Künstliche Intelligenz braucht Regeln und Rahmenbedingungen: Warum Governance über die Politik hinausgehen muss

Autobahnen sind nicht allein deshalb sicher, weil sich die Fahrer an die Verkehrsregeln halten. Sie hängen auch von Geschwindigkeitsbegrenzungen, Fahrbahnmarkierungen und Leitplanken ab, die einen reibungslosen Verkehrsfluss gewährleisten und dazu beitragen, dass Fehler nicht zu schweren Unfällen führen.

Die Governance von KI funktioniert nach demselben Prinzip. Richtlinien legen die Regeln fest, aber operative Kontrollen sorgen dafür, dass Organisationen auf Kurs bleiben, wenn sich Technologie, Nutzer und Risiken ändern.

Da Unternehmen die Einführung künstlicher Intelligenz (KI) beschleunigen, konzentrieren sich viele auf die Entwicklung von Richtlinien, Governance-Rahmenwerken und Nutzungsrichtlinien. Dies sind notwendige erste Schritte. Richtlinien allein können jedoch nicht verhindern, dass KI-Systeme auf fehlerhafte Daten zugreifen, mit ungeeigneten Anwendungen interagieren oder unbeabsichtigte Betriebsrisiken verursachen.

Mit dem Europäischen Gesetz über Künstliche Intelligenz (EU-KI-Gesetz) wurde die Governance von KI zu einem Thema auf Vorstandsebene gemacht. Organisationen, die KI nutzen oder entwickeln, sind verpflichtet, Risiken zu identifizieren, zu managen und zu dokumentieren, insbesondere bei Hochrisikosystemen.

Dies hat zu neuen Erwartungen hinsichtlich Aufsicht, Dokumentation, Daten-Governance und Transparenz geführt. Regulierung allein wird jedoch die größte praktische Herausforderung nicht lösen: Die Einführung von KI schreitet schneller voran als die Regulierung.

Mitarbeiter nutzen generische KI-Tools, Entwickler greifen auf Programmierassistenten zurück und Business-Teams implementieren KI-Funktionen auf bestehenden Plattformen. Oftmals werden diese Technologien eingeführt, bevor die Sicherheits-, Compliance- und Risikoteams ein umfassendes Verständnis davon haben, worauf sie zugreifen können, welche Systeme betroffen sind und wie sie das Gesamtrisikoprofil des Unternehmens verändern.

Hier liegt die Kluft zwischen den Ambitionen der Organisationen und der operativen Realität. Organisationen verfügen zwar möglicherweise über Anwendungsfälle für KI und genehmigte Governance-Rahmenwerke, regeln aber oft nur einen Teil der KI, die tatsächlich im gesamten Unternehmen eingesetzt wird.

Die Überbrückung dieser Lücke beginnt damit, künstliche Intelligenz als operative Herausforderung und nicht bloß als Compliance-Angelegenheit zu betrachten. In der Praxis erfordert dies, über reine Richtlinien hinauszugehen, ein Verständnis dafür, wie KI eingesetzt wird, die Anwendung von Kontrollmechanismen entsprechend den Geschäftsrisiken und die Anpassung der Governance an die sich entwickelnden Fähigkeiten der KI.

Versteckte KI verändert die Herausforderungen der Regierungsführung

Traditionelle Unternehmensführung geht davon aus, dass Organisationen die im gesamten Unternehmen eingesetzten Technologien kennen. Künstliche Intelligenz hat diese Realität verändert. Versteckte KI beschränkt sich nicht mehr darauf, dass Mitarbeiter mit öffentlichen Tools experimentieren.

Dazu gehören auch eingebettete KI-Funktionen, die durch regelmäßige Software-Updates bereitgestellt werden, KI-gestützte Workflows, die von Anwendern erstellt werden, sowie unabhängige Agenten, die unternehmensweit in Systemen agieren, ohne als formale KI-Projekte behandelt zu werden. Diese Funktionen werden oft schneller eingeführt, als Governance-Prozesse sie identifizieren, bewerten und verwalten können.

Künstliche Intelligenz unterstützt heute nicht nur Mitarbeiter, sondern agiert auch in ihrem Namen. KI-Agenten können Informationen abrufen, Arbeitsabläufe aktivieren, mit Unternehmenssystemen interagieren und operative Entscheidungen treffen, indem sie Berechtigungen nutzen, die sie von den Personen oder Systemen, die sie repräsentieren, geerbt haben.

Aus diesem Grund hat sich die Angriffslandschaft in Unternehmen dramatisch verändert. Sicherheitsteams schützen nicht mehr nur Personen, Geräte und Anwendungen, sondern sichern auch autonome Systeme, die in der Lage sind, sich in Umgebungen zu bewegen, auf sensible Informationen zuzugreifen, mit kritischen Arbeitsabläufen zu interagieren und selbstständig Entscheidungen zu treffen.

Jeder neue KI-Agent stellt eine weitere potenzielle Angriffsfläche für versehentlichen Missbrauch oder böswillige Aktivitäten dar, wenn er nicht ordnungsgemäß reguliert wird.

Die Organisation legt die Regeln fest. Der Kontext formt die Wege.

Das EU-KI-Recht legt großen Wert auf Rechenschaftspflicht, Aufsicht und Risikomanagement während des gesamten KI-Lebenszyklus. Um diese Erwartungen zu erfüllen, bedarf es jedoch weit mehr als nur Dokumentation.

Die Vorschriften definieren die Ergebnisse, die Organisationen erzielen müssen; die Herausforderung besteht darin, diese Anforderungen in eine operative Steuerung in Umgebungen umzusetzen, in denen sich künstliche Intelligenz ständig weiterentwickelt.

Dies beginnt mit dem Verständnis von künstlicher Intelligenz im Kontext. Risiken lassen sich nicht beurteilen, wenn man ein KI-System isoliert betrachtet. Ein KI-Assistent, der interne Dokumente zusammenfasst, mag zunächst ein relativ geringes Risiko darstellen, bis er Zugriff auf vertrauliche Geschäftsinformationen erhält.

In ähnlicher Weise kann ein KI-Agent, der die Beschaffung automatisiert, unter normalen Umständen sicher funktionieren, aber sein Risikoprofil ändert sich dramatisch, wenn er Finanztransaktionen genehmigen, privilegierte Identitäten erben oder Aktionen in kritischen Geschäftssystemen initiieren kann.

Die Definition von Risiko geht über die künstliche Intelligenz selbst hinaus und umfasst die damit verbundenen Identitäten, Anwendungen, Infrastrukturen, Daten und Geschäftsprozesse. Da KI zunehmend mit diesen Systemen vernetzt wird, ist sie immer stärker mit der Cybersicherheit verknüpft.

Innovation braucht Regeln und Grundlagen.

Künstliche Intelligenz wird die Arbeitsweise, Innovationskraft und Wettbewerbsfähigkeit von Organisationen weiterhin grundlegend verändern. Doch die Organisationen, die das volle Potenzial der KI ausschöpfen werden, sind nicht diejenigen mit den umfangreichsten Strategiepapieren.

Sie werden diejenigen sein, die Governance in den täglichen Betrieb integrieren, KI-Identitäten und -Berechtigungen mit der gleichen Disziplin verwalten, die sie auch bei anderen kritischen Assets anwenden, und die Kontrollen kontinuierlich an die technologische Entwicklung anpassen.

Das KI-Gesetz der EU hat die Erwartungen hinsichtlich der Rechenschaftspflicht erhöht, aber Institutionen, die über bloße Richtlinien und deren Einhaltung hinausgehen, werden am besten in der Lage sein, das volle Potenzial der künstlichen Intelligenz auszuschöpfen.

Im Zeitalter der autonomen künstlichen Intelligenz geht es bei der Unternehmensführung nicht mehr nur um die Festlegung von Regeln, sondern um den Aufbau von Schutzmechanismen, die es Organisationen ermöglichen, selbstbewusst Innovationen voranzutreiben, ohne die Sicherheit, das Vertrauen oder die Widerstandsfähigkeit zu gefährden.

Wir haben die besten KI-gestützten Website-Baukästen getestet.