Vertrauliche Geschäftsinformationen schützen KI im Vorstand: Change oder Gefahr?

Anbieter zum Thema

Diligent Technologies Corp

cidaas by Widas ID GmbH

FAST LTA GmbH

FTAPI Software GmbH

In den Vorstandsetagen Europas taucht immer wieder dieselbe Frage auf: Wie können wir KI nutzen, um bessere Entscheidungen zu treffen, ohne unsere sensibelsten Informationen zu gefährden? Vorstände wissen, dass es keine Option ist, KI zu ignorieren – blind darauf zu vertrauen allerdings ebenso wenig.

KI hat das Potenzial, auf jeder Ebene Effizienzsteigerungen zu erzielen, auch im Vorstand. Bei richtiger Anwendung kann sie den Vorstandsmitgliedern mehr Zeit für die Beurteilung und Entscheidungsfindung verschaffen, anstatt nach den richtigen Daten suchen zu müssen. Es besteht jedoch ein großer Unterschied zwischen KI auf Governance-Niveau die sicher und für den Einsatz im Vorstand konzipiert ist, und generativen Open-Source-KI-Tools.

Schatten-KI in Unternehmen

Immer mehr Beschäftigte nutzen KI-Tools ohne Freigabe

Laut dem aktuellen Bericht „What Directors Think 2026“ von Diligent nutzen 46 Prozent der Vorstandsmitglieder nach wie vor öffentliche KI-Modelle obwohl diese kaum oder gar keine Kontrolle über die Datennutzung durch Anbieter oder die Zuständigkeit für die Da­ten­ver­ar­bei­tung bieten. Angreifer können diese ungeschützte KI-Nutzung ausnutzen und Schwachstellen ausbeuten.

Sicherheitsrisiken durch „Schatten-KI“

Die meisten Unternehmen nutzen KI bereits in größerem Umfang, als ihnen bewusst ist. Führungskräfte fügen Vorstandsunterlagen in öffentliche Chatbots ein, um eine schnelle Zusammenfassung zu erhalten. Führungskräfte bitten Consumer Tools, unter Verwendung sensibler interner Informationen Antworten zu entwerfen. Mitarbeiter installieren gut gemeint Browser-Erweiterungen oder Plug-ins, die unbemerkt alles erfassen, was sie tippen oder lesen. Das Problem ist, dass große Sprachmodelle (LLMs) wie Black Boxes funktionieren. Die Nutzer sehen nicht, wie die Ergebnisse generiert werden, welche Daten protokolliert werden oder wohin diese Daten gelangen. Sobald vertrauliche Informationen in ein öffentliches LLM eingegeben werden, können sie praktisch „in der Welt“ sein, also potenziell für das Modelltraining verwendet, in Protokollen gespeichert werden oder indirekt in späteren Ergebnissen wieder auftauchen.

Viele Kill Switches sind nur ein Beruhigungsversprechen

Wie KI in kritischen Systemen wirklich beherrschbar wird

Für Vorstände steht besonders viel auf dem Spiel:

• Datenlecks: Unterlagen für Vorstandssitzungen, M&A-Unterlagen, Diskussionen über die Vergütung von Führungskräften und Krisenpläne gehören zu den sensibelsten Daten eines Unternehmens. Sobald diese in ein externes KI-Tool kopiert werden, können sie unkontrolliert gespeichert oder verarbeitet werden.

• Unbemerkte Überwachung: Bösartige Erweiterungen, kompromittierte Plug-ins oder ungeprüfte Integrationen können wie ein Keylogger für Informationen auf Vorstandsebene wirken und Eingabeaufforderungen und Antworten in Echtzeit erfassen.

• Prompt Injection und -manipulation: Scheinbar harmlose Dokumente oder E-Mails können versteckte Anweisungen enthalten, die einen KI-Assistenten dazu veranlassen, Daten preiszugeben, Sicherheitsvorkehrungen zu ignorieren oder unbeabsichtigte Aktionen auszuführen.

• Risiken in der Lieferkette: In Produktivitäts- oder Kollaborationstools eingebettete KI-APIs von Drittanbietern können Schwachstellen schaffen, die zwar weit entfernt von der Unternehmensleitung liegen, aber dennoch deren Daten betreffen.

• Erkennung von Nutzungsmustern: Selbst ohne direkte Offenlegung von „Kronjuwelen“ können Modelle aus Metadaten und Nutzungsdaten sensible Muster ableiten und so geschäftskritische Erkenntnisse an unbeabsichtigte Parteien weitergeben.

Mit anderen Worten: Unüberwachte KI ist nicht einfach nur eine weitere App im Stack. Sie eröffnet Angreifern zahlreiche neue Möglichkeiten, die Entscheidungsfindung auf Führungsebene zu beobachten, zu beeinflussen oder zu stören.

KI-Tools und Datenschutz – Darauf ist zu achten!

Wie man KI-Tools daten­schutz­konform nutzen kann

Warum sich Vorstände nicht einfach gegen KI entscheiden können

Trotz dieser Risiken ist der vollständige Verzicht auf KI nicht realistisch. Die Aufgaben der Vorstände werden immer anspruchsvoller: mehr Informationen, mehr regulatorischer Druck, komplexere Risikolandschaften. KI kann den Vorstandsmitgliedern dabei helfen, umfangreiche Vorstandsunterlagen zusammenzufassen, Muster und Anomalien über Sitzungen hinweg zu erkennen, aufkommende Risiken und Abhängigkeiten schneller aufzudecken sowie präzisere Fragen vorzubereiten und das Management effektiver zu hinterfragen.

Das eigentliche Risiko ist nicht die KI selbst, sondern der unstrukturierte, Ad-hoc-Einsatz von KI. Wenn der Vorstand keinen sicheren, genehmigten Weg für KI vorgibt, werden die Menschen still und leise ihre eigenen Werkzeuge finden. So etabliert sich „Schatten-KI“.

Nur 23 Prozent der Unternehmen haben KI-Regeln

Schatten-KI durch Governance beherrschbar machen

Einführung von KI auf Governance-Ebene

Bei KI auf Governance-Ebene geht es um mehr als nur Verschlüsselung oder Zugriffskontrollen. Es handelt sich um ein Rahmenwerk dafür, wie KI über den gesamten Lebenszyklus des Vorstands hinweg funktioniert.

Einige besonders wichtige Prinzipien:

• 1. „Human in the Loop“ von Grund auf
  KI sollte das Urteilsvermögen der Vorstandsmitglieder unterstützen, nicht ersetzen. Systeme müssen in der Lage sein, anzuhalten, eine Validierung einzuholen und sich an menschliche Entscheidungsträger zu wenden, wenn die Zuversicht gering oder der Einsatz hoch ist.

• 2. Klare Verantwortlichkeiten
  In der Wirtschaft ist Verantwortlichkeit nicht verhandelbar. Wenn eine KI-Empfehlung zu einem schlechten Ergebnis führt, liegt die Verantwortung weiterhin bei den menschlichen Führungskräften. Das bedeutet, dass Vorstände Klarheit darüber benötigen, wer für welche Entscheidungen verantwortlich ist und wie KI-Ergebnisse überprüft und hinterfragt werden.

• 3. Integrierte Governance und Kontrollen
  Der Einsatz von KI auf Vorstandsebene sollte auf einer verantwortungsvollen KI-Strategie basieren – mit klaren Richtlinien, Risikobewertungen, Genehmigungen und kontinuierlichen Tests. Ethik, Datenschutz, Sicherheit und Compliance müssen alle Teil derselben Diskussion sein.

• 4. Kontinuierliche Weiterbildung für Führungskräfte
  Vorstandsmitglieder müssen keine Datenwissenschaftler sein, aber sie müssen verstehen, was KI leisten kann und was nicht, wo ihre blinden Flecken liegen und wie sie gesteuert werden sollte. Ohne diese Grundkenntnisse ist es schwierig, die richtigen Fragen zu stellen oder die richtigen Leitplanken zu setzen.

Go­ver­nance und Kontrolle generativer Systeme im Unternehmensalltag

Wie Firmen trotz Schatten-KI produktiv bleiben

KI-Lieferkette und Datenhoheit beachten

Wir alle haben bereits erlebt, wie globale Ereignisse physische Lieferketten stören können. Das gleiche Prinzip gilt auch für KI.

Viele Unternehmen beeilen sich mit der Implementierung von KI-Tools, ohne vollständig zu verstehen, wo Modelle gehostet werden, wie Daten weitergeleitet werden und welche Rechtsordnungen beteiligt sind. Das kann zu echten Risiken führen:

• Eine geopolitische Verschiebung könnte plötzlich Ihren Zugang zu kritischer KI-Infrastruktur beeinträchtigen.

• Daten könnten Länder mit schwächerem Datenschutz, widersprüchlichen Vorschriften oder höherem Rechtsrisiko durchlaufen oder dort gespeichert sein.

• Möglicherweise haben Unternehmen keinen Einblick darin, welche Unterauftragsverarbeiter oder Dritte im Laufe des Prozesses mit ihren Daten in Berührung kommen.

An dieser Stelle wird Datensouveränität von einem technischen Anliegen zu einem Thema des Risikomanagements auf Vorstandsebene. Vorstände sollten die KI-Lieferkette mit derselben Ernsthaftigkeit behandeln wie physische Lieferketten, indem sie kritische Dienste abbilden, Abhängigkeiten verstehen und für Störungen vorsorgen.

KI auf Governance-Ebene verschafft Unternehmen Einblick darin, wo sich Vorstandsdaten und Workloads tatsächlich befinden, sowie Kontrolle darüber, wie diese verarbeitet werden. Das unterscheidet sich erheblich von KI-Tools für Verbraucher, bei denen Daten im Hintergrund möglicherweise mehrere unbekannte Rechtsordnungen durchlaufen.

KI-gestützte Governance

Vom regulatorischen Labyrinth zur praktikablen Compliance

Die richtige Balance finden

Der Schutz von Informationen auf Vorstandsebene im Zeitalter der KI erfordert eine Kombination aus technischen Kontrollmaßnahmen, disziplinierter Unternehmensführung und strategischer Weitsicht. Vorstände sollten sowohl „KI-Anarchie“ vermeiden, bei der es keine zentralen Leitlinien dafür gibt, welche KI-Tools eingesetzt werden, als auch einen vollständigen Verzicht, der das Unternehmen langsamer, weniger gut informiert und letztlich weniger wettbewerbsfähig macht. Stattdessen sollten Vorstände die Vorteile der KI innerhalb eines sicheren Rahmens nutzen und sich gleichzeitig vor potenziellen Sicherheitsrisiken schützen.

Wenn Vorstände dieses Gleichgewicht finden, indem sie die Produktivitätsvorteile der KI nutzen und sich gleichzeitig gegen KI-gestützte Bedrohungen wappnen, können sie widerstandsfähige, souveräne und vertrauenswürdige Entscheidungsinfrastrukturen aufbauen, die für das nächste Jahrzehnt und nicht nur für das nächste Quartal ausgelegt sind.

Über die Autorin: Monica Landen ist CISO bei Diligent.

KI im SOC braucht Governance und klare Verantwortlichkeiten

Ohne Governance wird agentenbasierte KI im SOC zum Sicherheitsrisiko

(ID:50950579)