Ethische und datenschutzrechtliche Erwägungen beim KI-Einsatz Vertrauen in KI oder Zero-Trust?

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

KI schafft neue Cybergefahren: Fehlende Transparenz und erzwungenes Vertrauen kollidieren mit Zero-Trust-Strategien und strengen Vorgaben wie DSGVO und NIS-2. Ein sicherer KI-Einsatz, zum Beispiel auch um SAP-Umfeld, erfordert konsequente Systemhärtung, klare Richtlinien und menschliche Aufsicht – für verlässliche Security und Compliance.

Künstliche Intelligenz analysiert riesige Datenmengen und trifft Entscheidungen auf der Grundlage von Mustern, die manchmal schwer zu verstehen sind. Dieser Mangel an Transparenz kann ein Problem für Unternehmen sein, die Vorschriften und Standards einhalten müssen, welche von ihnen verlangen, dass sie in der Lage sind, ihre Sicherheits­entscheidungen zu erklären. Gemäß der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union müssen Unternehmen beispielsweise in der Lage sein, die Logik hinter automatisierten Entscheidungen zu erklären, die Einzelpersonen betreffen.

ChatGPT im Unternehmenseinsatz

Lässt sich ChatGPT datenschutzgerecht nutzen?

Ein weiteres der größten Risiken von KI in der Bedrohungslandschaft der Cybersicherheit ist die Ungewissheit über ihre Ergebnisse. KI-Systeme treffen Entscheidungen auf der Grundlage der Daten und Algorithmen, mit denen sie trainiert wurden. Menschen verifizieren die Ergebnisse nicht immer. Dieser Prozess kann zu einer Situation führen, in der Menschen der KI blind vertrauen müssen, ohne vollständig zu verstehen, wie oder warum sie eine bestimmte Entscheidung getroffen hat.

Dieses Maß an Vertrauen ist ein grundlegender Konflikt mit den weit verbreiteten Zero-Trust-Strategien in der Cybersicherheit. Diese betonen, wie wichtig es ist, jede (Zugriffs-)Anfrage unabhängig von der Quelle zu verifizieren und zu authentifizieren. Mit zunehmender Reife der KI wird die Überprüfung der erzielten Ergebnisse aber immer schwieriger, wenn nicht sogar unmöglich.

Bei KI ist nicht immer ersichtlich, welche Absicht hinter einer bestimmten Antwort steckt. Es wird zur Herausforderung, die Richtigkeit und Authentizität der von KI-Systemen generierten Informationen zu überprüfen. Solange eine Aussage Sinn ergibt, könnte man es als unerheblich betrachten, wie die KI zu ihr gelangt. Problem: Es gibt Regularien wie NIS-2 oder die GDPDR, die nach genau diesem Zustandekommen fragen und – wenn es nicht hergeleitet werden kann – die Aussage nicht gelten lassen. Die Lösung bestünde dann darin, KI-Einsatz nur dort zuzu­lassen, wo es solche Regularien nicht gibt. SAP definiert konkret Fälle mit hohem Risiko und legt fest, dass sie nicht von KI berührt werden sollen. Zu den Richtlinien des Unternehmens gehört die Verarbeitung personenbezogener Daten (in Bezug auf eine natürliche Person) und sensibler Daten (in Bezug auf sexuelle Orientierung, Religion oder biometrische Daten wie Gesichtsanalyse (face imaging) oder Spracherkennung).

Datenschutz als Mehrwert für KI

Warum der Datenschutz der Künstlichen Intelligenz doppelt hilft

Höheres Maß an Schutz und Bewusstsein ist erforderlich

Sicherheitsorganisationen müssen bei der Interaktion mit KI-Systemen Vorsicht walten lassen und eine hohe Skepsis bewahren. Die Herausforderung, bösartige KI-Systeme zu erkennen, wird nur noch größer werden, wenn KI-Technologien weiterentwickelt und immer vernetzter werden. Mit ihrer zunehmenden Intelligenz könnten sie bald in der Lage sein, dynamisch auf Ereignisse innerhalb von Organisationen zu reagieren. Zum Beispiel können Beschäftigte scheinbar legitime Nachrichten von einem KI-System erhalten, das vorgibt, zum Support-Team zu gehören, das sich aufgrund einer geplanten Wartung gemeldet hat.

Dies unterstreicht, wie wichtig es ist, bei der Erkennung und Abwehr bösartiger KI-Systeme proaktiv vorzugehen, mit anderen Worten, sein (SAP-)System entsprechend zu härten: Angriffsfläche reduzieren durch Patch Management, sicherheitskonforme Systemkonfiguration und sicherer Custom Code. Wer diese drei Komponenten der Systemhärtung anwendet, hat damit die Voraussetzung für eine KI-gesteuerte SAP-Security geschaffen.

Essenziell sind außerdem Schulungen darüber, wie man potenzielle Social-Engineering-Angriffe erkennt und darauf reagieren kann. Sie sollten münden im Ausarbeiten entsprechender Leitlinien und der konkreten Anpassung interner Abläufe. Etwa derart, dass auf Links auch in internen E-Mails verzichtet werden soll – Absender können manipuliert sein und werden von den meisten als solche nicht erkannt. Hier also besser mit Kollaborationslösungen wie Microsoft Teams oder internen Portalen wie Confluence arbeiten.

DSGVO und AI Act

Keine KI ohne Datenschutz

Beruhigend zu wissen, dass SAP in seinen Leitprinzipien für Künstliche Intelligenz ausdrücklich auf Transparenz hingewiesen hat. Das Unternehmen erklärt: „Unsere Systeme unterliegen spezifischen Standards, die sich nach ihrem technischen Leistungsniveau und ihrem Verwendungszweck richten. Ihre Eingaben, Fähigkeiten, ihr Verwendungszweck und ihre Grenzen werden unseren Kunden klar mitgeteilt.“ Diese zukunftsweisenden Prinzipien werden Kunden beruhigen, die Bedenken hinsichtlich der Einführung von KI-gestützten Technologien haben.

Ein weiterer Ansatz, um Unternehmen dabei zu helfen, ihre KI-Ängste zu lindern, ist die Einführung eines Rahmens für ethische Praktiken. Die Ethikleitlinien der Europäischen Kommission für vertrauenswürdige KI betonen die Bedeutung von Transparenz, Rechenschaftspflicht und menschlicher Aufsicht bei der Entwicklung und dem Einsatz von KI-Systemen. Ein Unternehmen sollte prüfen, inwieweit sie diese in seine internen Policies aufnimmt und damit einen solchen Rahmen schafft.

Risk Management bei KI

EU AI Act als Wegweiser für sichere KI-Systeme

KI hat das Potenzial, unser Leben in vielerlei Hinsicht zu verbessern, aber es ist entscheidend, sie ethisch und sicher zu nutzen. Derzeit wird sie bereits in verschiedenen Branchen eingesetzt, um die Produktivität zu steigern, Aufgaben zu automatisieren und innovative Lösungen zu schaffen. Mit ihrer Weiterentwicklung wird KI immer ausgefeilter in Geschäftsanwendungen wie ERP-Systeme integriert werden. Umso wichtiger wird es, ethische und datenschutzrechtliche Erwägungen bei der Entwicklung und Implementierung zu berücksichtigen. Nur so lassen sich unbeabsichtigte Folgen wie Voreingenommenheit bei der KI-Entscheidungsfindung oder Datenschutzverletzungen vermeiden.

Fazit

Es liegt in der Verantwortung jeder Organisation, die KI-basierte Dienste besitzt, nutzt oder bereitstellt, sicherzustellen, dass die zugrunde liegenden Trainingsmodelle geschützt sind: durch Implementierung strenger Richtlinien für die Verwaltung und Überprüfung der von KI-Systemen verwendeten Trainingsdaten oder durch Treffen von Sicherheitsmaßnahmen, um Manipulationen der Trainingsmodelle zu erkennen und zu verhindern.

Über den Autor: Holger Hügel ist Product Management Director bei SecurityBridge.

ETH Zürich prüft nach

Wie gesetzestreu sind ChatGPT und andere KI-Modelle?

(ID:50305763)