Das Problem der KI-Datenverwaltung, das Betriebsleiter nicht ignorieren dürfen
Fragen Sie fünf Personen nach einer Definition von „Data Governance“ und Sie erhalten fünf verschiedene Antworten. Tim Fisher, Vizepräsident für KI bei DPM, wundert das nicht. „Ich glaube nicht, dass es eine wirklich etablierte Definition gibt, die jedes Unternehmen [verwendet]“, sagt er. „Für manche bedeutet es, dass das Rechtsteam vorgibt, was sie dürfen und was nicht, und in anderen Teilen der Organisation bedeutet es ganz andere Dinge.“
Für diesen Beitrag nutzen wir die Definition, die Fisher verwendet, wenn er dazu gedrängt wird, sie präzise auszudrücken: Die politische und rechtliche Ebene, die klärt, wer auf welche Daten zugreifen darf, unter welcher Zustimmung und gemäß welchen Regeln – es geht nicht darum, ob die Daten selbst korrekt, aktuell oder gut organisiert sind. Diese zweite Frage ist real und ein ganz anderes Feld mit eigenen Lösungsansätzen; wir behandeln sie separat. In diesem Beitrag geht es um die Frage der Richtlinien – und warum sie nicht warten kann.
Wo der Begriff tatsächlich beheimatet ist: Die Überschneidung zwischen Recht und Betrieb
Wenn Fisher die Definition eingrenzt, landet er an einem ganz bestimmten Platz im Organigramm. „Ich sehe Data Governance mehr im Bereich der Richtlinien und Prinzipien“, sagt er — und bei größeren Unternehmen verortet er sie präzise: „Diese Art von Überschneidung im Venn-Diagramm zwischen Recht und Datenbetrieb.“
Kostenlos freischalten
Erstellen Sie ein kostenloses Konto, um diesen Beitrag zu Ende zu lesen und Teil einer Community zukunftsorientierter Führungskräfte zu werden, die Tools, Leitfäden und Insights für den Erfolg im Zeitalter der KI freischaltet.
Have an account? Log In
Ich sehe Data Governance mehr im Bereich der Richtlinien und Prinzipien. Diese Art von Überschneidung im Venn-Diagramm zwischen Recht und Datenbetrieb.
Diese Überschneidung ist nicht abstrakt. Fisher verweist auf einen viel älteren, sehr konkreten Grund, warum Unternehmen diese Strukturen überhaupt erschaffen: das Wertpapierrecht. „In den USA gibt die Securities and Exchange Commission sehr strenge Regeln vor, was gesagt oder geteilt werden darf und was nicht — aus offensichtlichen Gründen wie Insiderhandel und dergleichen“, sagt er.
„Das ist also ein Grund dafür, warum ein Unternehmen Data Governance haben sollte.“ Er sieht einen direkten Zusammenhang zur Unternehmensentwicklung — der Übergang von privat zu börsennotiert ist oft der Punkt, an dem Governance nicht mehr optional ist, denn externe Berater werden speziell eingesetzt, um jene Strukturen aufzubauen, die ein börsennotiertes Unternehmen rechtlich vorweisen muss.
Das ist der Punkt, über den man vor allem anderen nachdenken sollte: Governance existierte als harte rechtliche Pflicht schon lange, bevor KI aufkam. Was sich geändert hat, ist die Geschwindigkeit und die Reichweite des Risikos — und genau deshalb wird das Thema für alle, die heute den Betrieb leiten, so dringlich.
Warum KI das Thema für Operations-Führungskräfte dringlicher macht
Unternehmen hatten schon immer Daten, die sie nicht unbedacht teilen sollten. Neu ist jedoch, wie einfach es heute ist, sie unbeabsichtigt zu teilen, ohne dass jemand eine bewusste Entscheidung trifft. Fishers deutlichstes Beispiel ist eine Einstellung, an der die meisten Mitarbeitenden schon vorbeigelaufen sind, ohne es zu merken: „Der kleine Schalter, den sie noch nie gesehen haben und der fünf Ebenen tief in den Einstellungen versteckt ist und OpenAI oder Anthropic Zugriff auf all diese Daten gibt, um ihre Algorithmen zu trainieren“, sagt er. Niemand muss die Absicht haben, etwas preiszugeben. Es genügt, wenn die Standardeinstellung nicht geändert wird.
Das ist der Mechanismus hinter den meisten KI-bezogenen Governance-Versäumnissen: Teams „werfen“ proprietäre oder Personal-Informationen in LLMs, „ohne zu verstehen“, wozu sie tatsächlich zugestimmt haben, weil niemand die Richtlinienebene geschaffen hat, die dies im Vorfeld erkannt hätte. Fisher ist deutlich, dass dies kein seltener Ausrutscher ist — „Wir haben alle Horrorgeschichten darüber gehört, dass Quellcode an die falschen Personen gelangte. Das kann passieren.“
Die Herausforderung ist strukturell, kein Mangel an Vorsicht. „Man befindet sich in einer unangenehmen Situation, in der das Unternehmen wächst“, sagt Fisher. „Man hat das Bedürfnis nach ein paar Regeln, will aber die Teams nicht zu sehr einschränken.“ Jede Operations-Führungskraft, die KI-Einführung gegen Sicherheit abwägt, steht genau in diesem Zwiespalt – und KI hat nicht das zugrunde liegende rechtliche Risiko geschaffen, sondern nur dafür gesorgt, dass es versehentlich und skalierbar über ein unscheinbares Einstellungsmenü ausgelöst werden kann.
Man befindet sich in einer unangenehmen Situation, in der das Unternehmen wächst. Man hat das Bedürfnis nach ein paar Regeln, will aber die Teams nicht zu sehr einschränken.
Wo Operations-Führungskräfte tatsächlich exponiert sind
Die wichtigsten Überlegungen für Operations-Führungskräfte sind:
- Personenbezogene Mitarbeiterdaten. Personalplanung, HR-Unterlagen und Leistungsinformationen, die in den Kontextbereich eines KI-Tools gelangen können, ohne dass jemand tatsächlich zugestimmt hat, dass sie dort landen.
- Finanzielle und veröffentlichungssensitive Informationen. Wesentliche nicht öffentliche Informationen, Geschäftszahlen und alles, was bei einer Weitergabe oder beim Erreichen der falschen Person zum falschen Zeitpunkt Bedenken bezüglich der SEC-Meldepflichten auslösen würde.
- Geschützte und IP-sensible Informationen (einschließlich Quellcode). Ein reines Zugriffs- und Vertraulichkeitsrisiko – unabhängig von der Wertpapierregulierung – aber mit demselben zugrunde liegenden Mechanismus wie jede andere unüberwachte KI-Voreinstellung.
- Kundendaten von Projekten. Geschützte Kundeninformationen, die über KI-Tools verarbeitet werden, ohne vertragliche Klarheit oder Einwilligung, bergen dasselbe Risiko – auch wenn es bisher keinen konkreten Vorfall gibt.
Die meisten Unternehmen haben nichts davon
Trotz des Risikos spricht Fisher Klartext: Viele Organisationen agieren komplett ohne jede Regelung. „Viele Organisationen haben keinerlei Daten-Governance“, sagt er.
Er hat dies aus beiden Perspektiven miterlebt. In einem größeren, etablierten Unternehmen sah er Governance „über lange Zeit hinweg sehr ernst genommen“, sodass sie immer konservativer wurde – und zunehmend schwer zu ändern war. Kleine, schnell wachsende Unternehmen haben dagegen das entgegengesetzte Problem: nicht zu viel Vorsicht, sondern überhaupt keine, gepaart mit Druck, sich schnell zu bewegen.
Was Lieferverantwortliche daraus mitnehmen können
Sie müssen keinen vollständigen Governance-Rahmen schaffen, um den ersten Schritt zu machen. Beginnen Sie mit etwas Kleinem und Konkretem: Schauen Sie sich einmal ein Einstellungsmenü an. Fishers Umschaltbeispiel ist echt und auffindbar – finden Sie heraus, ob die KI-Tools Ihrer Organisation standardmäßig darauf eingestellt sind, mit Ihren Daten zu trainieren, und wer das genehmigt hat. Das ist eine Unterhaltung, die Sie diese Woche führen können, kein Großprojekt.
Dabei sollte man aber eine echte Spannung beachten, die Fisher anspricht: Gatekeeping ist nicht automatisch die sicherere Option. „Selbst in Organisationen, in denen Daten leicht zugänglich sind, werden sie oft immer noch als proprietär angesehen, auch wenn das gar nicht nötig ist“, sagt er – und das standardmäßige Abschotten kann ein Unternehmen genauso viel kosten wie das vollständige Öffnen, nur nicht so sichtbar. „Sie werden keine Veränderungen bewirken, wenn Sie nicht ändern, wer in Ihrer Organisation Zugang zu den Daten hat.“ Gute Governance bedeutet nicht, dass weniger Menschen mit Daten arbeiten – sondern dass die richtigen Menschen mit den richtigen Daten gezielt arbeiten.
Selbst in Organisationen, in denen Daten leicht zugänglich sind, werden sie oft immer noch als proprietär angesehen, auch wenn das gar nicht nötig ist.
In der Praxis heißt das: ein paar konkrete Schritte, kein dicker Policy-Ordner:
- Starten Sie das Gespräch jetzt, bevor ein Vorfall Sie dazu zwingt. Fragen Sie, welche Teams bereits KI-Tools nutzen und wie – die meisten Operations-Führungskräfte wissen es schlicht nicht, weil nie danach gefragt wurde.
- Prüfen Sie zuerst unternehmensweite Tools. Bei allen KI-Plattformen, die unternehmensweit eingesetzt werden, klären Sie die Trainingdaten-Standardeinstellung und wer Einblick in den Datenfluss hat.
- Ignorieren Sie private oder inoffizielle Tool-Nutzung nicht. Das größere Risiko ist oft das KI-Tool, das niemand genehmigt hat – etwa wenn jemand Kundennotizen in sein persönliches ChatGPT-Konto kopiert, weil das zugelassene Tool zu langsam ist. Das zu benennen, ist kein Schuldspruch, sondern hilft, die tatsächliche Gefahrenlage zu erkennen.
- Bauen Sie die Zugriffsprüfung in denselben Dialog ein, nicht in einen separaten. Während Sie Voreinstellungen und die Nutzung von KI-Tools prüfen, fragen Sie, wer Daten schützt, die gar nicht geschützt werden müssten. Eine Tür zu schließen und die andere weit offen zu lassen, ist keine Governance – sondern bloße Show.
- Schulen Sie Ihre Mitarbeitenden darin, sensible Daten zu erkennen, nicht nur Regeln zu befolgen. Die meisten Beschäftigten haben sich nie damit beschäftigt, was als sensibel gilt – Kundendaten, HR-Unterlagen, Finanzinformationen – oder was passieren kann, wenn diese Daten in ein unreguliertes Tool geraten. Eine Policy, die vorschreibt, was nicht getan werden darf, ist weniger wert als Beschäftigte, die das unmittelbare Risiko erkennen.
Für all das muss kein Team gebremst werden, um es richtig zu machen. Man muss nur wissen, wo die eigenen Daten hingehen, wer das entscheidet und ob diese Entscheidung immer noch richtig ist.
Möchten Sie mehr Einblicke wie diese? Registrieren Sie sich für ein kostenloses DPM-Konto, um noch mehr Expertenmeinungen zu erhalten.
