Auf einen Blick
Ein europäisches Fertigungsunternehmen untersuchte, wie künstliche Intelligenz die Produktionsplanung, Qualitätskontrolle, Anlagenwartung, den Kundenservice und das interne Wissensmanagement unterstützen könnte.
Mehrere Teams hatten bereits mit der Erprobung von KI-Anwendungen begonnen. Einige nutzten öffentlich verfügbare generative KI-Tools. Andere arbeiteten mit Technologieanbietern an einem internen KI-Assistenten, einer automatisierten Dokumentenverarbeitung und Lösungen für die vorausschauende Wartung.
Das Unternehmen sah einen klaren möglichen Nutzen. KI konnte Mitarbeitenden helfen, Informationen schneller zu finden, wiederkehrende Aufgaben zu reduzieren und betriebliche Probleme früher zu erkennen. Die Initiativen entwickelten sich jedoch unterschiedlich schnell und wurden nicht nach einem gemeinsamen Risikoverfahren bewertet.
Informationen über Systeme, Schwachstellen, personenbezogene Daten, Lieferanten und Geschäftsprozesse waren vorhanden. Sie wurden jedoch von unterschiedlichen Teams verwaltet und nicht durchgehend miteinander verbunden.
Dadurch waren einige grundlegende Fragen nur schwer zu beantworten:
- ?Welche Geschäftsprozesse würden von den geplanten KI-Lösungen abhängen?
- ?Welche Informationen würden für Training, Eingaben oder den Betrieb verwendet?
- ?Könnten vertrauliche, personenbezogene oder produktionsbezogene Daten offengelegt werden?
- ?Welche Anwendungen und Infrastrukturkomponenten unterstützten den jeweiligen Anwendungsfall?
- ?Welche externen Anbieter könnten auf Unternehmensinformationen zugreifen?
- ?Was würde geschehen, wenn ein KI-Ergebnis falsch oder irreführend wäre?
- ?Welche Kontrollen waren vorhanden und welche Schutzmaßnahmen fehlten?
- ?Wer war für Freigabe und Überwachung verantwortlich?
Wir unterstützten den Kunden beim Aufbau eines vernetzten Cyber-Modells. Dieses verband KI-Anwendungsfälle mit Geschäftsprozessen, Anwendungen, Daten, Infrastruktur, Lieferanten, Cyberrisiken, Kontrollen und verantwortlichen Personen.
Das Modell traf keine automatischen Freigabeentscheidungen. Es gab den beteiligten Teams eine gemeinsame Grundlage, um Abhängigkeiten zu erkennen, Risiken zu besprechen und angemessene Schutzmaßnahmen festzulegen.
Über den Kunden
Diese Fallstudie beschreibt ein repräsentatives und anonymisiertes Kundenszenario. Ausgewählte Betriebsdetails und Ergebnisse wurden zum Schutz der Vertraulichkeit angepasst.
Die Herausforderung
Die KI-Projekte waren nicht über einen einheitlichen Prozess entstanden. Verschiedene Abteilungen testeten unterschiedliche Lösungen, während einzelne Mitarbeitende bereits öffentliche KI-Anwendungen für alltägliche Aufgaben einsetzten.
Ein KI-Anwendungsfall konnte isoliert betrachtet wenig riskant erscheinen. Im größeren Zusammenhang konnte dieselbe Lösung jedoch vertrauliche Konstruktionsunterlagen verarbeiten, auf Kundendaten zugreifen oder von einem externen Modellanbieter abhängen.
Die bestehenden Risiko- und Asset-Register zeigten diese Beziehungen nicht ausreichend.
Die wichtigsten Probleme waren:
Was der Kunde erreichen wollte
Das Projekt hatte sechs Hauptziele:
Ein verlässliches Verzeichnis geplanter, aktiver und experimenteller KI-Anwendungsfälle erstellen.
Jeden Anwendungsfall mit Geschäftszweck, Systemen, Daten, Modellen und Lieferanten verbinden.
Cyber-, Datenschutz- und Betriebsrisiken gemeinsam bewerten.
Die erforderlichen Kontrollen vor der Freigabe festlegen.
Klare fachliche, technische und risikobezogene Verantwortlichkeiten zuweisen.
Wesentliche Änderungen als Auslöser für eine erneute Prüfung definieren.
Was wir getan haben
Wir begannen mit dem geschäftlichen Zweck
Für jeden Anwendungsfall klärten wir das zu lösende Problem, die vorgesehenen Nutzer, die unterstützten Entscheidungen, den erwarteten Nutzen und die möglichen Folgen fehlerhafter Ergebnisse.
Wir entwickelten eine gemeinsame Struktur für KI-Anwendungsfälle
Jeder Eintrag enthielt Zweck, Geschäftsprozess, Anwendungen, Infrastruktur, Modell, Daten, Nutzer, Lieferanten, Verantwortliche, Risiken, Kontrollen und Freigabestatus.
Wir verbanden die KI-Anwendungsfälle mit Daten und Technologie
Das Modell zeigte, wo Informationen entstanden, wie sie den KI-Dienst erreichten, wo Ergebnisse gespeichert wurden und welche Prozesse diese Ergebnisse nutzten.
Wir bewerteten KI- und Cyberrisiken gemeinsam
Die Bewertung umfasste unberechtigte Zugriffe, Datenoffenlegung, manipulierte Eingaben, unzuverlässige Ergebnisse, übermäßige Automatisierung, Lieferantenausfälle und fehlende Nachvollziehbarkeit.
Wir prüften die tatsächliche Wirksamkeit der Kontrollen
Für jede wesentliche Kontrolle wurden Geltungsbereich, Verantwortliche, erforderliche Nachweise, Prüffrequenz, bekannte Einschränkungen und verbleibendes Risiko dokumentiert.
Wir führten einen verhältnismäßigen Freigabeprozess ein
Nutzungen wurden in drei Kategorien unterteilt: geringe Auswirkung, kontrollierte geschäftliche Nutzung und hohe Auswirkung. Die Anforderungen richteten sich nach Daten, Integration, geschäftlicher Bedeutung und möglichem Schaden.
Wir definierten Überwachung und Änderungsauslöser
Neue Datenquellen, zusätzliche Nutzer, Anbieterwechsel, geänderte Entscheidungen, Vorfälle und Ausfälle wichtiger Kontrollen lösten eine erneute Prüfung aus.
Wir verbesserten die Berichterstattung
Das Management erhielt einen Überblick über aktive Anwendungsfälle, sensible Daten, hohe Risiken, fehlende Kontrollen, Lieferantenabhängigkeiten, Ausnahmen und erforderliche Entscheidungen.
Was wir geliefert haben
- ✓ein zentrales Verzeichnis der KI-Anwendungsfälle;
- ✓ein vernetztes Modell aus KI-Lösungen, Prozessen, Anwendungen, Daten und Lieferanten;
- ✓eine gemeinsame Methode zur Risikoanalyse;
- ✓risikobasierte Freigabewege;
- ✓klar definierte Verantwortlichkeiten;
- ✓eine Kontrollbibliothek mit Nachweisen und Prüfterminen;
- ✓Änderungsauslöser und Regeln für Neubewertungen;
- ✓Ausnahme- und Eskalationsverfahren;
- ✓Berichtsvorlagen für Management und Projektteams;
- ✓praktische Pflegehinweise für das Modell.
Die Ergebnisse
Innerhalb von neun Monaten:
Diese Werte gehören zum repräsentativen Szenario.
Was sich für den Kunden verändert hat
Das Unternehmen erhielt einen gemeinsamen Überblick über seine KI-Aktivitäten, konnte Risiken im geschäftlichen Zusammenhang bewerten und Verantwortlichkeiten klar zuweisen. Unterschiedliche Freigabewege sorgten dafür, dass kleine Tests nicht wie geschäftskritische Lösungen behandelt wurden. Änderungen an Daten, Modellen und Lieferanten konnten zudem frühzeitig eine erneute Prüfung auslösen.
Was wir gelernt haben
- ✓Die Bewertung muss mit dem Geschäftszweck und nicht mit dem Modell beginnen.
- ✓KI-Risiken sind mit bestehenden Cyberrisiken verbunden.
- ✓Ein nützliches KI-Verzeichnis braucht mehr als Produktnamen.
- ✓Automatisierung setzt verlässliche Quelldaten voraus.
- ✓Menschliche Kontrolle muss konkret definiert werden.
- ✓Eine Freigabe gilt nicht unbegrenzt.
Kundenkommentar
„Vor diesem Projekt wurden unsere KI-Initiativen von verschiedenen Teams getrennt betrachtet. Das vernetzte Modell zeigte uns, wo eine Lösung von sensiblen Daten, wichtigen Systemen und externen Anbietern abhängig war. Dadurch konnten wir sinnvolle Vorhaben unterstützen und gleichzeitig Schutzmaßnahmen und Verantwortlichkeiten klarer festlegen.“
Dieses Zitat ist ein Beispiel für das repräsentative Kundenszenario.
Fazit
Das Unternehmen benötigte nicht für jedes KI-Experiment ein weiteres separates Risikoregister. Es brauchte eine verständliche Darstellung der Zusammenhänge.
Durch die Verbindung von KI-Anwendungsfällen mit Geschäftsprozessen, Daten, Anwendungen, Lieferanten, Kontrollen und Verantwortlichen entstand eine belastbare Entscheidungsgrundlage. KI-Governance wurde dadurch Teil des bestehenden Cyber- und Geschäftsrisikomanagements.
Stehen Sie vor einer ähnlichen Herausforderung?
Cybersecurity Analytics kann Sie dabei unterstützen:
- ✓KI-Anwendungsfälle organisationsweit zu erfassen;
- ✓KI-Initiativen mit Daten, Anwendungen und Prozessen zu verbinden;
- ✓KI-, Cyber-, Datenschutz- und Betriebsrisiken gemeinsam zu bewerten;
- ✓Lieferanten- und Technologieabhängigkeiten zu erkennen;
- ✓angemessene Kontrollen und Freigabewege zu definieren;
- ✓klare Verantwortlichkeiten festzulegen;
- ✓automatisierte Überwachung mit menschlicher Kontrolle zu verbinden;
- ✓dem Management ein klareres Bild der KI-bezogenen Geschäftsrisiken zu geben.
