Das Daten-Governance-Problem, das Betriebsleiter nicht ignorieren können
Bitten Sie fünf Personen, „Daten-Governance“ zu definieren, und Sie erhalten fünf verschiedene Antworten. Tim Fisher, Vizepräsident für KI bei DPM, ist davon nicht überrascht. „Ich weiß nicht, ob es wirklich eine etablierte Definition gibt, die jedes Unternehmen [verwendet]“, sagt er. „Für manche bedeutet es, dass das Rechtsteam ihnen sagt, was sie tun dürfen und was nicht, während es in anderen Teilen der Organisation etwas völlig anderes bedeutet.“
Für die Zwecke dieses Beitrags verwenden wir den Begriff so, wie Fisher ihn auf präzise Nachfrage definiert: die politische und rechtliche Ebene der Frage, wer auf Daten zugreifen darf, unter welcher Einwilligung und welchen Regeln unterliegt – nicht die Frage, ob die Daten selbst korrekt, aktuell oder gut organisiert sind. Diese zweite Frage ist relevant und betrifft eine andere Disziplin mit anderen Lösungsansätzen; wir behandeln sie separat. In diesem Beitrag geht es um die politische Frage und darum, warum sie nicht warten kann.
Wo der Begriff tatsächlich angesiedelt ist: die Überschneidung von Recht und operativem Geschäft
Wenn Fisher die Definition eingrenzt, landet er an einer bestimmten Stelle innerhalb eines Organigramms. „Ich denke bei Daten-Governance eher an Richtlinien und Grundsätze“, sagt er – und in einem größeren Unternehmen ordnet er sie genau ein: „Die Art von Überschneidung im Venn-Diagramm zwischen Recht und Datenbetrieb.“
Kostenlos freischalten
Erstellen Sie ein kostenloses Konto, um diesen Beitrag zu Ende zu lesen und Teil einer Community zukunftsorientierter Führungskräfte zu werden, die Tools, Leitfäden und Insights für den Erfolg im Zeitalter der KI freischaltet.
Have an account? Log In
Ich denke bei Daten-Governance eher an Richtlinien und Grundsätze. Die Art von Überschneidung im Venn-Diagramm zwischen Recht und Datenbetrieb.
Diese Überschneidung ist nicht abstrakt. Fisher verweist auf einen viel älteren, sehr konkreten Grund, aus dem Unternehmen solche Strukturen überhaupt aufbauen: das Wertpapierrecht. „In den USA legt die Securities and Exchange Commission sehr strenge Regeln dafür fest, was aus sehr offensichtlichen Gründen gesagt oder geteilt werden darf und was nicht – etwa im Zusammenhang mit Insiderhandel und ähnlichen Dingen“, sagt er.
„Das ist also ein Grund für ein Unternehmen, Daten-Governance zu haben.“ Er bringt dies direkt mit der Wachstumsphase eines Unternehmens in Verbindung – der Übergang von einem privaten zu einem börsennotierten Unternehmen ist oft der Zeitpunkt, an dem Governance nicht länger optional ist, da externe Berater speziell dafür hinzugezogen werden, die Strukturen aufzubauen, zu deren Vorhandensein ein börsennotiertes Unternehmen gesetzlich verpflichtet ist.
Das ist der Punkt, über den man zuerst nachdenken sollte: Governance existierte als strikte rechtliche Anforderung lange bevor KI auftauchte. Verändert haben sich die Geschwindigkeit und die Angriffsfläche des Risikos – und genau deshalb wird die Sache für alle, die heute den operativen Betrieb verantworten, dringend.
Warum KI dies zu einem dringlicheren Anliegen für Führungskräfte im operativen Bereich macht
Unternehmen verfügten schon immer über Daten, die sie nicht unbedacht weitergeben sollten. Neu ist, wie einfach es heute ist, diese Daten weiterzugeben, ohne dass jemand dies bewusst entscheidet. Fishers deutlichstes Beispiel ist eine Einstellung, die die meisten Beschäftigten vermutlich übersehen haben: „Der kleine Schalter, den sie noch nie gesehen haben und der fünf Ebenen tief in der Einstellungsseite verborgen ist und OpenAI oder Anthropic Zugriff auf all diese Daten gibt, um ihre Algorithmen zu trainieren“, sagt er. Niemand muss beabsichtigen, etwas preiszugeben. Es reicht, wenn die Standardeinstellung nicht überprüft wird.
Das ist der Mechanismus hinter den meisten Governance-Versäumnissen im KI-Zeitalter: Teams „werfen“ geschützte Unternehmens- oder HR-Informationen in LLMs, „ohne zu verstehen“, wozu sie tatsächlich ihre Zustimmung gegeben haben, weil niemand die politische Ebene aufgebaut hat, die dies erkannt hätte, bevor es passiert. Fisher stellt klar, dass dies kein seltener Fehltritt ist – „wir alle haben Horrorgeschichten darüber gehört, dass Quellcode den falschen Personen zugänglich gemacht wurde. Es kann passieren.“
Die Spannung ist struktureller Natur und kein Versagen der Vorsicht. „Man befindet sich in dieser unangenehmen Situation, in der man wächst“, sagt Fisher. „Man spürt das Bedürfnis nach einigen Regeln, möchte seine Teams aber nicht zu sehr fesseln.“ Jede Führungskraft im operativen Bereich, die die Einführung von KI mit Sicherheitsanforderungen in Einklang bringt, befindet sich genau in dieser Lücke – und KI hat die zugrunde liegende rechtliche Gefährdung nicht geschaffen, sondern lediglich dafür gesorgt, dass sie versehentlich, in großem Maßstab und über ein Einstellungsmenü, das niemand gelesen hat, ausgelöst werden kann.
Man befindet sich in dieser unangenehmen Situation, in der man wächst. Man spürt das Bedürfnis nach einigen Regeln, möchte seine Teams aber nicht zu sehr fesseln.
Wo Führungskräfte im operativen Bereich tatsächlich gefährdet sind
Die wichtigsten Themen, die für Führungskräfte im operativen Bereich berücksichtigt werden sollten, sind:
- Persönliche Daten von Mitarbeitenden. Personalbesetzungspläne, HR-Daten und Leistungsinformationen, die im Kontextfenster eines KI-Tools landen können, ohne dass jemand tatsächlich zugestimmt hat, dass sie dort verarbeitet werden.
- Finanzielle und offenlegungssensible Informationen. Wesentliche nicht öffentliche Informationen, Ertragsdaten und alles, was bei einem Datenleck oder bei einer Weitergabe an die falsche Person zum falschen Zeitpunkt Bedenken hinsichtlich der Offenlegung gegenüber der SEC auslösen würde.
- Geschützte und geistiges Eigentum betreffende Informationen (einschließlich Quellcode). Ein reines Risiko in Bezug auf Zugriffskontrolle und Vertraulichkeit – unabhängig von der Wertpapierregulierung –, aber mit demselben zugrunde liegenden Mechanismus wie bei jedem anderen nicht überwachten KI-Standard.
- Daten aus Kundenprojekten. Die Verarbeitung geschützter Kundeninformationen durch KI-Tools ohne klare vertragliche Regelungen oder Einwilligung birgt dasselbe Risiko, selbst wenn bislang noch kein konkreter Verstoß dokumentiert wurde.
Die meisten Unternehmen haben nichts davon
Trotz dieser Tragweite stellt Fisher unmissverständlich fest, dass viele Organisationen überhaupt keine Richtlinienebene haben. „Viele Organisationen verfügen über keinerlei Daten-Governance“, sagt er.
Er hat diese Entwicklung von beiden Seiten aus beobachtet. Bei einem größeren, etablierteren Unternehmen sah er, wie Governance „über einen langen Zeitraum sehr ernst genommen wurde“, bis sie zunehmend konservativ – und zunehmend schwer rückgängig zu machen – wurde. Kleinere, schneller wachsende Unternehmen haben das entgegengesetzte Problem: nicht zu viel Vorsicht, sondern überhaupt keine, zusätzlich zu dem Druck, schnell voranzukommen.
Die wichtigste Erkenntnis für Führungskräfte für die Projektdurchführung
Sie müssen nicht sofort ein vollständiges Governance-Framework aufbauen, um den ersten Schritt zu machen. Beginnen Sie mit etwas Kleinem und Konkretem: Sehen Sie in einem Einstellungsmenü nach. Fishers Beispiel mit dem Schalter ist real und auffindbar – finden Sie heraus, ob die KI-Tools Ihrer Organisation standardmäßig so eingestellt sind, dass sie mit Ihren Daten trainiert werden, und wer dies genehmigt hat. Das ist ein Gespräch, das Sie diese Woche führen können, kein Projekt.
Gleichzeitig lohnt es sich, eine echte Spannung zu berücksichtigen, auf die Fisher hinweist: Zugangsbeschränkungen sind nicht automatisch die sichere Wahl. „Selbst in Organisationen, in denen Daten problemlos verfügbar sind, werden sie oft weiterhin als geschützt betrachtet, obwohl das nicht nötig wäre“, sagt er – und eine standardmäßige Abschottung kann ein Unternehmen stillschweigend genauso viel kosten wie eine vollständige Freigabe, nur weniger sichtbar. „Sie werden keine Fortschritte bei Veränderungen erzielen, wenn Sie nicht ändern, wer in Ihrer Organisation Zugriff auf Ihre Daten hat.“ Gute Governance bedeutet nicht einfach, dass weniger Menschen Daten berühren – sondern dass die richtigen Menschen absichtlich auf die richtigen Daten zugreifen.
Selbst in Organisationen, in denen Daten problemlos verfügbar sind, werden sie oft weiterhin als geschützt betrachtet, obwohl das nicht nötig wäre.
In der Praxis bedeutet das einige konkrete Maßnahmen, keinen Richtlinienordner:
- Beginnen Sie jetzt mit dem Gespräch, bevor ein Vorfall Sie dazu zwingt. Fragen Sie, welche Teams bereits KI-Tools verwenden und wie – die meisten Führungskräfte im operativen Bereich sind hier nur deshalb im Rückstand, weil niemand gefragt hat.
- Prüfen Sie zuerst organisationsweit eingesetzte Tools. Bestätigen Sie für alle unternehmensweit freigegebenen KI-Plattformen die Standardeinstellung für Trainingsdaten und wer Einblick in die darüber verarbeiteten Daten hat.
- Ignorieren Sie die persönliche oder inoffizielle Nutzung von Tools nicht. Das größere Risiko liegt oft in dem KI-Tool, das niemand genehmigt hat – etwa wenn jemand Kundennotizen in ein persönliches ChatGPT-Konto kopiert, weil das freigegebene Tool langsamer ist. Dies sichtbar zu machen, dient nicht der Bestrafung, sondern dem Verständnis, wo Ihr tatsächliches Risiko liegt.
- Integrieren Sie die Zugriffsprüfung in dasselbe Gespräch, statt ein separates daraus zu machen. Fragen Sie beim Prüfen der Standardeinstellungen und der Nutzung von KI-Tools, wer Daten zurückhält, deren Zugriff eigentlich nicht beschränkt werden müsste. Eine Tür zu verschärfen, während eine andere weit offen bleibt, ist keine Governance – es ist Theater.
- Schulen Sie Menschen darin, sensible Daten zu erkennen, statt nur Regeln zu befolgen. Die meisten Mitarbeitenden wurden nie dazu aufgefordert, darüber nachzudenken, was als sensibel gilt – Kundendetails, HR-Daten, Finanzinformationen – oder was schiefgehen könnte, wenn diese Daten in einem unregulierten Tool landen. Eine Richtlinie, die den Menschen sagt, was sie nicht tun dürfen, ist weniger wichtig, als wenn sie das Risiko vor sich tatsächlich erkennen.
Nichts davon erfordert, Teams auszubremsen, um es richtig zu machen. Es erfordert zu wissen, wohin Ihre Daten gehen, wer das entschieden hat und ob die Antwort darauf weiterhin Ja lautet.
Sie möchten mehr Erkenntnisse wie diese? Melden Sie sich für ein kostenloses DPM-Konto an, um von weiteren Experten wie diesen zu hören.