Die fünf Risiken im Zusammenhang mit der KI-Governance, auf die Unternehmen achten müssen

Gerade jetzt nutzt irgendwo in Ihrem Unternehmen ein Mitarbeiter ein KI-Tool, um seine Arbeit zu erledigen. Möglicherweise fassen sie einen Kundenvertrag zusammen. Vielleicht analysieren sie gerade die Finanzdaten. Möglicherweise arbeiten sie gerade an einer Antwort auf eine behördliche Anfrage. Sie sind damit nicht allein: 41% der Beschäftigten nutzen bereits generative KI für ihre Arbeit. Künstliche Intelligenz ist nicht mehr nur eine Option. Die Unternehmensleitung hat dies gefördert. So wird die Arbeit heute erledigt. Es geht nicht nur darum, dass die Lösung eingeführt wird, sondern darum, dass sie in alle Teams und Arbeitsabläufe integriert wird. Die Produktivitätsvorteile sind unbestritten, doch ebenso unbestritten sind die dadurch entstehenden Lücken in der Unternehmensführung. 

Jeder andere Kommunikationskanal in Ihrem Unternehmen – E-Mail, Slack, Teams – ist in eine Compliance-Infrastruktur eingebunden, deren Aufbau Zeit in Anspruch genommen hat. Bei KI-Gesprächen ist dies nicht der Fall. Noch nicht. Und genau das wird zum blinden Fleck jedes Compliance-Programms. Solche Gespräche finden täglich in großem Umfang innerhalb Ihres Unternehmens statt. Und in den meisten Fällen hat Ihr Compliance-Team keinerlei Einblick in all dies.

Das ist kein Problem, das erst in Zukunft auftreten wird. Es handelt sich um ein aktuelles Exemplar. Im Folgenden werden fünf Governance-Risiken vorgestellt, die sich bereits konkretisieren, sowie entsprechende Maßnahmen zu deren Bewältigung.

Risiko 1: Unvorhersehbare regulatorische Risiken

Das regulatorische Umfeld im Bereich der künstlichen Intelligenz wurde im Jahr 2026 deutlich verschärft. Die Frist für die Umsetzung des KI-Gesetzes der Europäischen Union für KI-Systeme mit hohem Risiko läuft im August ab. Die Securities and Exchange Commission (SEC) hat die KI-Governance zu einer obersten Priorität bei ihren Prüfungen erhoben. Das NIST hat im April aktualisierte Leitlinien zum Risikomanagement im Bereich der künstlichen Intelligenz für kritische Infrastrukturen veröffentlicht. Allein Finanzdienstleistungsunternehmen sahen sich innerhalb eines single Jahres mit 157 AI-bezogenen regulatorischen Änderungen konfrontiert.

Der rote Faden: Die Aufsichtsbehörden fragen nicht mehr, ob Unternehmen über eine KI-Strategie verfügen. Es wird gefragt, ob Organisationen nachweisen können, dass sie über eine ordnungsgemäße Unternehmensführung verfügen. Richtlinien auf dem Papier reichen nicht aus. Die Prüfer werden Nachweise zur Rückverfolgbarkeit verlangen, darunter Protokolle, Aufzeichnungen und Kontrollmaßnahmen. Die meisten Organisationen sind nicht in der Lage, diese zu erstellen.

Risiko 2: Die rechtliche Lücke

Hier ist eine Frage, die Ihr Rechtsteam möglicherweise noch nicht berücksichtigt hat: Wenn morgen ein Auskunftsersuchen im Rahmen eines Beweisverfahrens oder ein Antrag auf Auskunftserteilung durch die betroffene Person (DSAR) eingehen würde, könnte Ihr Team darauf antworten und dabei die KI-Konversationen einbeziehen?

KI-Gespräche können als auffindbare Inhalte dienen. Die von den Mitarbeitern gesendeten Anfragen, die Antworten, die sie erhalten, sowie die von ihnen erstellten Dokumente – all dies kann Gegenstand von Aufbewahrungspflichten, Vorladungen, Offenlegungspflichten und Verpflichtungen im Rahmen von DSAR-Anfragen sein. Dennoch verfügen die meisten Organisationen über keine Mechanismen zur Aufbewahrung, Suche oder Bereitstellung von KI-Inhalten. E-Mails unterliegen bereits seit Jahrzehnten einer Governance-Infrastruktur. KI-basierte Konversationen, in denen mittlerweile einige der folgenreichsten Austauschvorgänge in der Geschäftswelt stattfinden, bringen Herausforderungen hinsichtlich der Governance und der Nachverfolgbarkeit mit sich, die bei E-Mails nie aufgetreten sind.  

Risiko 3: Datenfluss durch KI-Systeme ohne Überwachung sensibler Daten und der Einhaltung von Richtlinien

Ihre Richtlinien zur Verhinderung von Datenverlusten gelten auch für E-Mails. Sie befassen sich mit der Dateiübertragung. Sie decken wahrscheinlich Slack und Teams ab. Doch wenn ein Mitarbeiter die Sozialversicherungsnummer eines Kunden, eine Produkt-Roadmap oder ein Term Sheet für eine Fusion und Übernahme in eine KI-Konversation einfügt – erkennt Ihre Richtlinien-Engine dies?

Für die meisten Organisationen lautet die Antwort „nein“. Und bei denjenigen, deren Überwachung nur teilweise abgedeckt ist, macht es die Komplexität ihrer Umgebungen schwierig, festzustellen, wo die Lücken liegen. KI-Tools haben sich zu einem wichtigen Kanal für sensible Daten entwickelt, oft ohne dass sich die Mitarbeiter der damit verbundenen Auswirkungen auf die Datenverwaltung bewusst sind. Personenbezogene Daten, vertrauliches geistiges Eigentum, Finanzdaten und regulierte Informationen fließen täglich durch KI-Konversationen – außerhalb der Kontrollmechanismen, denen alle anderen Kommunikationskanäle im Unternehmen unterliegen.

Risiko 4: Richtlinien zur zulässigen Nutzung, die nicht durchgesetzt werden können

Zahlreiche Organisationen haben rasch Maßnahmen ergriffen, um Richtlinien zur zulässigen Nutzung von KI zu veröffentlichen. Der Aufbau eines Mechanismus zur Überwachung der Einhaltung der Vorschriften erweist sich als schwieriger. Eine Richtlinie, die die Weitergabe vertraulicher Kundendaten an KI-Tools untersagt, ist nur dann sinnvoll, wenn festgestellt werden kann, wann gegen diese Richtlinie verstoßen wird.

Ohne die Möglichkeit, KI-Inhalte zu überwachen, sind Richtlinien zur zulässigen Nutzung praktisch nicht durchsetzbar – ein reiner „Abhakpunkt“ im Bereich der Unternehmensführung, der eine trügerische Sicherheit vermittelt. Sollte etwas schiefgehen, bietet Ihnen die Police keinen Schutz. Das Fehlen einer Überwachung bestimmt das Ausmaß Ihres Risikos.

Risiko 5: Insiderrisiko durch KI

Dies ist das Risiko, das Compliance-Teams in der Regel am meisten überrascht. KI-Tools nehmen nicht nur sensible Informationen entgegen. Sie können dazu veranlasst werden, bei der Umgehung von Kontrollen mitzuwirken. Ein unter Druck stehender Mitarbeiter kann die KI bitten, einen Entwurf für ein Genehmigungsschreiben für einen Lieferanten zu erstellen, der nicht den Beschaffungsprozess durchlaufen hat, eine Bestellung zu generieren, die die Prüfung durch die Finanzabteilung umgeht, oder Dokumente zu erstellen, die zwar echt wirken, es aber nicht sind.

Die KI wird sich oft daran halten, manchmal mit Einschränkungen, manchmal ohne. Und da diese Interaktionen möglicherweise außerhalb der Governance-Infrastruktur stattfinden, werden sie unter Umständen erst sichtbar, wenn die Zahlung bereits erfolgt ist, die Daten bereits weitergegeben wurden oder die Prüfung bereits begonnen hat.

Die Lücke schließen

Der Auftrag bleibt bestehen. Ebenso wenig gilt dies für die Verpflichtung zur Einhaltung der Vorschriften. Die Unternehmen, die am besten dafür gerüstet sind, Risiken im Zusammenhang mit der KI-Governance zu bewältigen, warten nicht darauf, dass regulatorische Maßnahmen siezum Handeln zwingen, sondern erweitern ihre bestehende Governance-Infrastruktur, um nun auch KI-bezogene Gespräche und Inhalte einzubeziehen.

Manche Organisationen gehen zwar davon aus, dass sie mit ihrer derzeitigen Technologielösung bereits gut aufgestellt sind, doch die meisten Unternehmen setzen heutzutage mehrere KI-Lösungen ein. Ein Governance-Rahmen, der auf dem Ökosystem eines einzigen Anbieters basiert, birgt Risiken für die anderen. Aus diesem Grund sieht eine umfassende Governance-Lösung, die alle KI-Interaktionen abdeckt – unabhängig davon, welches Modell oder welche Plattform diese erzeugt hat –, tatsächlich so aus.

Unternehmen, die dies richtig umsetzen, werden die KI-Governance nicht als separaten Arbeitsbereich behandeln. Sie werden erkennen, was die besten Sicherheitsverantwortlichen bereits wissen: Der Schutz der Arbeitsweise der Menschen war schon immer die eigentliche Aufgabe. Menschen, Daten und KI sind keine drei getrennten Probleme, die es zu lösen gilt. Sie sind eins. 

Genau das ermöglicht Mimecast GCI nun. Dank der Claude Compliance API und des Claude Enterprise-Konnektors können Unternehmen KI-Konversationen zusammen mit allen anderen Datenquellen in ihrem Compliance-Stack aufbewahren, durchsuchen, archivieren und auswerten. Keine neuen Werkzeuge. Keine neuen Arbeitsabläufe. Eine einzige, unified Governance-Lösung, die nun auch Unternehmens-KI umfasst.

Erfahren Sie hier mehr über Mimecast GCI und die Ankündigung der Claude Compliance API.