SecBoard
Zurück zur Übersicht

DOGE Employees Used ChatGPT to Cancel Humanities Grants, Suits Allege

AI Incident Database·
Originalartikel lesen bei AI Incident Database

According to lawsuits filed on Friday, two employees of the Department of Government Efficiency (DOGE) used ChatGPT to determine whether previously approved National Endowment for the Humanities (NEH) grants should be canceled based on prox ... (https://incidentdatabase.ai/cite/1402#7110)

Kurzfassung

Laut am Freitag eingereichten Klagen nutzten zwei DOGE-Mitarbeiter ChatGPT, um zu entscheiden, ob bereits genehmigte NEH-Zuschüsse anhand von Proxy-Kriterien gestrichen werden sollten. Der Artikel betrifft Behörden, KI-SaaS-Nutzung und die Governance automatisierter Entscheidungsunterstützung. Konkrete technische Sicherheitsvorfälle werden nicht beschrieben.

Relevanz für Manager / CISOs
Priorität:Hoch
Betroffene

NEH-Förderempfänger, die National Endowment for the Humanities und zwei DOGE-Mitarbeiter beziehungsweise deren Entscheidungsprozess.

Warum relevant

Der Einsatz externer KI-SaaS-Tools für Verwaltungsentscheidungen kann Datenschutz-, Nachvollziehbarkeits-, Bias- und Rechtsrisiken erzeugen.

Realistisches Worst Case

Bereits genehmigte Förderungen werden aufgrund fehlerhafter Proxy-Bewertungen gestrichen, mit finanziellen und rechtlichen Folgen.

Handlungsempfehlung

KI-SaaS-Nutzung in Behördenprozessen durch Richtlinien, Protokollierung, Datenfreigabeprüfung und menschliche Verantwortlichkeit absichern.

Defensive Validierung / Purple-Team Checks
  • Defensiver Check 1: Prüfen, ob externe KI-SaaS-Tools für sensible Verwaltungsdaten freigegeben sind.
  • Defensiver Check 2: Auditieren, ob Prompts, Eingabedaten, Ausgaben und menschliche Entscheidungen nachvollziehbar gespeichert werden.
  • Defensiver Check 3: Validieren, ob Proxy-Kriterien gegen rechtliche und fachliche Anforderungen geprüft wurden.
Offene Punkte
  • Welche Daten in ChatGPT eingegeben wurden, ist nicht im Artikel angegeben.
  • Ob sensible oder personenbezogene Daten betroffen waren, ist nicht im Artikel angegeben.
  • Exakte Proxy-Kriterien sind im Auszug nicht vollständig angegeben.
  • Kein Cyberangriff oder ATT&CK-relevantes Verhalten ist im Artikel beschrieben.