Wenn von Compliance und Datenschutz die Rede ist, werfen viele Menschen diese Begriffe in einen Topf. Gehört Datenschutz eigentlich zur Compliance?
Dr. Matthias Zuchowski: Ja, Datenschutz ist grundsätzlich ein Teilbereich der Compliance. Diese umfasst alle Regeln und Vorgaben, die ein Unternehmen einhalten muss – von gesetzlichen Anforderungen über interne Richtlinien bis hin zu technischen Standards. Datenschutz nimmt dabei eine besondere Rolle ein. Er ist sehr stark reguliert, erfordert spezialisiertes Fachwissen und verfügt über ein umfangreiches Regelwerk in Form der Datenschutz-Grundverordnung (DSGVO). Deshalb wird Datenschutz oft als eigenständiges Themenfeld wahrgenommen, obwohl er eigentlich Teil der Compliance ist.
Welche Rolle spielt die neue europäische KI-Verordnung dabei?
Dr. Matthias Zuchowski: Die KI-Verordnung ist ein klassisches Compliance-Thema. Sie definiert Anforderungen für den Einsatz von KI-Systemen und enthält auch Berührungspunkte zum Datenschutz. Allerdings regelt sie nicht alle Datenschutzfragen. Viele Aspekte werden weiterhin über die DSGVO abgedeckt. Unternehmen müssen daher beide Regelwerke gemeinsam betrachten.
KI ist inzwischen in nahezu jedem Unternehmen angekommen. Wo liegen aktuell die größten Herausforderungen?
Dr. Matthias Zuchowski: Die größte Herausforderung ist aus meiner Sicht nicht die Technologie selbst, sondern der unkontrollierte Einsatz. Viele Mitarbeitende erleben im Alltag, wie hilfreich KI sein kann. Sie analysieren große Datenmengen innerhalb von Sekunden, erstellen Präsentationen oder nutzen sie beim Programmieren von Software. Wenn Unternehmen dafür keine offiziellen Werkzeuge bereitstellen oder KI pauschal verbieten, entsteht häufig sogenannte Schatten-KI.
Was versteht man unter Schatten-KI?
Dr. Matthias Zuchowski: Von Schatten-KI sprechen wir, wenn Mitarbeitende KI-Anwendungen nutzen, ohne dass diese offiziell freigegeben oder überhaupt bekannt sind. Das geschieht meist nicht aus böser Absicht. Die Menschen wollen ihre Arbeit effizienter erledigen. Das Problem ist jedoch, dass dabei schnell vertrauliche Informationen in öffentliche KI-Systeme gelangen. Wer beispielsweise interne Bilanzen, Strategiepapiere oder Produktinformationen in einen frei verfügbaren Dienst eingibt, verliert möglicherweise die Kontrolle über diese Daten.
Bedeutet das, Unternehmen sollten KI möglichst offen zulassen?
Dr. Matthias Zuchowski: Nein, nicht uneingeschränkt. Die Wahrheit liegt wie immer zwischen zwei Extremen, die beide problematisch sind. Das eine lautet: „Wir erlauben alles.“ Das andere: „Wir verbieten alles.“ Ein vollständiges Verbot erhöht das Risiko von Schatten-KI. Eine völlig unregulierte Nutzung schafft dagegen neue Sicherheitsrisiken. Der richtige Weg liegt dazwischen. Unternehmen sollten klare Leitplanken definieren und bewusst entscheiden, welche Werkzeuge genutzt werden dürfen und welche Daten verarbeitet werden können.
Gibt es Beispiele?
Dr. Matthias Zuchowski: Ein gutes Beispiel ist Microsoft 365 Copilot. Das System kann auf Informationen zugreifen, die innerhalb eines Unternehmens verfügbar sind. Wenn Zugriffsrechte in SharePoint-Umgebungen nicht sauber gepflegt wurden, kann die KI Dokumente auffindbar machen, die bislang nur deshalb geschützt waren, weil sie niemand gefunden hat. Die KI schafft das Problem nicht. Sie macht bestehende Schwachstellen sichtbar.
Welche Rolle spielt dabei die Risikobewertung?
Dr. Matthias Zuchowski: Eine zentrale Rolle. Nicht jede Information ist gleich sensibel. Marketingunterlagen unterscheiden sich deutlich von unveröffentlichten Geschäftsberichten oder vertraulichen Fusionsplänen. Unternehmen sollten deshalb zunächst klären, welche Daten besonders schützenswert sind und welche Risiken sie eingehen möchten. Erst auf dieser Grundlage lassen sich sinnvolle Entscheidungen über den KI-Einsatz treffen. Ein Tool, das beispielsweise zur Transkription von Webinaren und öffentlich zugänglichen Informationen genutzt wird, ist anders zu bewerten als eine Anwendung, die bei der Erstellung von Geschäftsberichten unterstützt.
Datenschutz wird häufig als Innovationsbremse kritisiert. Ist diese Kritik berechtigt?
Dr. Matthias Zuchowski: Teilweise. Datenschutz hat eine wichtige Funktion und schützt berechtigte Interessen. Gleichzeitig sehen wir in Europa, dass manche Regelungen den Einsatz und die Entwicklung von KI deutlich erschweren. Vor allem bei der Nutzung von Daten für das Training oder die Weiterentwicklung von KI-Modellen entstehen hohe rechtliche Hürden und aufwendige Prüfprozesse. Dadurch verlieren europäische Unternehmen im internationalen Wettbewerb teilweise den Anschluss.
Bedeutet das, der Datenschutz müsste gelockert werden?
Dr. Matthias Zuchowski: Nicht grundsätzlich. Niemand möchte sensible Gesundheitsdaten, Informationen zu Bewerbenden oder Geschäftsgeheimnisse unkontrolliert verarbeiten. Die entscheidende Frage lautet vielmehr: Wo besteht tatsächlich ein relevantes Risiko und wo verhindern Regeln sinnvolle Anwendungsfälle? Aus meiner Sicht brauchen wir mehr risikoorientierte Regelungen, die zwischen unterschiedlichen Datenarten und Nutzungsszenarien unterscheiden.
Viele Unternehmen setzen auf europäische Anbieter, um Datenschutzrisiken zu reduzieren. Reicht das aus?
Dr. Matthias Zuchowski: Leider nicht automatisch. Das ist immer noch ein Trugschluss. Europäische Anbieter schaffen oft mehr Transparenz und erfüllen höhere Datenschutzstandards. Trotzdem lohnt sich immer ein genauer Blick auf die technische Infrastruktur.
Viele Dienste nutzen beispielsweise Cloud-Infrastrukturen großer amerikanischer Anbieter. Deshalb sollten Unternehmen genau prüfen, wo ihre Daten verarbeitet werden, welche Verträge gelten und welche Rechte sich Anbieter einräumen - insbesondere hinsichtlich des KI-Trainings. So sind viele Privatkundenprodukte nicht geeignet für Unternehmenszwecke, gerade weil diese standardmäßig Daten zum Training verwenden. Vertrauen ist wichtig. Kontrolle bleibt trotzdem notwendig.
Was sollten Unternehmen hinsichtlich KI tun?
Dr. Matthias Zuchowski: Unternehmen sollten sich aktiv mit dem Thema KI beschäftigen und klare Regeln schaffen. Wer KI ignoriert oder verbietet, wird die Entwicklung nicht aufhalten. Wer sie unkontrolliert einführt, schafft neue Risiken.
Ein verantwortungsvoller Umgang basiert auf drei Faktoren: Transparenz, Risikobewertung und klaren Leitplanken. Dann wird KI nicht zum Sicherheitsproblem, sondern zu einem Werkzeug, das Unternehmen produktiver und wettbewerbsfähiger macht.
