GenAI Governance: Sichere KI-Nutzung im Unternehmen

Die Adoption von Generativer Künstlicher Intelligenz (GenAI) in Unternehmen verläuft rasant. Mitarbeiter nutzen ChatGPT, Claude und andere Large Language Models (LLMs) für alltägliche Aufgaben, von der Texterstellung bis zur Datenanalyse. Doch während die Produktivitätspotenziale enorm sind, wächst auch das Risiko: Datenschutzverletzungen, Compliance-Verstöße, Sicherheitslücken und reputationsbezogene Schäden entstehen oft aus einer mangelnden Governance-Struktur.

Eine aktuelle Studie von Gartner (2025) zeigt, dass 73 Prozent der Unternehmen GenAI einsetzen, aber nur 31 Prozent über ein formales Governance-Framework verfügen. Besonders im deutschsprachigen Raum, mit seinen strengeren Datenschutzanforderungen und dem neuen EU AI Act, ist eine strukturierte GenAI Governance nicht länger optional, sondern strategisch notwendig.

Dieser Artikel beleuchtet, warum GenAI Governance für KMU entscheidend ist, welche rechtlichen und operativen Anforderungen bestehen und wie Unternehmen ein praktisches Governance-Framework implementieren können, das Sicherheit mit Innovation verbindet.

GenAI bietet enorme Chancen: Automatisierung repetitiver Aufgaben, schnellere Entscheidungsfindung, Kosteneinsparungen und neue Geschäftsmodelle. Gleichzeitig entstehen neue Risiken, die traditionelle IT-Governance-Modelle nicht vollständig abdecken.

Das zentrale Paradoxon: Je mehr Mitarbeiter GenAI nutzen, desto größer wird das Risiko, dass sensible Daten in externe Systeme gelangen. Ein Vertriebsmitarbeiter, der Kundeninformationen in ChatGPT kopiert, um eine Angebotserstellung zu automatisieren, verstößt möglicherweise gegen die DSGVO, ohne es zu wissen. Ein Entwickler, der Code von GitHub Copilot nutzt, könnte unbeabsichtigt lizenzierte Inhalte verwenden. Ein Analyst, der vertrauliche Geschäftsdaten zur Analyse in ein öffentliches GenAI-Tool hochlädt, gefährdet das gesamte Unternehmen.

Laut einer Studie von Cisco (2025) nutzen 68 Prozent der Mitarbeiter GenAI-Tools für arbeitsbezogene Aufgaben, ohne dass ihre Arbeitgeber davon wissen. Dies wird als "Shadow AI" bezeichnet, eine unkontrollierte, oft unbewusste Nutzung von KI-Systemen außerhalb der offiziellen IT-Infrastruktur.

Reale Szenarien: Wo GenAI Governance scheitert

Szenario 1: Der Datenschutz-Vorfall Ein Kundenservice-Team nutzt ChatGPT, um Kundenanfragen schneller zu beantworten. Ein Mitarbeiter kopiert eine Kundenanfrage mit vollständiger Adresse, Telefonnummer und Kontonummer in ChatGPT. OpenAI speichert diese Daten zur Modellverbesserung. Später stellt sich heraus, dass diese Daten ohne explizite Zustimmung verarbeitet wurden, ein DSGVO-Verstoß mit potentiellen Bußgeldern bis zu 20 Millionen Euro.

Szenario 2: Der Compliance-Bruch Ein Finanzanalyst nutzt ein öffentliches GenAI-Tool, um vertrauliche Geschäftszahlen zu analysieren. Das Tool speichert diese Daten und könnte sie möglicherweise für das Training zukünftiger Modelle verwenden. Dies verstößt gegen interne Compliance-Richtlinien und könnte zu Konkurrenzspionage führen.

Szenario 3: Die Halluzination mit Konsequenzen Ein Rechtsanwalt nutzt ChatGPT zur Recherche für einen Gerichtsfall. Das Modell generiert plausible, aber fiktive Gerichtsurteile und Gesetze. Der Anwalt zitiert diese in seinem Schriftsatz, mit desaströsen Folgen für seinen Mandanten.

Diese Szenarien zeigen: GenAI Governance ist nicht akademisch, sondern existentiell für die Unternehmensicherheit.

Für Unternehmen im DACH-Raum ist die Compliance-Situation komplex geworden. Der EU AI Act, der ab 2026 schrittweise in Kraft tritt, definiert erstmals verbindliche Anforderungen für die Nutzung von KI-Systemen.

Der EU AI Act: Vier Risikokategorien

Der EU AI Act klassifiziert KI-Systeme nach Risiko:

• ◆Verbotene Systeme (Prohibited): KI-Anwendungen, die Menschen manipulieren oder diskriminieren.
• ◆Hochrisiko-Systeme (High-Risk): KI-Systeme, die kritische Entscheidungen treffen (z.B. Kreditvergabe, Personalauswahl).
• ◆Transparenzpflichtige Systeme (Transparency): GenAI-Systeme, die mit Menschen interagieren, müssen offenlegen, dass sie KI sind.
• ◆Allgemeine Systeme: Alle anderen KI-Anwendungen unterliegen minimalen Anforderungen.

DSGVO und Datenschutz

Parallel zum EU AI Act bleibt die DSGVO die primäre Rechtsgrundlage. Hier entstehen die meisten praktischen Probleme:

• ◆Datenübermittlung an Dritte: Wenn Mitarbeiter Kundendaten in öffentliche GenAI-Tools eingeben, erfolgt eine Übermittlung an den KI-Anbieter. Dies erfordert einen Datenverarbeitungsvertrag (DPA).
• ◆Datenspeicherung: Viele GenAI-Anbieter speichern Eingaben zur Modellverbesserung, ein Verstoß gegen die Datensparsamkeit.
• ◆Recht auf Vergessenwerden: Wenn Daten in GenAI-Modellen trainiert wurden, ist es praktisch unmöglich, sie vollständig zu löschen.
• ◆Transparenzpflicht: Betroffene müssen informiert werden, wenn ihre Daten zur KI-Trainierung verwendet werden.

1. Strategie und Policy

Die Grundlage ist eine klare, geschäftszentrierte GenAI-Strategie. Diese sollte definieren:

• ◆Welche Geschäftsprobleme sollen durch GenAI gelöst werden?
• ◆Wie viel Risiko ist das Unternehmen bereit zu akzeptieren?
• ◆Welche GenAI-Plattformen dürfen Mitarbeiter nutzen?
• ◆Wo ist GenAI nicht erlaubt (z.B. keine Kundendaten in öffentliche Tools)?
• ◆Wer trägt die Verantwortung für GenAI-Compliance?

2. Technische Kontrollen und Infrastruktur

Policies allein sind nicht ausreichend. Unternehmen benötigen technische Maßnahmen:

• ◆Enterprise GenAI-Lösungen: Azure OpenAI, Google Cloud AI oder andere Enterprise-Lösungen mit Datenverarbeitungsverträgen.
• ◆API-Gateways und Monitoring: Tools wie Netskope oder Zscaler können Shadow AI aufdecken und blockieren.
• ◆Data Loss Prevention (DLP): Verhindern Sie, dass sensible Daten in externe GenAI-Systeme gelangen.
• ◆Sichere Modelle: Nutzen Sie GenAI-Modelle mit Datenschutzgarantien oder lokal gehostete Lösungen.
• ◆Audit Logging: Dokumentieren Sie alle GenAI-Nutzungen für Compliance-Audits.

3. Datenschutz und Compliance

Datenschutz muss in jeden GenAI-Einsatz eingebettet sein:

• ◆Stellen Sie sicher, dass alle GenAI-Anbieter einen DPA unterzeichnet haben.
• ◆Führen Sie eine Datenschutz-Folgenabschätzung (DPIA) für High-Risk-Anwendungen durch.
• ◆Minimieren Sie die Menge der Daten, die Sie an GenAI-Systeme übermitteln.
• ◆Informieren Sie Mitarbeiter und Kunden über GenAI-Nutzung.
• ◆Beachten Sie Regelungen zur Datenübermittlung in Drittländer.

4. Risikomanagement und Audit

GenAI birgt spezifische Risiken:

• ◆Halluzinationen: GenAI-Modelle können plausible, aber falsche Informationen generieren.
• ◆Bias und Diskriminierung: Trainierte Modelle können Vorurteile widerspiegeln.
• ◆Prompt Injection: Böswillige Akteure können GenAI-Systeme durch manipulierte Eingaben missbrauchen.
• ◆Intellectual Property: Generierte Inhalte können urheberrechtlich geschützte Werke enthalten.

Ein effektives Risikomanagement erfordert regelmäßige Audits, einen Incident Response Plan, gründliches Testing und kontinuierliches Monitoring.

5. Kultur und Schulung

Die beste Governance scheitert, wenn Mitarbeiter sie nicht verstehen oder befolgen:

• ◆Schulen Sie Mitarbeiter in den Grundlagen von GenAI.
• ◆Machen Sie Mitarbeiter mit den Governance-Policies vertraut.
• ◆Zeigen Sie praktische Beispiele für sichere GenAI-Nutzung.
• ◆Sensibilisieren Sie Mitarbeiter für Risiken.
• ◆Führungskräfte müssen GenAI Governance vorleben.