Kommentar von Uwe Specht, Pegasystems Die KI regelt das – braucht aber klare Regeln

Viele Mitarbeiter drängen auf den Einsatz von KI, um ihren geschäftlichen Alltag effizienter zu gestalten. Die freie Auswahl der Tools sollten Unternehmen ihnen jedoch nicht überlassen, um Governance-Risiken zu vermeiden. Sie benötigen einen koordinierten Ansatz für die Einführung, müssen der KI Grenzen setzen und sie kontrollieren. Die kooperative Entwicklung eigener Lösungen bietet in dieser Hinsicht Vorteile gegenüber der Anschaffung fertiger Tools.

Im Tagesgeschäft müssen Mitarbeiter viele Aufgaben bewältigen, bei denen ihnen Künstliche Intelligenz (KI) helfen könnte. Die riesige Auswahl an KI-Tools erscheint da verlockend – so verlockend, dass nicht selten Tools ohne offizielle Genehmigung ausprobiert oder sogar regelmäßig genutzt werden. Für die einzelnen Mitarbeiter ist das angenehm unbürokratisch und praktisch, weil sie bestimmte Tätigkeiten einfacher und schneller erledigen können und sich so dringend benötigte Freiräume im oft vollgepackten Arbeitsalltag verschaffen. Der Nutzen für das Unternehmen hingegen ist fraglich, denn die Tools lösen üblicherweise Einzelprobleme, verbessern aber keinen Geschäftsprozess und generieren keinen messbaren geschäftlichen Mehrwert. Mehr noch: Sie stellen ein signifikantes Governance-Risiko dar.

Compliance für autonome KI-Systeme

Open-Source-Tool gibt KI-Agenten regulatorische Leitplanken

Haben Unternehmen keinen Plan für die KI-Einführung, fehlen in der Regel nämlich auch klare Vorgaben, welche Daten die Mitarbeiter einer KI anvertrauen dürfen. Somit drohen Datenschutzverletzungen und das Abließen sensibler Unternehmensdaten – und das selbst dann, wenn Mitarbeiter sicherheitsbewusst agieren, da Fehler gerade stressigen Situationen nur allzu menschlich sind. Darüber hinaus besteht die große Gefahr schlechter oder falscher Entscheidungen, weil die meisten öffentlichen KI-Tools als Black Box agieren, also nicht klar ist, wie sie arbeiten oder mit welchen Daten sie trainiert wurden. Das umfangreiche unternehmensspezifische Wissen, das über Fileshares, Datenbanken und andere Speicherorte verteilt ist und für gute Entscheidungen gebraucht wird, fehlt ihnen wiederum.

Nicht zuletzt gibt es zahlreiche regulatorische Vorgaben, die den KI-Einsatz betreffen und weit über den EU AI Act hinausgehen. Hierzu zählen die DSGVO und zahlreiche branchenspezifische Regelungen, in denen es unter anderem um faire und erklärbare Entscheidungen, deren Dokumentation sowie menschliche Kontrollen (Human in the Loop) geht. Verstöße können neben Strafzahlungen auch erhebliche Reputationsschäden nach sich ziehen.

Datenschutz und Datensicherheit sind Pflicht

Um Governance-Risiken zu vermeiden, benötigen Unternehmen einen koordinierten Ansatz für die KI-Einführung. Setzen sie auf fertige Tools, müssen sie diese sorgfältig evaluieren und auswählen – also etwa sicherstellen, dass keine personenbezogenen Daten auf Servern außerhalb der EU landen und sensible Daten wie Verträge, Quellcode oder Konstruktionszeichnungen das Unternehmen nicht verlassen. Am besten gelingt das mit Tools, die sich innerhalb der eigenen IT-Umgebung einrichten und betreiben lassen, doch auch sie brauchen Grenzen, auf welche Daten sie zugreifen beziehungsweise welche Daten sie verarbeiten dürfen.

Bei extern laufenden Tools ist es deutlich komplexer, diese Grenzen zu setzen, weil Unternehmen darauf angewiesen sind, dass die Tools selbst und die bestehenden Sicherheitslösungen entsprechende Funktionen bieten. Die Definition und Pflege der Richtlinien kann bei steigender Tool-Zahl schnell sehr aufwendig werden und erfordert zudem große Sorgfalt, um keine Daten und Nutzungsszenarien zu übersehen – ein durchdachtes Datenmanagement ist dabei auf jeden Fall hilfreich. Ziel sollte es sein, möglichst viele aus Datenschutz- und Datensicherheitssicht riskante Situationen technisch abzufangen, um nicht den Mitarbeitern die Verantwortung für die Einhaltung aller Regularien aufzubürden.

„State of Identity Governance 2026“

Security-Experten fehlt die Transparenz in Sachen KI

Selbstverständlich sind Schulungen für die Mitarbeiter sinnvoll – schon allein, um sie über die genehmigten Tools zu informieren. Aber auch, damit sie den Umgang mit diesen üben und Erfahrung sammeln können, inwieweit man den KI-Ergebnissen vertrauen kann oder diese überprüfen muss.

Das Setzen von Grenzen hat Grenzen

Letztlich lassen sich die Zugriffe und Datenverarbeitungen bei öffentlichen Tools jedoch nur mit gewissen Beschränkungen regeln, da es in vielen Situationen auf den Kontext ankommt, ob die Nutzung einer Datenquelle oder Datei zulässig ist. Die Grenzen für die KI können sehr eng oder eher locker gesetzt werden – beides ist nicht ideal, weil entweder Mitarbeiter im Arbeitsalltag behindert werden oder Verletzungen von Datenschutz und Datensicherheit drohen. Im Zweifelsfall sollten Unternehmen die Grenzen lieber enger setzen.

Hinzu kommt, dass sich bei fertigen Tools oft nur schwer nachvollziehen lässt, wie Entscheidungen zustande kommen und ob diese fair und vorurteilsfrei sind. Im Grunde müssen Unternehmen die Ergebnisse immer wieder bewerten, wobei ihnen andere KI-Tools helfen können, die einen automatisierten Abgleich zwischen den tatsächlichen und den angestrebten Ergebnissen vornehmen. Solche Tests der KI-Entscheidungen sind auch für Use Cases wichtig, in denen es auf reproduzierbare Ergebnisse ankommt – die KI bei gleichen Inputs also immer gleich entscheiden muss.

Mehr Möglichkeiten, die Freiheitsgrade von KI zu beeinflussen, sie zu kontrollieren und Dokumentation sowie Auditierbarkeit sicherzustellen, haben Unternehmen, wenn sie die Tools selbst entwickeln. Dann können sie KI-Modelle wählen, die ihre Governance-Anforderungen optimal erfüllen, und komplette Workflows vorgeben, sodass Mensch und KI wenig Raum für Fehler haben. So geht beispielsweise der Trend hin zu weniger langen und komplizierten Prompts – viele Rahmenbedingungen und Eventualitäten werden bereits per Default durch Konfigurationen und Regelwerke abgefangen.

Darüber hinaus erleichtern vordefinierte Workflows das Überprüfen der Ergebnisse und erleichtern auch das Erreichen reproduzierbarer Ergebnisse, weil weniger Variablen berücksichtig werden müssen.

Low-Code erleichtert die Umsetzung

Bei der Entwicklung und Pflege von KI-Tools bieten kooperative Ansätze, bei denen Entwickler, IT-Spezialisten und Experten aus den Fachbereichen eng in Fusion Teams zusammenarbeiten und Low-Code-Plattformen für die Umsetzung nutzen, einige Vorteile gegenüber der klassischen Software-Entwicklung. Das fängt schon damit an, dass fachliche, technische und Governance-bezogene Anforderungen gleichermaßen berücksichtigt werden. Zudem lassen sich kompakte Software-Bausteine und zentrale Regelwerke deutlich einfacher erstellen, testen und weiterentwickeln als umfangreicher Individualcode mit komplexer Programmlogik.

Die Bausteine können gut wiederverwendet werden, was die Erstellung von Tools für neue Use Cases erleichtert – alles baut auf derselben Basis auf, sodass Qualitätsstandards und Usability einheitlich sind. Erste funktionsfähige Versionen sind schnell fertiggestellt, sodass sie ausprobiert werden können und rasch klar ist, ob etwa ein Modell brauchbare Ergebnisse liefert oder der Use Case generell funktioniert. Anschließend sind die Überführung in den produktiven Betrieb und die Skalierung ebenfalls vergleichsweise einfach möglich. Somit lassen sich innovative Tools, die Mitarbeiter im Arbeitsalltag entlasten und Prozesse von Ende zu Ende verbessern, äußerst effizient realisieren.

Kommentar von Max Heinemeyer, Darktrace

Hält die Sicherheit mit der KI-Nutzung in Unternehmen Schritt?

Mithilfe von Low-Code-Plattformen können Unternehmen die Workflows sehr genau definieren und Berechtigungen sowie Guardrails granular anpassen, um Governance-Anforderungen einzuhalten. Alle KI-Entscheidungen lassen sich nachvollziehbar gestalten und detailliert dokumentieren, sodass Unternehmen mögliche Fragen zur Entscheidungsfindung oder zum Datenschutz jederzeit beantworten können. Diese Transparenz und Auditierbarkeit kann auf anderen Wegen meist nur schwer hergestellt werden – oft unterschätzen Unternehmen den damit verbundenen Aufwand.

Eigenentwicklung verhindern den Vendor Lock-in

Ändern sich fachliche Anforderungen oder Governance-Vorgaben, werden Anpassungen einmalig zentral in den Bibliotheken mit Software-Bausteinen beziehungsweise in den Regelwerken vorgenommen. Es muss nicht der Quellcode jedes einzelnen Tools angefasst und bearbeitet werden.

Darüber hinaus bleiben Unternehmen unabhängig und vermeiden einen Vendor Lock-in, der bei externen KI-Tools drohen kann – auch das ein unterschätztes Governance-Risiko. Schließlich kann es immer wieder vorkommen, dass Tools irgendwann nicht mehr zur Verfügung stehen, wenn Anbieter vom Markt verschwinden, oder aufgrund von Änderungen des Preismodells unattraktiv werden.

Unter dem Strich stellt Low-Code einen sehr praktikablen Ansatz für die sichere und kontrollierte KI-Einführung im Unternehmen dar. Die Erstellung der Tools in Fusion Teams fördert den Teamgedanken und demokratisiert die Software-Entwicklung, da Fachbereichsexperten stärker einbezogen werden und unabhängiger als bisher von den Prioritäten und Projekten der Entwickler und IT-Spezialisten sind.

(ID:50847497)