Technische und organisatorische Maßnahmen für KI-Systeme: Ein praxisnaher Überblick

Wer Datenschutzfragebögen von Kunden oder Auftraggebern kennt, kennt auch die Liste der klassischen Maßnahmen: Zugriffskontrolle, Verschlüsselung, Trennung von Datenbeständen, Verfügbarkeit der Systeme. Technische und organisatorische Maßnahmen, kurz TOMs, sind seit Jahren das Standardvokabular, mit dem Unternehmen beschreiben, wie sie personenbezogene Daten schützen. Die Kategorien sind eingespielt, die Vorlagen liegen bereit, die Antworten schreiben sich fast von selbst.

Dann führt das Unternehmen ein KI-System ein, und plötzlich passen die vertrauten Antworten nicht mehr. Wer darf welche Eingaben an das Modell schicken. Wo landen die Prompts der Mitarbeiter. Welche Dokumente fließen in den Kontext eines Sprachmodells, und wer kontrolliert das. Die alten Kategorien sind nicht falsch geworden, aber sie müssen für KI-Setups neu übersetzt werden.

Dieser Artikel überträgt die bekannten Maßnahmenkategorien auf den KI-Einsatz und schließt mit einer Checkliste, die sich direkt abarbeiten lässt.

Warum KI-Systeme die klassischen Kategorien herausfordern

Klassische TOMs sind für Systeme gedacht, in denen Datenflüsse vorhersehbar sind: Eine Anwendung liest aus einer Datenbank, schreibt in eine andere, und dazwischen liegen definierte Schnittstellen. KI-Systeme brechen diese Vorhersehbarkeit an mehreren Stellen. Eingaben sind Freitext, in dem alles stehen kann, von der harmlosen Frage bis zur kompletten Kundenakte. Ausgaben werden generiert und lassen sich nicht vorab prüfen wie ein Formularfeld. Und der Kontext, den ein Modell zur Beantwortung heranzieht, stammt oft aus mehreren Quellen gleichzeitig: hochgeladene Dokumente, angebundene Wissensdatenbanken, frühere Konversationen.

Das bedeutet nicht, dass die Maßnahmenkategorien ausgedient haben. Es bedeutet, dass jede Kategorie eine zweite Ebene bekommt: Neben den klassischen Fragen nach Servern, Netzen und Berechtigungen stehen jetzt Fragen nach Prompts, Kontextdaten und Modellausgaben.

Zugriffskontrolle: Rollenkonzepte für Prompts und Ausgaben

Bei klassischen Systemen regelt die Zugriffskontrolle, wer welche Datensätze sehen und bearbeiten darf. Bei KI-Systemen kommt eine subtile Verschiebung dazu: Ein Sprachmodell mit Zugriff auf eine Wissensdatenbank kann Inhalte in seinen Antworten wiedergeben, auch wenn der fragende Nutzer die Quelldokumente selbst nie öffnen dürfte. Die Berechtigungsprüfung muss deshalb an der Abfrage ansetzen, nicht erst am Dokument.

Konkret heißt das: Die Suche im Hintergrund darf nur Dokumente einbeziehen, für die der jeweilige Nutzer freigegeben ist. Rollen entscheiden nicht nur über Datenzugriff, sondern auch über Funktionsumfang, etwa wer ein KI-Tool überhaupt nutzen, wer Dokumente hochladen und wer Ergebnisse exportieren darf. Und auch Ausgaben brauchen Regeln: Wenn ein System Zusammenfassungen über Personaldaten erzeugen kann, gehört dieser Anwendungsfall auf einen eng begrenzten Nutzerkreis beschränkt.

Umgang mit Trainings- und Kontextdaten

Die klassische Kategorie der Trennungskontrolle verlangt, dass Daten unterschiedlicher Zwecke getrennt verarbeitet werden. Für KI-Setups ist das zentral, denn hier vermischen sich Datenbestände besonders leicht. Drei Fragen helfen bei der Ordnung:

• Was geht in das Modell hinein: Werden Eingaben der Nutzer vom Anbieter zum Training verwendet. Das ist eine Vertragsfrage, die vor der Einführung geklärt sein muss, nicht danach.
• Was liegt im Kontext: Welche internen Dokumente sind für die Wissenssuche indexiert, und ist dieser Bestand kuratiert. Ein ungefilterter Import ganzer Laufwerke holt regelmäßig Altdaten, Personaldokumente und Vertragsentwürfe in den Kontext, die dort nichts verloren haben.
• Was bleibt liegen: Konversationsverläufe, Zwischenspeicher und Logs enthalten oft Kopien der verarbeiteten Daten. Sie brauchen dieselben Schutzmaßnahmen wie die Originale, inklusive Löschfristen.

Verschlüsselung bleibt dabei die Basismaßnahme: Übertragungswege zu Modell-Anbietern und die Ablage von Kontextdaten gehören verschlüsselt, wie jeder andere sensible Datenbestand auch.

Schnittstellen absichern

Die meisten KI-Setups in Unternehmen sprechen über Programmierschnittstellen mit externen Anbietern. Jede dieser Schnittstellen ist ein Übergabepunkt für Daten und damit ein Punkt, an dem Maßnahmen greifen müssen. Bewährt haben sich einige Grundregeln: Schlüssel für den Zugriff auf Modell-Anbieter gehören in eine zentrale, geschützte Verwaltung und niemals in Quellcode oder Client-Anwendungen. Ausgehende Anfragen sollten über eine eigene Zwischenschicht laufen, die protokolliert, filtert und im Zweifel blockiert. Und eingehende Antworten sind als nicht vertrauenswürdige Daten zu behandeln: Was ein Modell zurückgibt, darf nicht ungeprüft in nachgelagerte Systeme geschrieben oder als Anweisung ausgeführt werden.

Wo KI-Systeme selbst Werkzeuge aufrufen dürfen, etwa Datenbankabfragen oder E-Mail-Versand, gilt das Prinzip der minimalen Berechtigung in verschärfter Form: jedes Werkzeug nur mit den Rechten, die der konkrete Anwendungsfall zwingend braucht.

Organisatorische Regeln für den Tool-Einsatz

Technik allein trägt nicht. Die organisatorische Seite der TOMs entscheidet im Alltag darüber, ob die technischen Maßnahmen wirken. Dazu gehört eine klare, kurze Nutzungsrichtlinie: welche KI-Tools freigegeben sind, welche Datenkategorien eingegeben werden dürfen und welche nicht, und an wen man sich bei Unsicherheit wendet. Eine Richtlinie, die niemand liest, hilft nicht. Besser sind wenige, konkrete Regeln mit Beispielen aus dem eigenen Arbeitsalltag.

Ebenso wichtig ist ein definierter Freigabeprozess für neue Tools. Ohne ihn entsteht Schatten-IT: Mitarbeiter nutzen frei verfügbare Dienste mit Unternehmensdaten, weil der offizielle Weg fehlt oder zu langsam ist. Ein schlanker Prüfprozess mit klaren Kriterien ist hier wirksamer als ein Verbot, das ohnehin umgangen wird. Schließlich gehören Schulungen dazu, die nicht nur Regeln vermitteln, sondern das Grundverständnis: was ein Sprachmodell mit Eingaben macht, warum Ausgaben fehlerhaft sein können und wo die Grenzen des Werkzeugs liegen.

Checkliste für den Einstieg

Für kleinere und mittlere Unternehmen hat sich folgende Reihenfolge bewährt:

• Alle im Einsatz befindlichen KI-Tools erfassen, auch die inoffiziellen.
• Für jedes Tool klären: Welche Daten gehen hinein, wo werden sie verarbeitet, werden sie zum Training genutzt.
• Rollen definieren: Wer darf das Tool nutzen, wer darf Daten hochladen, wer gibt neue Anwendungsfälle frei.
• Kontextdatenbestände kuratieren: Nur geprüfte Dokumente in Wissensdatenbanken aufnehmen.
• Schlüsselverwaltung und verschlüsselte Übertragung für alle Anbieter-Anbindungen sicherstellen.
• Löschfristen für Konversationsverläufe, Logs und Zwischenspeicher festlegen.
• Eine kurze Nutzungsrichtlinie schreiben und die Belegschaft schulen.
• Die getroffenen Maßnahmen dokumentieren, damit sie bei Anfragen belegbar sind.

Diese Liste ist kein Abschluss, sondern ein Fundament. Sie wächst mit jedem neuen Anwendungsfall weiter.

Fazit

Technische und organisatorische Maßnahmen für KI-Systeme sind keine neue Disziplin, sondern die konsequente Übersetzung bekannter Prinzipien auf neue Datenflüsse. Zugriffskontrolle setzt an Abfragen und Ausgaben an, nicht nur an Datensätzen. Trennung und Verschlüsselung erfassen auch Prompts, Kontextdaten und Logs. Und die organisatorischen Regeln entscheiden darüber, ob das alles im Alltag gelebt wird. Wer die Checkliste einmal durchgearbeitet hat, kennt seine KI-Landschaft und kann jede weitere Einführung auf einem stabilen Fundament aufbauen.