Auf einen Blick
In einem europäischen Unternehmen nahm der Einsatz generativer KI schnell zu. Mitarbeitende nutzten öffentlich verfügbare Anwendungen, um Dokumente zu entwerfen, Informationen zusammenzufassen, Präsentationen vorzubereiten, Themen zu recherchieren und alltägliche administrative Aufgaben zu erledigen.
Einige Teams prüften bereits weitergehende Einsatzmöglichkeiten, darunter interne Assistenten, eine automatisierte Dokumentenverarbeitung und KI-gestützte Kundenservices.
Das Unternehmen erkannte den möglichen Nutzen. Bestimmte Aufgaben ließen sich schneller erledigen, Informationen leichter finden und wiederkehrende Arbeiten reduzieren. Der Einsatz generativer KI hatte sich jedoch schneller entwickelt als die internen Prozesse zu dessen Steuerung.
Dadurch entstanden einige grundlegende Fragen:
- ?Welche generativen KI-Dienste werden im Unternehmen genutzt?
- ?Welche Informationen werden in diese Dienste eingegeben?
- ?Könnten vertrauliche oder personenbezogene Daten offengelegt werden?
- ?Welche KI-Anwendungsfälle bergen die größten Risiken?
- ?Wer ist für die Freigabe neuer KI-Lösungen verantwortlich?
- ?Wie sollten Anbieter und externe KI-Dienste bewertet werden?
- ?Reichen die vorhandenen Sicherheits- und Datenschutzmaßnahmen aus?
- ?Wie kann das Unternehmen sinnvolle KI-Projekte ermöglichen, ohne Innovation unnötig zu behindern?
Wir unterstützten den Kunden dabei, die tatsächliche Nutzung generativer KI zu erfassen, kritische Bereiche zu erkennen und einen praktikablen Governance-Prozess einzuführen.
Dabei wurden KI-Anwendungsfälle mit Geschäftsprozessen, Daten, Anwendungen, Dienstleistern, Risiken, Kontrollen und verantwortlichen Personen verknüpft. Das Unternehmen erhielt dadurch eine bessere Grundlage für die Entscheidung, welche Vorhaben umgesetzt werden konnten, wo zusätzliche Schutzmaßnahmen erforderlich waren und welche Anwendungen gestoppt werden sollten.
Über den Kunden
Der Name des Kunden, die genaue Anzahl der Mitarbeitenden, die Standorte und ausgewählte operative Details wurden aus Vertraulichkeitsgründen nicht veröffentlicht.
Die Herausforderung
Generative KI gelangte auf unterschiedlichen Wegen in das Unternehmen.
Einige Mitarbeitende hatten eigene Konten bei öffentlich verfügbaren Diensten erstellt. Fachabteilungen testeten KI-Anwendungen, um produktiver zu arbeiten. Bestehende Softwareanbieter ergänzten ihre Produkte um neue KI-Funktionen. Gleichzeitig prüfte die IT-Abteilung unternehmensweite KI-Plattformen, während einzelne Bereiche eigene Lösungen in Betracht zogen.
Es gab keinen vollständigen Überblick über diese Aktivitäten.
Das Unternehmen verfügte bereits über Sicherheitsrichtlinien, Datenschutzprozesse, Lieferantenbewertungen und ein etabliertes ISMS. Diese Prozesse waren jedoch noch nicht an die Geschwindigkeit und Vielfalt der KI-Nutzung angepasst.
Mitarbeitende wussten nicht immer, welche Anwendungen freigegeben waren und welche Informationen sie eingeben durften. Führungskräfte sahen den möglichen geschäftlichen Nutzen, verfügten aber über kein einheitliches Verfahren zur Bewertung neuer Anwendungsfälle. Informationssicherheit und Datenschutz wurden häufig erst spät einbezogen, teilweise nachdem eine Anwendung bereits getestet oder beschafft worden war.
Das Unternehmen wollte kein allgemeines Verbot aussprechen. Mitarbeitende sollten KI dort einsetzen können, wo sie einen echten Nutzen brachte. Gleichzeitig waren klare Grenzen und angemessene Kontrollen erforderlich.
Generative KI wurde schnell eingeführt – ohne einheitliche Steuerung.
Die Herausforderung bestand nicht darin, die KI-Nutzung zu stoppen, sondern Transparenz, Struktur und Verantwortlichkeit in eine schnelllebige und fragmentierte Landschaft zu bringen.
Der Kunde benötigte eine Lösung, die eine verantwortungsvolle KI-Nutzung ermöglichte, ohne eine weitere komplizierte Verwaltungsebene einzuführen.
Was der Kunde erreichen wollte
Das Projekt hatte sieben Hauptziele:
Verstehen, wie generative KI bereits genutzt wurde.
Anwendungsfälle mit sensiblen Daten oder wichtigen Geschäftsprozessen erkennen.
Praktische und verständliche Regeln für Mitarbeitende schaffen.
Einen einheitlichen Bewertungs- und Freigabeprozess einführen.
Verantwortlichkeiten für KI-Anwendungen, Daten, Risiken und Kontrollen festlegen.
KI-Governance mit dem bestehenden ISMS sowie mit Datenschutz- und Lieferantenprozessen verbinden.
Dem Management einen klaren Überblick über Chancen, Risiken und notwendige Entscheidungen geben.
Was wir getan haben
Wir begannen mit der tatsächlichen KI-Nutzung
Zunächst verschafften wir uns ein realistisches Bild der bestehenden Situation.
Wir führten Gespräche mit Vertretern aus IT, Informationssicherheit, Datenschutz, Recht, Einkauf, Personalwesen und ausgewählten Fachabteilungen. Darüber hinaus prüften wir bestehende Technologieverzeichnisse, Lieferantenunterlagen, Richtlinien, Risikoregister und geplante KI-Projekte.
Die Prüfung umfasste:
- ✓öffentlich verfügbare generative KI-Dienste;
- ✓unternehmensweit eingesetzte KI-Lösungen;
- ✓KI-Funktionen in bestehenden Anwendungen;
- ✓Pilotprojekte einzelner Abteilungen;
- ✓KI-Funktionen von Lieferanten;
- ✓geplante KI-Assistenten und automatisierte Abläufe;
- ✓die in den jeweiligen Fällen verwendeten Informationen;
- ✓den geschäftlichen Zweck;
- ✓Nutzer und verantwortliche Personen;
- ✓vorhandene technische und organisatorische Kontrollen.
Das Ziel bestand nicht darin, jede einzelne Eingabe zu kontrollieren. Wir wollten verstehen, wo KI eingesetzt wurde, welchen Zweck sie erfüllte und welche Daten oder Geschäftsaktivitäten betroffen waren.
So erhielt der Kunde einen ersten zusammenhängenden Überblick über seine KI-Umgebung. Gleichzeitig wurde sichtbar, dass mehrere Abteilungen ähnliche Lösungen prüften, ohne von den Aktivitäten der jeweils anderen Teams zu wissen.
Wir erstellten ein strukturiertes Verzeichnis der KI-Anwendungsfälle
Wir entwickelten eine gemeinsame Struktur zur Erfassung und Überprüfung von KI-Aktivitäten.
Für jeden Anwendungsfall konnte das Unternehmen folgende Informationen dokumentieren:
- ✓geschäftlicher Zweck;
- ✓zuständige Abteilung;
- ✓verantwortlicher Fachbereich;
- ✓eingesetzter KI-Dienst oder verwendete Anwendung;
- ✓Dienstleister;
- ✓Nutzer oder Nutzergruppen;
- ✓in den Dienst eingegebene Informationen;
- ✓vom Dienst erzeugte Inhalte;
- ✓angebundene Systeme;
- ✓betroffene Geschäftsprozesse;
- ✓Verarbeitung personenbezogener Daten;
- ✓Nutzung vertraulicher Informationen;
- ✓mögliche Folgen fehlerhafter Ergebnisse;
- ✓geltende Sicherheits- und Datenschutzmaßnahmen;
- ✓lieferantenbezogene und vertragliche Anforderungen;
- ✓aktueller Freigabestatus;
- ✓notwendige Maßnahmen und Prüftermine.
Dadurch konnte das Unternehmen zwischen einfachen Produktivitätsanwendungen und sensibleren Anwendungsfällen unterscheiden.
Wir ordneten die Anwendungsfälle nach ihrem Risiko ein
Das Unternehmen benötigte ein einfaches Verfahren, um festzustellen, wie gründlich ein Anwendungsfall geprüft werden musste.
Wir entwickelten eine angemessene Bewertungsmethode, die unter anderem folgende Faktoren berücksichtigte:
- ✓Sensibilität der Informationen;
- ✓Verarbeitung personenbezogener Daten;
- ✓Bedeutung des betroffenen Geschäftsprozesses;
- ✓Anzahl und Art der Nutzer;
- ✓Umfang der menschlichen Kontrolle;
- ✓mögliche Folgen fehlerhafter Ergebnisse;
- ✓Grad der Automatisierung;
- ✓Anbindung an interne Systeme;
- ✓Zugriff des Anbieters auf Unternehmensinformationen;
- ✓Speicherung und Wiederverwendung eingegebener Informationen;
- ✓Fragen des geistigen Eigentums;
- ✓gesetzliche und vertragliche Verpflichtungen;
- ✓Missbrauchsmöglichkeiten;
- ✓vorhandene Sicherheitskontrollen.
Anschließend konnten unterschiedliche Freigabewege festgelegt werden.
Ein einfacher Anwendungsfall mit nicht sensiblen Informationen konnte nach einer begrenzten Prüfung freigegeben werden. Anwendungsfälle mit sensiblen Daten, automatisierten Entscheidungen oder wichtigen Geschäftsprozessen erforderten dagegen eine ausführlichere Bewertung und eine Freigabe auf höherer Ebene.
Einige geplante Anwendungen wurden vorübergehend gestoppt, bis zusätzliche Schutzmaßnahmen umgesetzt waren. Andere wurden angepasst, indem sensible Informationen entfernt oder besser geeignete Unternehmenslösungen ausgewählt wurden.
Wir erarbeiteten klare Regeln für Mitarbeitende
Das Unternehmen verfügte bereits über Richtlinien zur Informationssicherheit und zur zulässigen Nutzung von IT. Mitarbeitende benötigten jedoch konkrete Hinweise für den Umgang mit generativer KI.
Wir entwickelten praktische Regeln zu folgenden Fragen:
- ✓Welche Anwendungen dürfen genutzt werden?
- ✓Welche Anwendungen müssen vorab freigegeben werden?
- ✓Welche Informationen dürfen nicht eingegeben werden?
- ✓Wann ist bei personenbezogenen Daten eine zusätzliche Prüfung notwendig?
- ✓Wie müssen KI-generierte Inhalte überprüft werden?
- ✓Wann ist eine menschliche Freigabe erforderlich?
- ✓Wie sind vertrauliche Informationen zu behandeln?
- ✓Wie soll eine mögliche Offenlegung von Informationen gemeldet werden?
- ✓Wie sind Fragen zu Urheberrecht und geistigem Eigentum zu eskalieren?
- ✓Wo können Mitarbeitende Unterstützung für einen neuen Anwendungsfall erhalten?
Die Hinweise enthielten Beispiele aus dem normalen Arbeitsalltag und vermieden unnötig abstrakte oder technische Formulierungen.
Die Mitarbeitenden wurden außerdem darauf hingewiesen, dass eine überzeugend formulierte KI-Antwort nicht automatisch richtig ist. Sie blieben für die Prüfung wichtiger Fakten, Entscheidungen, Berechnungen und externer Mitteilungen verantwortlich.
Wir klärten die Verantwortlichkeiten
KI-Governance konnte nicht allein Aufgabe der Informationssicherheit sein.
Der Fachbereich, der einen Anwendungsfall vorschlug, musste dessen Zweck, erwarteten Nutzen und mögliche betriebliche Auswirkungen erläutern. Die IT-Abteilung prüfte die technische Lösung und ihre Schnittstellen. Die Informationssicherheit bewertete die relevanten Cyberrisiken. Datenschutz und Recht prüften die Themen in ihren jeweiligen Zuständigkeitsbereichen. Der Einkauf deckte lieferantenbezogene und vertragliche Fragen ab.
Wir dokumentierten die Verantwortlichkeiten für:
- ✓Vorschlag eines KI-Anwendungsfalls;
- ✓Freigabe des geschäftlichen Zwecks;
- ✓Ermittlung der betroffenen Informationen;
- ✓Durchführung von Sicherheits- und Datenschutzprüfungen;
- ✓Bewertung des Anbieters;
- ✓Freigabe technischer Integrationen;
- ✓Festlegung notwendiger Kontrollen;
- ✓Schulung der Nutzer;
- ✓Prüfung KI-generierter Ergebnisse;
- ✓Überwachung der laufenden Nutzung;
- ✓Dokumentation von Vorfällen oder Problemen;
- ✓Überprüfung oder Entzug einer Freigabe.
Jeder freigegebene Anwendungsfall erhielt einen benannten fachlichen Verantwortlichen. Diese Person stellte sicher, dass der Anwendungsfall weiterhin angemessen war und die vereinbarten Kontrollen funktionierten.
Wir verbanden KI-Governance mit dem bestehenden ISMS
Das Unternehmen benötigte kein vollständig separates Managementsystem für KI.
Stattdessen verknüpften wir die KI-Anwendungsfälle mit den bereits bestehenden Prozessen für Informationssicherheit und Risikomanagement.
Ein KI-Anwendungsfall konnte nun verbunden werden mit:
- ✓dem relevanten Geschäftsprozess;
- ✓der unterstützenden Anwendung;
- ✓den verarbeiteten Informationen;
- ✓dem Anbieter des Dienstes;
- ✓der verantwortlichen Person;
- ✓den identifizierten Bedrohungen und Risiken;
- ✓den geltenden Sicherheitskontrollen;
- ✓Datenschutzbewertungen;
- ✓vertraglichen Anforderungen;
- ✓Vorfällen und Auditfeststellungen;
- ✓Verbesserungsmaßnahmen;
- ✓Prüfterminen und Nachweisen.
Dadurch konnten KI-bezogene Risiken innerhalb des bestehenden ISMS behandelt werden und mussten nicht in einer zusätzlichen, unabhängigen Tabelle verwaltet werden.
Außerdem wurde leichter erkennbar, wenn eine Änderung mehrere Bereiche betraf. Eine Änderung beim Anbieter konnte sich beispielsweise gleichzeitig auf einen freigegebenen KI-Anwendungsfall, die Datenschutzbewertung, vertragliche Schutzmaßnahmen und die allgemeine Risikolage auswirken.
Wir prüften Anbieter und integrierte KI-Funktionen
Nicht jede KI-Lösung war als eigenständiges Produkt beschafft worden. Teilweise erschienen neue KI-Funktionen innerhalb bereits genutzter Anwendungen.
Deshalb ergänzten wir den Lieferantenbewertungsprozess um KI-spezifische Fragen.
Die Prüfung befasste sich unter anderem mit folgenden Punkten:
- ✓Welche Informationen erhält der Anbieter?
- ✓Wo werden die Informationen verarbeitet?
- ✓Können eingegebene Informationen gespeichert werden?
- ✓Dürfen sie zur Verbesserung der Modelle oder Dienste des Anbieters verwendet werden?
- ✓Welche Unterauftragnehmer sind beteiligt?
- ✓Welche Sicherheitsmaßnahmen gelten?
- ✓Wie wird der Zugriff kontrolliert?
- ✓Wie werden Sicherheitsvorfälle gemeldet?
- ✓Was geschieht nach Beendigung des Dienstes mit den Informationen?
- ✓Kann das Unternehmen unerwünschte KI-Funktionen deaktivieren?
- ✓Wie werden wesentliche Änderungen am Dienst mitgeteilt?
Wenn Informationen fehlten, dokumentierte das Unternehmen die verbleibende Unsicherheit und entschied, ob zusätzliche Schutzmaßnahmen oder vertragliche Klarstellungen erforderlich waren.
Wir verbesserten die Berichterstattung an das Management
Das Management benötigte einen kurzen und verständlichen Überblick über die KI-Nutzung, keine technische Beschreibung jedes Modells oder Dienstes.
Die neue Berichtsstruktur konzentrierte sich auf:
- ✓freigegebene und vorgeschlagene KI-Anwendungsfälle;
- ✓Anwendungen mit sensiblen Informationen;
- ✓höher bewertete Risiken, die eine Entscheidung erforderten;
- ✓nicht freigegebene Anwendungen;
- ✓überfällige Sicherheits- oder Datenschutzmaßnahmen;
- ✓Bedenken zu Lieferanten;
- ✓Vorfälle oder vermutete Offenlegungen von Informationen;
- ✓wiederkehrende Probleme;
- ✓fehlende oder unwirksame Kontrollen;
- ✓erwarteten geschäftlichen Nutzen;
- ✓notwendige Entscheidungen des Managements.
Für jedes wesentliche Thema zeigte der Bericht den geschäftlichen Zusammenhang, den verantwortlichen Eigentümer, das Hauptrisiko, die geplante Maßnahme, die Frist und die erforderliche Entscheidung.
So konnte das Management Chancen und Risiken gemeinsam betrachten.
Was wir geliefert haben
Der Kunde erhielt:
- ✓ein strukturiertes Verzeichnis der generativen KI-Anwendungsfälle;
- ✓eine praktische Methode zur KI-Risikobewertung;
- ✓unterschiedliche Freigabewege je nach Risikoniveau;
- ✓verständliche Regeln für den sicheren Einsatz generativer KI;
- ✓klar definierte Rollen und Verantwortlichkeiten;
- ✓einen Prozess zur Prüfung von Anbietern und integrierten KI-Funktionen;
- ✓Verknüpfungen zwischen KI-Anwendungsfällen, Daten, Systemen, Anbietern, Risiken und Kontrollen;
- ✓Vorlagen für die Managementberichterstattung;
- ✓einen Eskalationsprozess für nicht freigegebene oder risikoreichere Aktivitäten;
- ✓Hinweise für regelmäßige Überprüfungen;
- ✓ein Verfahren zur Änderung oder zum Entzug von Freigaben;
- ✓eine Struktur zur Dokumentation von Nachweisen und Verbesserungsmaßnahmen.
Das Projekt schuf kein separates Governance-System, das mit vorhandenen Prozessen konkurrierte. Stattdessen wurde KI in den bestehenden Umgang mit Risiken, Informationssicherheit, Datenschutz und Lieferanten eingebunden.
Die Ergebnisse
Innerhalb von sechs Monaten erzielte der Kunde folgende Ergebnisse:
Das Unternehmen gewann außerdem einen besseren Überblick darüber, wo generative KI eingesetzt wurde, welche Informationen dabei verarbeitet wurden und welche Geschäftsprozesse davon betroffen sein konnten.
KI-Anwendungsfälle, bei denen sensible Informationen, wichtige betriebliche Abläufe oder ein hoher Automatisierungsgrad eine Rolle spielten, wurden ausführlicher geprüft. Produktivitätsbezogene Anwendungsfälle mit niedrigem Risiko konnten dagegen einen kürzeren und verhältnismäßigeren Freigabeprozess durchlaufen.
Die Mitarbeitenden erhielten praktische Leitlinien zu freigegebenen KI-Werkzeugen, Informationen, die nicht eingegeben werden dürfen, Prüfung KI-generierter Inhalte, notwendiger menschlicher Kontrolle und Meldung einer vermuteten Offenlegung.
Das wichtigste Ergebnis bestand darin, dass die KI-Governance in das bestehende ISMS sowie in die Datenschutz-, Beschaffungs- und Lieferantenmanagementprozesse integriert wurde.
Was sich für den Kunden verändert hat
Was wir gelernt haben
Kundenstimme
„Generative KI wurde bereits in verschiedenen Bereichen unseres Unternehmens eingesetzt. Uns fehlte jedoch ein klarer Überblick darüber, wo sie genutzt wurde und welche Informationen dabei verarbeitet wurden. Der neue Prozess gab unseren Mitarbeitenden einen praktikablen Weg, sinnvolle Ideen einzubringen. Gleichzeitig konnten wir die Anwendungsfälle erkennen, für die stärkere Kontrollen notwendig waren."
Das folgende Zitat darf nur nach ausdrücklicher Freigabe durch den Kunden verwendet werden. Wenn kein freigegebenes Kundenzitat vorliegt, sollte dieser Abschnitt entfernt werden.
Fazit
Der Kunde musste sich nicht zwischen dem Einsatz generativer KI und einem angemessenen Risikomanagement entscheiden.
Das eigentliche Problem bestand im fehlenden Überblick, in unklaren Verantwortlichkeiten und in uneinheitlichen Entscheidungen. Verschiedene Teams erprobten KI, doch dem Unternehmen fehlte ein gemeinsamer Ansatz zur Bewertung des geschäftlichen Zwecks, der verwendeten Informationen, der Lieferantenrisiken und der notwendigen Kontrollen.
Durch ein strukturiertes Verzeichnis der Anwendungsfälle und die Verknüpfung mit Daten, Systemen, Anbietern, Risiken und Verantwortlichen entstand ein praktikablerer Ansatz.
Mitarbeitende erhielten verständlichere Regeln. Fachabteilungen bekamen einen klaren Weg, um neue Ideen vorzuschlagen. Informationssicherheit und Datenschutz konnten sich auf sensible und risikoreichere Anwendungen konzentrieren. Das Management erhielt einen besseren Überblick darüber, wo KI einen Nutzen bot und wo zusätzliche Schutzmaßnahmen notwendig waren.
Vor allem wurde generative KI zu einem Bestandteil des normalen Risikomanagements. Sie wurde nicht länger nur über einzelne Richtlinien, Tabellen und voneinander getrennte Entscheidungen behandelt.
Stehen Sie vor einer ähnlichen Herausforderung?
Generative KI gelangt häufig über öffentlich verfügbare Dienste, Versuche einzelner Mitarbeitender, Produkte von Lieferanten und neue Funktionen in bestehenden Anwendungen in ein Unternehmen.
Cybersecurity Analytics kann Sie dabei unterstützen:
- ✓die Nutzung generativer KI in Ihrem Unternehmen zu verstehen;
- ✓betroffene Informationen und Geschäftsprozesse zu ermitteln;
- ✓KI-bezogene Cybersecurity- und Datenschutzrisiken zu bewerten;
- ✓klare Regeln für Mitarbeitende zu entwickeln;
- ✓angemessene Freigabeprozesse einzuführen;
- ✓KI-Anbieter und integrierte Funktionen zu prüfen;
- ✓verantwortliche Personen festzulegen;
- ✓KI-Governance mit Ihrem bestehenden ISMS zu verbinden;
- ✓dem Management einen besseren Überblick über Chancen und Risiken zu geben.
Generative KI mit klaren Verantwortlichkeiten und praktikablen Kontrollen einführen und steuern.
Kontaktieren Sie uns, um zu besprechen, wie Ihr Unternehmen generative KI mit klaren Verantwortlichkeiten und praktikablen Kontrollen einführen und steuern kann.
Verstehen, wo generative KI eingesetzt wird und welche Informationen beteiligt sind.
Angemessene Prüf- und Freigabeprozesse für KI-Initiativen einführen.
Praktische Regeln für verantwortungsvollen und produktiven KI-Einsatz erstellen.
KI-Governance mit bestehenden Sicherheits- und Risikoprozessen verbinden.
