Ehemaliger FOIA-Chef des VA: FedRAMP-Hürde bremst KI-Einsatz in US-Behörden

Drei KI-Kategorien sind bereits im Einsatz

Sarich, 2025 Fed100 IT Winner, sagt, dass im FOIA-Bereich heute diejenigen KI-Werkzeuge funktionieren, die ein reales Workflow-Problem im großen Maßstab gelöst haben. Er nennt drei Kategorien, die er als derzeit operativ und nicht mehr als experimentell beschreibt: FedRAMP-autorisierte generative KI für Prüfung und Zusammenfassung, Predictive Coding zur Bewertung der Wahrscheinlichkeit von Ausnahmetatbeständen und Clustering zur Identifizierung zusammenhängender Unterlagen.

Die erste Kategorie nennt er den folgenreichsten jüngsten Meilenstein. Aus seiner Sicht hat die FedRAMP-Autorisierung von Everlaw Bundesbehörden einen Weg zur KI-gestützten Dokumentenprüfung ohne Ausnahmeverfahren eröffnet und die Diskussion von der Frage, ob man es versuchen soll, hin zur Frage verschoben, wie schnell man es einführen kann. Dabei ist zu beachten, dass das Interview im eigenen Blog von Everlaw erscheint. Clustering finde Zusammenhänge in großen Dokumentenbeständen, die menschlichen Prüfern entgehen, sagt Sarich, und er bezeichnet diese Werkzeuge als operative Grundausstattung für jede Behörde, die Anfragen in großer Zahl bearbeitet.

Mit Blick nach vorn interessiert ihn am meisten agentisches FOIA, bei dem KI Anfragen innerhalb definierter Leitplanken durch den Bearbeitungsprozess führt, während Menschen bei den wichtigen Entscheidungen weiter eingebunden bleiben. Richtig umgesetzt sei das keine Produktivitätssteigerung um 10 Prozent, sondern eine strukturelle Veränderung der Arbeitsweise einer FOIA-Stelle. Zudem verweist er auf LLM-gestützte Dialoge zur Eingrenzung des Anfrageumfangs, bessere OCR und Handschrifterkennung für ältere Papierakten sowie die erwartete Annäherung von Records-Management- und FOIA-Plattformen.

Warum die FedRAMP-Hürde laut Sarich zurückfällt

Auf die Frage, ob das aktuelle Autorisierungsverfahren ausreiche, trennt Sarich zwischen Sicherheit und Innovation. Als Sicherheitsbasis funktioniere die Hürde, und das sei wichtig, weil Behörden einige der sensibelsten personenbezogenen Daten des Landes verwalten. Als Innovationsinfrastruktur versage sie jedoch, und die Kosten trügen nicht nur die Anbieter, sondern auch die Behörden.

Er nennt zwei strukturelle Probleme:

• Kosten: Eine FedRAMP-High-Autorisierung kostet deutlich mehr als zwei Millionen Dollar und dauert zwischen 12 und 18 Monaten, was Start-ups nicht stemmen können. Damit werde Innovation nach Kapital statt nach Leistungsfähigkeit gefiltert, so Sarich.
• Dynamik der Sponsor-Behörden: Anbieter mit bestehenden Beziehungen zum Bund erhielten einen Vorsprung, der nichts mit der Produktqualität zu tun habe, sodass Behörden mit einem engeren Anbieterkreis arbeiten als der tatsächliche Markt hergibt.

Das tiefere Problem sei das Tempo, sagt er. FedRAMP sei für eine Zeit konzipiert worden, in der Unternehmenssoftware große Updates vierteljährlich auslieferte, während Frontier-KI-Modelle heute wöchentlich bedeutende Funktionsupdates erhalten. Behörden dürften am Ende die KI von vor einem Jahr nutzen, während der kommerzielle Markt zwei Jahre voraus sei, und die Kosten dafür trage die Öffentlichkeit.

Sein Lösungsvorschlag ist eine gestufte, modulare Autorisierung, die den Sicherheitsrahmen bewahrt, aber schnellere Updates der zugrunde liegenden Modellkomponenten erlaubt. FedRAMP 20x nennt er die richtige Richtung und fordert, dass es umgesetzt werden müsse.

FOIA University und was starke Führungskräfte ausmacht

Sarich sagt, es gebe im FOIA-Bereich Schulungen, aber kein Kerncurriculum. Die FOIA University hat drei Stufen, und der erste Ausbildungsweg soll es ermöglichen, mit voller Sicherheit in eine FOIA-Stelle einzusteigen. Mangelnde Sicherheit bremse FOIA am stärksten, sagt er und merkt an, er selbst habe erst nach seinen ersten 200 Fällen etwas gewusst und sei langsam gewesen. Bei sinkenden Personalzahlen hätten Behörden diese Zeit nicht mehr.

Er nennt drei Führungsqualitäten, geordnet danach, wie häufig sie übersehen werden:

• Operative Sicherheit: selbst Anfragen bearbeitet zu haben und moderne Werkzeuge gut genug zu kennen, um ihre Grenzen zu beurteilen, realistische Zeitpläne zu setzen und Bearbeitungsentscheidungen gegenüber Prozessanwälten zu verteidigen.
• Bündnisse schmieden: FOIA berührt Recht, Records Management, IT, Kommunikation und jedes Fachbüro, weshalb Führungskräfte belastbare Beziehungen über diese Silos hinweg brauchen, auch zu IT und Beschaffung.
• Politische Widerstandsfähigkeit: Führungskräfte werden zwischen Antragstellern, die mehr wollen, und der Leitung, die weniger Aufregung will, aufgerieben.

Eine kleinere nächste Generation und ein moderneres Verfahren

Sarich sagt, es wachse eine neue Generation heran, doch sie sei kleiner, als sie sein sollte. Personalabbau habe die FOIA-Stellen hart getroffen, und das Deferred Resignation Program habe eine Ebene von Praktikern mit mittlerer Berufserfahrung entfernt, die Neulinge hätten anleiten können. Dadurch sei institutionelles Wissen verloren gegangen, das nicht leicht zurückkehren werde.

Sein Rat besteht aus vier Teilen: Zertifizierungen erwerben, ein Netzwerk außerhalb der eigenen Behörde aufbauen, die Werkzeuge kennenlernen, auch solche, die die eigene Behörde noch nicht nutzt, und einen Mentor finden, der nicht der eigene Vorgesetzte ist. Wie er es ausdrückt: Der Vorgesetzte kennt Ihren Job, ein Mentor kennt Ihre Laufbahn.

Zur Modernisierung im vergangenen Jahr sagt er, KI-gestützte Prüfung sei auf mehreren Plattformen FedRAMP-autorisiert und in Reichweite der Beschaffung. Antragstellerportale hätten sich von einer Handvoll führender Behörden zu einem erwarteten Standard entwickelt, und die Infrastruktur zur Anbieterverantwortung sei gereift. Der veröffentlichte Text bricht bei der Erörterung der NexGen-Showcases ab, weshalb seine Aussagen zu verbleibenden Lücken hier nicht enthalten sind.