NOMOS GBO

Über diese Ausgabe

Dass ein KI-Agent eine Aufgabe abschließt, beweist nicht, dass er richtig gehandelt hat. Wir müssen auch wissen, in wessen Namen er handelt, was er tatsächlich leisten kann, unter welchen Bedingungen er tätig werden darf und wie er sich stoppen lässt. Dieses Buch bietet technischen Teams und Führungskräften einen gemeinsamen Rahmen für diese Fragen.

NOMOS GBO ist ein hier vorgeschlagener Rahmen für Gestaltung und Governance. Die Verträge, Prüftore, Messgrößen und Reifegrade des Buches sind weder ein anerkannter internationaler Standard noch eine Zertifizierung oder Sicherheitsgarantie für ein umgesetztes Produkt. Auch die Existenz eines Schemas beweist nicht, dass seine Regeln technisch durchgesetzt werden.

Soweit nicht ausdrücklich anders angegeben, wurden die Unternehmensbeispiele und Zahlenszenarien zur Erläuterung entwickelt. Sie sind keine tatsächlichen Kundenergebnisse, Feldversuche oder unabhängigen Leistungsmessungen. Auch Beispiele aus Recht, Datenschutz, Gesundheit oder Finanzen ersetzen keine Prüfung durch die zuständigen Fachleute.

Die ersten drei Kapitel unterscheiden Auffindbarkeit, Repräsentation und Handlung. Kapitel vier bis acht behandeln fünf grundlegende Verhaltensverträge. Die letzten vier Kapitel erläutern deren Steuerung in der Organisation, ihre Messung, den Schutz vor Manipulation und die Rückgewinnung menschlicher Kontrolle.

Lesen Sie das Buch beim ersten Mal in der Reihenfolge der Kapitel. Wenn Sie eine Umsetzung bewerten wollen, beginnen Sie mit dem passenden Vertrag und nutzen anschließend die Prüftore und Prüfungsfragen am Kapitelende. Eine ausgefüllte Checkliste genügt nicht: Klären Sie für jede Antwort, auf welchen Datensatz, welche Befugnis oder welchen Test sie sich stützt.

Diese Ausgabe wurde aus vierzehn vom Autor bereitgestellten Kapiteldateien erstellt. Bei der redaktionellen Bearbeitung sowie der Prüfung von Konsistenz und Quellen wurden KI-gestützte Werkzeuge eingesetzt. Das Titelbild wurde mit generativer KI erzeugt; die Schrift wurde separat gesetzt. Diese Offenlegung bedeutet nicht, dass eine unabhängige redaktionelle Prüfung durch einen Menschen oder eine wissenschaftliche Begutachtung stattgefunden hat.

© 2026 Kaan Muraz. Dieses Werk ist unter der Lizenz Creative Commons Namensnennung 4.0 International (CC BY 4.0) lizenziert. https://creativecommons.org/licenses/by/4.0/

Glossar

GBO

Generative Behavior Optimization. Der Rahmen dieses Buches verbindet Identität, Fähigkeit, Eignung, Befugnis, sicheres Handeln, Wiederherstellung und menschliche Kontrolle.

GEO

Generative Engine Optimization. Ein Arbeitsfeld, das sich um Sichtbarkeit in generativen Antworten entwickelt. Dieses Buch betont darüber hinaus die korrekte Repräsentation und ihre Grenzen.

Verhaltensvertrag

Ein Datensatz, der erläutert, was eine Entität leisten kann, wann sie geeignet ist, welche Befugnisse erforderlich sind und wo die Handlung ihre Grenzen hat. Er ersetzt für sich genommen weder technische Durchsetzung noch einen rechtlichen Vertrag.

Identität

Aufzeichnungen und Prüfgrundlage zur Feststellung, welche Person, Organisation, welches System oder welcher Agent an einem Vorgang beteiligt ist. Identität ist nicht dasselbe wie Befugnis.

Fähigkeit

Eine Leistung, die eine Entität mit bestimmten Eingaben und innerhalb festgelegter Grenzen tatsächlich erbringen kann. Etwas tun zu können bedeutet nicht, es tun zu dürfen.

Eignung

Die Passung einer Fähigkeit zu einem bestimmten Nutzerziel, Budget, Zeitrahmen, Kontext und Risikoprofil.

Befugnis

Die Erlaubnis für einen bestimmten Akteur, innerhalb eines festgelegten Umfangs und unter bestimmten Bedingungen tätig zu werden. Werkzeugzugang oder Rollenbezeichnung allein sind kein ausreichender Nachweis.

Handlungsrahmen

Eine Definition, die Ziel, Umfang, Werkzeuge, Daten, Grenzen, Freigaben und Stoppbedingungen eines Vorgangs zusammenführt.

Handlungsbeleg

Eine Vorgangsaufzeichnung, anhand derer sich das tatsächliche Handeln und die zugrunde liegenden Aufzeichnungen nachvollziehen lassen. Die eigene Erfolgsmeldung des Systems ersetzt keine unabhängige Überprüfung.

Prüftor und Veto

Eine Entscheidung darüber, ob kritische Bedingungen erfüllt sind. Fehlende Befugnisse oder verbotene Handlungen lassen sich nicht durch Punkte aus anderen Bereichen ausgleichen.

Idempotenz

Eine Eigenschaft, die die beabsichtigte Wirkung einer wiederholten Anforderung desselben Vorgangs betrifft. Nicht jeder Wiederholungsversuch ist sicher.

Rücknahme und Abhilfe

Eine Rücknahme stellt einen früheren Zustand wieder her, soweit das möglich ist. Abhilfe behandelt die Verantwortung für nicht rückgängig zu machende Folgen. Das sind unterschiedliche Ergebnisse.

NDO

Quote qualifizierten Verhaltens. Anteil der richtigen Entscheidungen zu Handlung, Nachfrage, Ablehnung, Warten oder Übergabe an einen Menschen innerhalb einer festgelegten Bewertungsmenge.

QAS

Qualified Action Share. Anteil der ausgeführten qualifizierten Handlungen an einer festgelegten Menge geeigneter Handlungsmöglichkeiten. Kein allgemeiner Marktanteil; der Nenner muss ausdrücklich genannt werden.

Entzug von Befugnissen

Widerruf einer Erlaubnis, um künftige Vorgänge zu stoppen oder einzuschränken. Er löscht nicht automatisch sämtliche Folgen bereits abgeschlossener Vorgänge.

Menschliche Souveränität

In diesem Buch die Möglichkeit, Ziele und Grenzen festzulegen, zu prüfen, Einwände zu erheben und wirksam zu stoppen. Kein unbegrenztes Recht, rechtswidrige Befehle zu erteilen.

Quellenverzeichnis

Die Quellenhinweise wurden am 9. September 2026 geprüft. Die darin genannten Organisationen haben NOMOS GBO weder gebilligt noch zertifiziert.

1. GEO: Generative Engine Optimization

   Pranjal Aggarwal, Vishvak Murahari, Tanmay Rajpurohit, Ashwin Kalyan, Karthik Narasimhan und Ameet Deshpande. arXiv:2311.09735v3, 28. Juni 2024; erstmals eingereicht am 16. November 2023; KDD 2024.

   Die Studie behandelt GEO anhand der Sichtbarkeit in Antworten generativer Systeme. Die Betonung von Repräsentation und Governance in diesem Buch ist eine begriffliche Erweiterung des Autors, nicht die einzige oder wortgetreue Definition der Studie.

2. Digital Identity Guidelines

   NIST. SP 800-63-4, 2025.

   Identitätsprüfung, Authentifizierung und Föderation sind unterschiedliche Prozesse. Die vier Identitätszustände des Buches sind keine NIST-Vertrauensniveaus. Der Leitfaden umfasst nicht sämtliche Maschine-zu-Maschine- oder Agentenautorisierungen.

3. LLM06:2025 Excessive Agency

   OWASP Gen AI Security Project. 2025.

   Zu weitreichende Werkzeugfunktionen, Berechtigungen und Autonomie können das Risiko übermäßiger Handlungsmacht erhöhen. Berechtigungen dürfen nicht allein der Auslegung von Anweisungen durch das Modell überlassen werden; auch die ausführenden Systeme müssen sie durchsetzen.

4. Açık Rıza Alırken Dikkat Edilecek Hususlar [Hinweise zur Einholung ausdrücklicher Einwilligung]

   Türkische Datenschutzbehörde (KVKK). Abgerufen am 8. September 2026.

   Ausdrückliche Einwilligung muss sich auf einen bestimmten Gegenstand beziehen, informiert und freiwillig erteilt werden. Ein Widerruf wirkt für die Zukunft und macht nicht automatisch jeden früheren Vorgang rückgängig.

5. Kişisel Verilerin İşlenme Şartları [Voraussetzungen der Verarbeitung personenbezogener Daten]

   Türkische Datenschutzbehörde (KVKK). Offizieller Leitfaden, insbesondere S. 5–9; abgerufen am 8. September 2026.

   Ausdrückliche Einwilligung ist nicht die einzige Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Welche Voraussetzung greift, muss am konkreten Vorgang geprüft werden. Die Buchbeispiele ersetzen diese Prüfung nicht.

6. Legal grounds for processing data

   Europäische Kommission. Abgerufen am 8. September 2026.

   Auch der EU-Datenschutzrahmen kennt mehrere Verarbeitungsgrundlagen. Einwilligungsbasierte Verarbeitung ist von Aufbewahrung oder Verarbeitung zu unterscheiden, die eine andere gültige Grundlage benötigt.

7. HTTP Semantics

   Roy T. Fielding, Mark Nottingham und Julian Reschke (Herausgeber). RFC 9110, Juni 2022, §9.2.2.

   Idempotenz betrifft die beabsichtigte Serverwirkung wiederholter identischer Anfragen. Eine Vorgangs-ID allein verhindert keine doppelte Ausführung. Speicherung, Zuordnung und Wiederholungsverhalten müssen ebenfalls gestaltet werden.

8. IndexNow FAQ

   IndexNow. Abgerufen am 8. September 2026.

   Die Annahme einer URL-Benachrichtigung garantiert keine Indexierung. Benachrichtigung, Crawling, Indexierung, Ranking und Kundengewinnung sind unterschiedliche Ergebnisse.

9. General structured data guidelines

   Google Search Central. Aktualisiert am 10. Juli 2026; abgerufen am 8. September 2026.

   Strukturierte Daten müssen mit den relevanten sichtbaren Inhalten übereinstimmen. Gültige Auszeichnung garantiert keine Darstellung als Rich Result und belegt weder eine Auswahl durch Agenten noch die Sicherheit einer Transaktion.