerweile einiges verändert.
Welchen Impact hat AI auf die Art, wie IT-Projekte im Moment geplant, umgesetzt und gesteuert werden?
Ich vergleiche das immer ein bisschen mit der Einführung des Internets oder mit der Einführung von Cloud-Lösungen. Große Disruption. Man sieht: Diese Technologie ist gekommen, um zu bleiben und wird die Arbeitswelt nachhaltig verändern.
Viele Aufgaben, die früher manuell gemacht worden sind, können jetzt automatisiert werden. Das hat viele Vorteile: bessere Informationen, schnellere und fundiertere Entscheidungsgrundlagen.
Die Rollen innerhalb von Projektteams verändern sich dementsprechend. Es geht wahrscheinlich ein bisschen weniger um Administration und Kontrolle und viel mehr um Leadership, Kommunikation und strategische Entscheidungen. Das ermöglicht Projektmitgliedern und Projektleitern, die üblichen Themen vielleicht sogar leichter zusammenzubringen: Menschen, Technologie und Business.
Ein kluger Kopf hat einmal gesagt: AI nimmt Arbeit ab, aber nicht die Verantwortung. Das hat schon etwas.
Lernen Sie beim Confare CIOSUMMIT Salzburg die Menschen und Projekte hinter erfolgreicher IT kennen. Jetzt anmelden.
Du hast schon ein paar disruptive Momente genannt, Internet und Cloud Computing, die massive Auswirkungen darauf hatten, wie Projekte funktionieren.
Wo siehst du Aufgaben in IT-Projekten, die AI heute wirklich schon produktiv übernimmt?
Es wird schon sehr nachhaltig genutzt. Gerade bei Effizienz- und Dokumentationsthemen kann man sehr viel mit AI machen: Statusberichte, Reporting, Meeting-Protokolle, Testfallerstellung, Code-Reviews, teilweise auch Aufwandsschätzungen, die durch AI sehr stark unterstützt beziehungsweise automatisiert werden können.
Natürlich muss man immer mit einem kritischen Blick darauf schauen, ob tatsächlich die Informationen generiert worden sind, die wirklich benötigt werden. Aber das sind dann im Prinzip die Fähigkeiten, die Menschen hier noch einbringen sollen und müssen.
Da gibt es zwei Aspekte: Auf der einen Seite AI, die das Projekt und das Projektteam unterstützt. Auf der anderen Seite passiert etwa im Coding bereits sehr viel AI-basiert.
Inwieweit verschieben sich dabei Rollen und Verantwortlichkeiten in Teams?
Ein klassischer Projektleiter entwickelt sich immer mehr zu einem Decision Orchestrator, also jemandem, der Entscheidungen ermöglicht und weniger steuernd eingreift.
Bei Business Analysten sehe ich die Erwartung, dass sie nicht nur die Brücke zwischen Business und Technik bauen, sondern auch in der Konzeption mitdenken.
Klarerweise gibt es auch neue Felder, die in diesem Kontext ganz wesentlich sind: AI Governance, AI Security, Risk Management und Product Management im AI-Kontext.
Ganz wesentlich ist aber: Es muss nicht jeder AI-Spezialist sein. Ein gewisses Maß an AI-Kompetenz wird in Zukunft jedes Projektmitglied benötigen, einfach damit man weiß, welche Dinge tatsächlich möglich sind und gemacht werden sollten.
Verändern sich damit auch die Anforderungen an die Skills im Projektteam? Sind die Teams schon fit genug oder wo muss man nachlegen?
Sofern man überhaupt fit genug sein kann. Der Unterschied zu Internet und Cloud ist bei AI wesentlich größer, weil der Innovationszyklus viel enger getaktet ist.
Das Erste ist AI Literacy, also ein Grundverständnis für AI und dafür, welche Möglichkeiten die jeweilige Organisation gerade vorgibt.
Das Zweite ist Data Literacy. Die Qualität der Ergebnisse, die erarbeitet werden, auch durch künstliche Intelligenz, hängt natürlich von der Datenqualität ab.
Drittens geht es um Governance und Security. Du hast vorhin Vibe Coding erwähnt. Nur weil etwas künftig generiert worden ist, auch Programmcode, heißt das noch lange nicht, dass es sicher ist. Ganz im Gegenteil.
Was man bei all diesen Punkten ganz sicher nicht vernachlässigen darf, sondern wesentlich stärker schärfen muss, ist das kritische Denken. AI kann schon sehr überzeugend sein in dem, was sie produziert. Es muss aber nicht immer richtig sein. Genau das kritisch zu hinterfragen, ist, glaube ich, die Challenge der heutigen Zeit.
Das bringt uns zu deinem Steckenpferd: Cybersecurity.
Welchen Impact hat Agentic AI in diesem Cybersecurity-Ökosystem, wenn Systeme zunehmend eigenständig handeln und Entscheidungen treffen?
Agentic AI ist sozusagen das Next Level, einer der spannendsten Technologietrends unserer Zeit. Der Unterschied zu klassischen AI-Systemen ist: Die generieren im Prinzip Output basierend auf Input. Agenten können aber nicht nur Informationen liefern, sondern planen, entscheiden und in einem gewissen Grad auch autonom handeln.
Das hat sehr viele Vorteile, zum Beispiel im Cybersecurity-Kontext bei Security Operations. Dort können solche Agenten einen signifikanten Mehrwert liefern.
Gleichzeitig muss man aber gerade im Security-Kontext berücksichtigen, dass es neue Risiken gibt. Wenn Systeme oder Agenten eigenständig handeln, können sie natürlich auch Fehler oder Manipulationen eigenständig verbreiten.
Das ist die Herausforderung bei agentischen Systemen: dass man auch die Cybersecurity der Agenten entsprechend berücksichtigt.
Siehst du auf der Angreiferseite solche agentischen AI-Aktivitäten bereits im Einsatz?
Ja, die Nachrichten sind voll davon. Mag sein, dass einiges mehr marketinggetrieben ist, aber der Threat ist real.
Das ergibt sich schon implizit daraus, dass jeder Agent Zugriff auf Daten, Anwendungen und Geschäftsprozesse braucht, damit er funktionieren kann. Daraus entstehen neue Risiken und Einflussfaktoren wie Prompt Injection, Manipulation von Datenquellen, Shadow AI oder auch Agentenkommunikation, die kompromittiert werden könnte.
Ein Agent braucht immer einen gewissen Zugriff auf Daten und Systeme. Oft sehen wir in der Praxis, dass diese einfach überprivilegiert sind und wesentlich mehr können, als sie machen sollten.
Wenn man so möchte, ist ein Agent wie ein neuer künstlicher Mitarbeiter. Insofern ist er auch ein potenzieller Angriffsfaktor.
Wir haben dafür klassische Systeme im Unternehmen: Identity Management, Access Management, Zero Trust. Muss man das im agentischen Umfeld neu aufstellen?
Ja, schon. Da sind wir noch lange nicht so weit. Das sind gerade Fokusthemen. Identity- und Access-Management-Systeme, wenn sie gut implementiert sind, haben heute meistens den Fokus auf Mitarbeiterinnen und Mitarbeiter, also auf physische Personen.
Wenn man künftig agentische Systeme einbindet, ist das wie ein virtueller Mitarbeiter, eine Maschinenidentität oder Agentenidentität. Die muss natürlich im Identity- und Access-Management-System berücksichtigt werden. Sie muss eindeutig sein, die richtigen Berechtigungen haben und es muss nachvollziehbar sein, warum gerade dieser Agent diese Berechtigungen benötigt.
Insofern ist das eigentlich kein Zukunftsthema mehr, sondern etwas, das man unbedingt berücksichtigen muss. Wahrscheinlich ist das einer der wesentlichen Sicherheitsanker, wenn es um die sichere Implementierung von agentischen Systemen geht.
Spannend ist auch, dass viel davon nicht nur in der IT passiert, sondern direkt in den Fachbereichen.
Wie kann man als CIO damit umgehen, wenn man gar nicht mehr vollständig im Überblick hat, welche Agenten im Unternehmen im Einsatz sind?
Das ist ein riesiges Thema mit Shadow AI, wie man das so neudeutsch nennt. Die Frage ist, welche Governance sich eine Organisation gibt und welche Regeln sie vorgibt: sowohl wie Dinge gemacht werden dürfen als auch, welche Bereiche Dinge machen sollten, unter Einbindung von IT, Security und so weiter.
Dazu kommt, dass AI nicht kostenfrei ist. Also muss man auch klären, wie man mit den entsprechenden Kosten umgeht.
Die Entscheidung muss grundsätzlich sein: Wie viel Freiraum möchte ich den Fachbereichen geben? Es ist sehr einfach für Fachbereiche, eigene Applikationen zu entwickeln. Oder wie eng möchte ich es beziehungsweise muss ich es schnüren, damit das Gesamtkonstrukt und die Applikationslandschaft homogen bleiben?
Das ist eine schwierige Herausforderung, bei der jedes Unternehmen, glaube ich, eine eigene Sichtweise entwickeln muss.
Dabei geht es auch um Geschwindigkeit. Governance wird schnell zum Flaschenhals. Wie früh sollte Cybersecurity in größere AI- und Transformationsprojekte eingebunden werden?
Security by Design. Was ganz sicher nicht wahnsinnig hilfreich ist: Wenn man zum Schluss noch einen Pentest oder Security Testing macht und dann feststellt, dass es mittelgut aussieht.
Sowohl aus Datenschutz- als auch aus Security-Perspektive ist das der schlechteste Approach. Privacy by Design und Security by Design sollten bereits bei der Beschaffung beziehungsweise bei der Initiierung des Projekts berücksichtigt werden. Dann muss man diese Themen durch den gesamten Projektlebenszyklus mitbegleiten.
Holen Sie sich wertvolle Impulse zu Führung, Cybersecurity und AI direkt in Ihr Postfach mit einem kostenlosen Confare conText-Abo.
Du leitest die Jury für die Livin IT Trophy. Woran erkennst du ein IT-Projekt, das technologisch innovativ ist und gleichzeitig wirklichen Business Impact hat?
Die LivinIT Trophy ist ein Herzensprojekt von mir, weil ich es total super finde, wenn man innovative IT-Projekte hinter dem Vorhang hervorholt und präsentiert.
Es macht mich schon ein bisschen stolz zu sehen, wie viele Innovationsprojekte wir in Österreich tatsächlich generieren. Gerade weil wir nicht unbedingt den Nimbus haben, eine Gesellschaft mit ausgeprägter Innovationskultur zu sein.
Ich freue mich jedes Jahr auf diese spannenden Projekte und auf die Juryarbeit. Was mich persönlich triggert oder für mich ein Bewertungskriterium ist, ist nicht die spektakulärste Technologie, die zum Einsatz kommt, sondern eher, welchen Nutzen das Projekt tatsächlich für die Organisation oder vielleicht sogar für die Gesellschaft bringt.
Das finde ich besonders auszeichnungswürdig.
Welche Kriterien spielen dabei konkret eine Rolle?
Wir haben relativ klare Bewertungsparameter, das ist ja kein Geheimnis. Natürlich die Innovation, dann der Business Impact und messbare KPIs, also ob tatsächlich ein Mehrwert geschaffen worden ist.
Und auch die Akzeptanz dieser Projekte: Wird das von den Menschen beziehungsweise Mitarbeiterinnen und Mitarbeitern angenommen und umgesetzt?
Es gilt nach dem Motto: Die beste Technologie bringt nichts, wenn sie keinen Nutzen stiftet oder nicht akzeptiert beziehungsweise angenommen wird.
Welche Projekte wir auszeichnen dürfen, erfahren wir am 29. September beim Confare CIOSUMMIT Salzburg.
Eigentlich kann man sagen: Alle nominierten Projekte hätten eine Auszeichnung verdient. Leider kann man nicht alle auf das Siegertreppchen stellen.
Das ist spannend und ich finde es auch ein bisschen schade, weil alle, die mitmachen, es verdient hätten, auf die Bühne zu kommen.
Es sind oft 20 oder 30 Innovationsprojekte, teilweise sogar mehr. Da blutet mir und dem Rest der Jury oft auch ein bisschen das Herz, weil wir sehen, wie viel Mühe und Zeit die Teams hineinstecken, um ihre Projekte so attraktiv wie möglich darzustellen.
Aber es ist halt wie beim Skifahren oder beim Sport: Es kann nicht jeder auf das Siegertreppchen kommen.
Welche Projekte wir auszeichnen dürfen, erfahren wir am 29. September beim Confare CIOSUMMIT Salzburg.
Eigentlich kann man sagen: Alle nominierten Projekte hätten eine Auszeichnung verdient. Leider kann man nicht alle auf das Siegertreppchen stellen.
Das ist spannend und ich finde es auch ein bisschen schade, weil alle, die mitmachen, es verdient hätten, auf die Bühne zu kommen.
Es sind oft 20 oder 30 Innovationsprojekte, teilweise sogar mehr. Da blutet mir und dem Rest der Jury oft auch ein bisschen das Herz, weil wir sehen, wie viel Mühe und Zeit die Teams hineinstecken, um ihre Projekte so attraktiv wie möglich darzustellen.
Aber es ist halt wie beim Skifahren oder beim Sport: Es kann nicht jeder auf das Siegertreppchen kommen.
TONi, vielen Dank für das Gespräch. Ich freue mich auf die Preisverleihung beim Confare CIOSUMMIT Salzburg und wünsche dir viel Erfolg bei der Juryarbeit.
Vielen Dank. Ich freue mich auf September, die LivinIT Trophy und auf die Veranstaltung in Salzburg. Liebe Grüße.
