Jede Organisation, die mit KI arbeitet, verarbeitet Daten, die zuvor nur intern oder überhaupt nicht aufbewahrt wurden. Prompts, Uploads, Zwischenergebnisse, Logdateien von Modellen, die Sie selbst nicht hosten. Die Frage ist nicht, ob darin Risiken stecken, sondern ob Ihre Organisation weiß, wo diese Risiken liegen und wer etwas daran ändern kann. Das ist eine andere Frage, als ob Sie eine Datenschutzrichtlinie haben. Richtlinien auf dem Papier und Reifegrad in der Praxis klaffen bei KI oft weit auseinander, weil sich die Technologie schneller verändert als die Verfahren, die sie begleiten sollen.
Datenschutz und Sicherheit sind in der Reifegradmessung eine von sieben Dimensionen, neben unter anderem Organisation, IT-Infrastruktur und Datenmanagement. Diese letzten drei sind fundamental: Sie bestimmen, ob eine Basis vorhanden ist, auf der der Rest aufbauen kann. Datenschutz und Sicherheit sind davon teilweise abhängig. Eine Organisation mit schwachem Datenmanagement weiß oft nicht einmal, welche Daten in eine KI-Anwendung gelangen, geschweige denn, ob das regelkonform geschieht. Deshalb hat es wenig Sinn, an Verschlüsselung oder Zugriffsverwaltung zu feilen, bevor klar ist, welche Daten wo liegen und wer dafür verantwortlich ist. Die Reihenfolge ist keine Frage der Vorliebe; es ist die Reihenfolge, in der es funktioniert.
Auf der Baseline-Stufe existiert keine explizite Richtlinie für KI und Daten. Was geschieht, geschieht ad hoc, meist außerhalb des Blickfelds der Verantwortlichen.
Auf der Foundation-Stufe gibt es eine Grundrichtlinie, oft aus bestehenden Datenschutzrichtlinien übernommen, ohne dass sie darauf zugeschnitten ist, was KI-Anwendungen anders macht. Es gibt Bewusstsein, aber keine Kontrolle.
Auf der Activation-Stufe gibt es konkrete Regeln dafür, welche Daten in welche KI-Anwendung dürfen, und dies wird überwacht. Zugriffsverwaltung und Datenklassifizierung sind eingerichtet, nicht nur beschrieben.
Auf der Insight-Stufe wird sichtbar, wie sich KI-Anwendungen in der Praxis verhalten: welche Daten sie tatsächlich verarbeiten, wo Abweichungen zwischen Richtlinie und Nutzung entstehen. Es gibt ein Monitoring, das etwas liefert, nicht nur ein Dashboard, das niemand einsieht.
Auf der Intelligence-Stufe ist Sicherheit in die Art und Weise eingebaut, wie neue KI-Anwendungen beurteilt und zugelassen werden, bevor sie in Gebrauch kommen. Risikoeinschätzung ist kein separater Schritt mehr, sondern Teil davon, wie Entscheidungen getroffen werden.
Die meisten Organisationen, deren KI-Pilotprojekte ins Stocken geraten, erweisen sich bei näherer Betrachtung als zwischen Foundation und Activation schwankend: Es gibt eine Richtlinie, aber niemand kann mit Sicherheit sagen, ob sie befolgt wird.
Es gibt ein paar Anzeichen, die, unabhängig von jeder Bewertung, etwas darüber aussagen, wo Sie stehen. Wenn niemand in Ihrer Organisation genau benennen kann, welche KI-Anwendungen derzeit im Einsatz sind, stehen Sie wahrscheinlich auf Baseline oder Foundation. Wenn das zwar bekannt ist, aber die Antwort auf „welche Daten dürfen dort hinein“ von Team zu Team unterschiedlich ausfällt, befinden Sie sich auf Foundation oder Activation. Wenn Sie wissen, welche Daten wohin dürfen, aber nicht wissen, ob das in der Praxis auch so geschieht, stehen Sie auf Activation und Insight wartet auf Sie. Und wenn Sicherheit standardmäßig bei jeder neuen Anwendung mitgedacht wird, ohne dass dafür ein separater Prozess nötig ist, bewegen Sie sich in Richtung Intelligence.
Diese Selbsteinschätzung ist ein Anhaltspunkt, kein Ersatz für die Plot-Runde. Der Nutzen dieser Runde liegt genau in dem, was eine individuelle Einschätzung nicht zeigt: die Streuung. Wenn ein CISO diese Dimension auf Activation einstuft und ein Abteilungsleiter auf Baseline, ist dieser Unterschied selbst die Information. Er bedeutet, dass Richtlinie und Praxis nicht zusammenpassen, oder dass das Wissen darüber, was erlaubt ist und was nicht, nicht überall gleich weit durchgedrungen ist.
Der Schritt von Foundation zu Activation erfordert selten ein größeres Budget für Sicherheitssoftware. Oft erfordert er klare Vereinbarungen darüber, wer entscheiden darf, dass eine KI-Anwendung in Gebrauch kommt, und auf Basis welcher Daten. Das betrifft, wie die Organisation aufgestellt ist: Ohne einen klaren Verantwortlichen für solche Entscheidungen bleibt eine Richtlinie ein Dokument ohne Durchsetzung. Es betrifft auch das Datenmanagement, denn ohne Überblick über Ihre Daten können Sie nie mit Sicherheit sagen, was eine KI-Anwendung zu sehen bekommt. Und es betrifft die Ethik, denn die Frage, was mit KI-Nutzung zulässig ist und was nicht, erweist sich selten als eine rein technische Frage.
Was eine Stufe höher kostet, hängt davon ab, wo die Organisation jetzt steht und welche Grundstruktur bereits vorhanden ist. Eine Organisation mit gutem Datenmanagement und einer klaren Organisationsstruktur benötigt für diese Dimension relativ wenig zusätzlichen Aufwand; eine Organisation, die bei beiden fundamentalen Dimensionen niedrig abschneidet, wird diese zunächst angehen müssen, bevor sich Datenschutz und Sicherheit strukturell verbessern. Auch das ist ein Grund, warum die sieben Dimensionen nicht losgelöst voneinander zu lesen sind: Menschen und Fähigkeiten spielen hier ebenfalls eine Rolle, was Sie auf der Seite über wie ausgereift das Wissen der Mitarbeitenden über KI-Risiken ist nachlesen können, und bei der Frage, wie ausgereift das Leistungsmanagement rund um KI-Nutzung organisiert ist, denn ohne Nachverfolgung bleibt auch die beste Sicherheitsrichtlinie Theorie.
Die Reifegradmessung, einschließlich der Plot-Runde für diese und die anderen sechs Dimensionen, befindet sich im Aufbau. Wer die Messung nutzen möchte, sobald sie verfügbar ist, kann sich auf die Warteliste setzen lassen.
Diese Seite behandelt, ob Ihre Organisation KI tragen kann: ob die Basis vorhanden ist, um sicher und verantwortungsvoll mit Daten umzugehen, sobald KI diese Daten berührt. Sie behandelt nicht, welche Aufgaben KI Ihren Mitarbeitenden abnehmen könnte. Diese Frage beantwortet der Werkscan von FTE TO AI, der pro Aufgabe berechnet, welcher Anteil davon an KI übertragen werden kann. Diese Berechnung hat nur dann Wert, wenn die Frage, die diese Seite stellt, bereits mit ruhigem Gewissen beantwortet werden kann.
Vraag maar wat er moet staan voordat AI in uw organisatie kan landen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.