Zulässige KI-Nutzung: Wie man regelt, was Menschen und KI mit Unternehmensdaten tun dürfen.

Die meisten Organisationen haben mittlerweile ein Problem mit der zulässigen Nutzung von KI, selbst wenn sie bereits eine Richtlinie zur zulässigen Nutzung von KI haben.

Mitarbeiter nutzen Copiloten, um Dokumente zusammenzufassen. Entwickler übermitteln Code an KI-Assistenten. Teams experimentieren mit generativer KI für Forschung, Content, Analysen und Automatisierung. Genehmigte KI-Anwendungen verbinden sich direkt mit Unternehmens-Repositories. KI-Agenten rufen zunehmend Daten ab, rufen Tools auf und führen Aktionen über bestehende Identitäten und Berechtigungen aus.

Viele dieser Aktivitäten können legitime Benutzer, genehmigte Systeme und gültige Zugriffsrechte betreffen.

Das bedeutet nicht automatisch, dass jede Verwendung angemessen ist.

Die Richtlinie zur zulässigen Nutzung von KI definiert, wie Personen, Anwendungen, Copiloten, Modelle und Agenten unternehmensweite KI, Daten, Zugriffsrechte und Berechtigungen innerhalb der genehmigten Sicherheits-, Datenschutz-, Governance- und Geschäftsgrenzen nutzen dürfen.

Die Kernfrage geht über die Frage hinaus, ob jemand KI nutzen kann.

Soll diese Person oder dieses KI-System diese Daten mithilfe dieser KI zu diesem Zweck und mit diesem Ziel verwenden?

Diese Unterscheidung ist wichtig, weil KI legitimen Zugriff in unangemessene Nutzung umwandeln kann, ohne dass jemand die Authentifizierung umgeht, eine Sicherheitslücke ausnutzt oder Zugangsdaten stiehlt.

Was ist die zulässige Nutzung von KI?

Die Richtlinie zur akzeptablen Nutzung von KI definiert die genehmigten Wege, auf denen Mitarbeiter, Anwendungen, Copiloten, Modelle, Agenten und andere KI-Systeme auf Unternehmensdaten und -systeme zugreifen, diese verarbeiten, abrufen, daraus Daten generieren, diese teilen, transformieren oder darauf reagieren dürfen.

Ein Programm zur zulässigen Nutzung kann festlegen, welche KI-Dienste Mitarbeiter nutzen dürfen, welche Informationen sie übermitteln dürfen, auf welche Systeme die KI zugreifen darf, welche Geschäftszwecke die KI unterstützen darf, wohin die von der KI generierten Daten gelangen dürfen und welche Aktionen eine zusätzliche Genehmigung erfordern.

Das Konzept ähnelt traditionellen Richtlinien zur zulässigen Nutzung, aber KI führt mehr Variablen ein.

Traditionelle Richtlinien konzentrierten sich oft darauf, wie Mitarbeiter Firmengeräte, Netzwerke, Anwendungen und Informationen nutzen. KI ergänzt diese um Modelle, Eingabeaufforderungen, Ampelsysteme, Agenten, Trainingsdaten und Vektordatenbanken., KI-Identitäten, externe KI-Dienste, delegierte Berechtigungen und autonome Aktionen.

Das schafft ein umfassenderes Regierungsproblem.

Die zulässige Nutzung von KI muss die Beziehung zwischen dem Benutzer, der KI, den Daten, dem Zweck und der Handlung regeln.

Warum die zulässige Nutzung von KI mehr ist als eine Mitarbeiterrichtlinie

Viele Organisationen betrachten den akzeptablen Einsatz von KI zunächst als eine Frage der Sensibilisierung der Mitarbeiter.

Vertrauliche Informationen dürfen nicht in öffentliche KI-Tools eingefügt werden. Nicht genehmigte Modelle dürfen nicht verwendet werden. Kundendaten dürfen nicht übermittelt werden. Quellcode darf nicht hochgeladen werden. KI-generierte Inhalte dürfen nicht ungeprüft verwendet werden.

Diese Regeln sind wichtig, aber die KI in Unternehmen geht mittlerweile weit über einzelne Eingabeaufforderungen hinaus.

Ein autorisierter Copilot kann Informationen direkt aus internen Repositories abrufen. Ein Ampelsystem kann ein Modell mit dem Unternehmenswissen verknüpfen. Eine KI-Anwendung kann sensible Datensätze über eine API verarbeiten. Ein Agent kann ein Dienstkonto oder eine delegierte Identität verwenden, um auf Daten zuzugreifen und nachgelagerte Arbeitsabläufe auszulösen.

In solchen Umgebungen wird der Benutzer möglicherweise niemals manuell sensible Informationen irgendwo einfügen.

Die KI kann es direkt erreichen.

Die Richtlinien für die zulässige Nutzung müssen daher nicht nur das Verhalten der Mitarbeiter, sondern auch den Zugriff auf und das Verhalten von KI regeln.

Genehmigte KI bedeutet nicht automatisch genehmigte Nutzung

Organisationen unterscheiden zunehmend zwischen genehmigter KI und Schatten-KI.

Diese Unterscheidung hilft Organisationen dabei, Dienstleistungen zu identifizieren, die außerhalb etablierter Sicherheits-, Beschaffungs-, Datenschutz- oder Governance-Prozesse operieren.

Die Zustimmung löst jedoch nur einen Teil des Problems.

Ein zugelassenes KI-System kann dennoch unzulässige Daten empfangen. Ein autorisierter Copilot kann weiterhin übermäßige Zugriffsrechte erhalten. Ein Unternehmensagent kann weiterhin über mehr Befugnisse verfügen, als seine Aufgabe erfordert. Ein zulässiges Modell kann weiterhin eine Nutzung unterstützen, die mit Datenschutzbestimmungen, Aufbewahrungspflichten oder internen Richtlinien in Konflikt steht.

Daraus ergibt sich ein wichtiges Prinzip:

Die KI-Genehmigung beantwortet die Frage, ob die Organisation das System zulässt. Die Richtlinie zur zulässigen Nutzung beantwortet die Frage, ob die Organisation diese Nutzung des Systems, der Daten und der entsprechenden Berechtigungen gestattet.

Zulässige Nutzung von KI vs. Missbrauch von KI

Die zulässige Nutzung von KI definiert die genehmigten Grenzen.

Von KI-Missbrauch spricht man, wenn eine Person oder ein KI-System außerhalb dieser Grenzen agiert.

Dieser Missbrauch kann, muss aber nicht, einen nicht genehmigten KI-Dienst betreffen. Auch eine genehmigte KI-Anwendung kann missbraucht werden, wenn ihr vertrauliche Daten zugeführt, sie für einen nicht autorisierten Zweck verwendet, Informationen an die falsche Zielgruppe weitergegeben oder einem Agenten Aktionen außerhalb seines vorgesehenen Aufgabenbereichs ermöglicht werden.

Diese Unterscheidung gewinnt insbesondere bei autonomen Systemen an Bedeutung.

BigIDs Artikel über Datenmissbrauch in agentenbasierten KI-Systemen untersucht eine spezifische Form des Missbrauchs: KI-Agenten, die Daten außerhalb ihres autorisierten Umfangs oder Zwecks verwenden.

Die zulässige Nutzung von KI umfasst die umfassendere Frage der Governance in Bezug auf Mitarbeiter, genehmigte KI, Schatten-KI, Copiloten, Modelle, Anwendungen und Agenten.

Wie sieht inakzeptabler KI-Einsatz aus?

Unzulässiger KI-Einsatz kann viele Formen annehmen, da Organisationen unterschiedliche Daten, Richtlinien, Branchen und Risikoanforderungen haben.

Typische Szenarien sind:

• Die Übermittlung vertraulichen Quellcodes an einen KI-Dienst, der von der Organisation nicht für den Schutz von Geschäftsgeheimnissen freigegeben wurde
• Die Verwendung personenbezogener Kundendaten in einem KI-Workflow ohne genehmigten Geschäftszweck
• Einem Unternehmens-Copiloten durch übermäßige Benutzerberechtigungen den Zugriff auf sensible Dateien ermöglichen.
• Die Verwendung regulierter Daten zum Trainieren oder Feinabstimmen eines Modells ohne angemessene Governance
• Erlauben Aufforderungen oder Antworten die sensible Informationen enthalten, die in Systeme außerhalb genehmigter Grenzen gelangen sollen
• Einem KI-Agenten Zugriff auf Systeme oder Datensätze zu gewähren, der über seine zugewiesene Aufgabe hinausgeht, erfordert
• Einem Beauftragten zu gestatten, Informationen ohne entsprechende Genehmigung zu senden, zu ändern, zu löschen oder zu veröffentlichen
• Verwendung veralteter, überholter oder eingeschränkter Unternehmensinformationen als aktueller KI-Kontext
• Die Wiederverwendung von Informationen, die für einen Geschäftszweck gesammelt wurden, in einem nicht damit zusammenhängenden KI-Workflow
• Die Zulassung von KI-generierten Entscheidungen oder Empfehlungen, die ohne erforderliche Aufsicht Einfluss auf folgenreiche Prozesse nehmen.

Der gemeinsame Nenner ist nicht die Technologie.

Gemeinsamer Nenner ist die Diskrepanz zwischen Zugang, Zweck, Strategie und Ergebnis.

Warum die Datensensibilität die Entscheidung über die zulässige Nutzung verändert

Nicht jede KI-Interaktion birgt das gleiche Risiko.

Wenn ein Mitarbeiter einem autorisierten Assistenten öffentliche Produktdokumentation übermittelt, wird eine andere Sicherheitsfrage generiert als wenn ein Mitarbeiter personenbezogene Daten von Kunden, Zugangsdaten, Rechtsdokumente, Finanzunterlagen, geistiges Eigentum, Quellcode oder Gesundheitsdaten übermittelt.

Der KI-Dienst kann genau unverändert bleiben.

Die Daten verändern das Risiko.

Organisationen müssen daher wissen, auf welche Informationen die KI zugreifen oder welche sie empfangen kann, bevor sie entscheiden, ob die Nutzung mit den Unternehmensrichtlinien vereinbar ist.

Erkennung und Klassifizierung sensibler Daten Diese Grundlage kann geschaffen werden, indem regulierte, persönliche, vertrauliche, firmeneigene, Berechtigungs-, Finanz-, Gesundheits- und andere hochwertige Informationen in Unternehmensumgebungen identifiziert werden.

Eine Richtlinie zur zulässigen Nutzung gewinnt an Bedeutung, wenn sie auf der Kenntnis der tatsächlichen Daten basiert.

Identität und Zugriff sind weiterhin wichtig

Eine Richtlinie zur zulässigen Nutzung kann unkontrollierten Zugriff nicht ausgleichen.

Wenn ein Mitarbeiter, eine Anwendung, ein Dienstkonto, eine Maschinenidentität oder ein KI-Agent auf weit mehr sensible Informationen zugreifen kann, als sein legitimer Zweck erfordert, hat die Organisation bereits die Anzahl der Möglichkeiten für einen unangemessenen KI-Einsatz erweitert.

Das macht das Mindestprivileg zu einem wichtigen Bestandteil der akzeptablen Nutzung von KI.

Organisationen müssen die Konzepte des direkten Zugriffs, des Gruppenzugriffs, der vererbten Berechtigungen, der delegierten Autorität, der Anwendungsidentitäten, der Dienstkonten, der Maschinenidentitäten und der KI-spezifischen Zugriffspfade verstehen.

AI Access Governance Verknüpft diese Identitäten und Berechtigungen mit sensiblen Unternehmensdaten, damit Teams erkennen können, wo der KI-Zugriff den genehmigten Bedarf überschreitet.

Die zulässige Nutzung beginnt mit der Definition dessen, was geschehen soll. Zugriffssteuerung hilft dabei, das Zulässige einzuschränken.

Der Zweck ist die fehlende Ebene in vielen KI-Strategien

Zwei Personen können dieselbe zugelassene KI-Anwendung mit demselben Datensatz verwenden und dennoch unterschiedliche Ergebnisse im Bereich der Regierungsführung erzielen.

Der Unterschied liegt möglicherweise im Zweck.

Beispielsweise können Kundendaten, die zur Kontoverwaltung erfasst werden, einem legitimen betrieblichen Arbeitsablauf dienen. Die Verwendung derselben Daten zum Aufbau eines unabhängigen KI-Modells kann jedoch eine andere Analyse von Richtlinien, Datenschutz, Einwilligung, Geschäftszweck und Risiko erfordern.

Deshalb sollte die zulässige Nutzung von KI nicht bei einer binären Liste von zugelassenen und verbotenen Werkzeugen enden.

Organisationen müssen außerdem Folgendes berücksichtigen:

Was kann diese KI mit dieser Datenkategorie für diesen Geschäftszweck anfangen?

Diese Frage verknüpft die Steuerung von KI direkt mit Datenschutz und Datenverwaltung.

Nutzungsbedingungen und Datenschutz für KI

Datenschutzprogramme erkennen bereits an, dass der Besitz persönlicher Daten keine uneingeschränkte Befugnis zu deren Nutzung gewährt.

Künstliche Intelligenz macht diesen Unterschied deutlicher sichtbar, da Modelle und Anwendungen Informationen auf eine Weise wiederverwenden können, die sich deutlich von dem Arbeitsablauf unterscheidet, der sie ursprünglich erfasst hat.

Datenschutzteams müssen möglicherweise verstehen, welche personenbezogenen Daten in die KI einfließen, warum die Organisation sie verwendet, ob die Verwendung mit den Richtlinien oder geltenden Anforderungen übereinstimmt, wie lange die KI-Systeme die Informationen speichern, ob Daten an Dritte weitergegeben werden und ob Einzelpersonen oder Aufsichtsbehörden zusätzliche Kontrollen erwarten.

Die Governance für die zulässige Nutzung hilft dabei, diese Bedenken in praktische KI-Grenzen umzusetzen.

Die Frage des Datenschutzes lautet nicht nur: “Enthält die KI personenbezogene Daten?”, sondern auch: “Sollte diese KI diese personenbezogenen Daten auf diese Weise verwenden?”

Schatten-KI erschwert die Durchsetzung einer akzeptablen Nutzung.

Organisationen können keine sinnvollen Nutzungsbeschränkungen für KI anwenden, deren Existenz ihnen nicht bekannt ist.

Mitarbeiter können KI-Assistenten, Browsererweiterungen, SaaS-Funktionen, Entwicklertools, Modelle oder APIs weitgehend zentral steuern. Geschäftsbereiche können KI-gestützte Anwendungen über bestehende Anbieter einführen. Entwickler können externe Modelle über APIs anbinden.

Dadurch entsteht ein Transparenzproblem, bevor es zu einem politischen Problem wird.

Entdeckung von Schatten-KI Hilft Organisationen dabei, nicht genehmigte oder unzureichend regulierte KI zu identifizieren, damit Sicherheits- und Governance-Teams nachvollziehen können, wohin Unternehmensinformationen fließen.

Doch die Entdeckung allein entscheidet nicht darüber, ob die Verwendung angemessen ist.

Schatten-KI fragt, was existiert. Die Governance für akzeptable Nutzung fragt, was als Nächstes geschehen soll.

KI-Agenten wandeln akzeptable Nutzung in akzeptables Handeln um

Generative KI konzentrierte sich zunächst auf Eingabeaufforderungen und Ergebnisse.

Die Akteure verschärfen das Problem, weil sie handeln können.

Ein Agent kann Unternehmensinformationen suchen, auf Anwendungen zugreifen, APIs aufrufen, Nachrichten senden, Datensätze aktualisieren, Dateien erstellen, Berechtigungen ändern, Code ausführen, Workflows auslösen oder einen anderen Agenten aufrufen.

Die Frage der zulässigen Verwendung wird dadurch umfassender:

Auf welche Daten darf dieser Agent zugreifen und welche Aktionen darf er mit dieser Berechtigung durchführen?

Organisationen müssen die Identität des Agenten kennen, welche Berechtigungen er erbt, welche Tools er aufrufen kann, wohin Informationen fließen können und welche Aktionen eine stärkere Genehmigung erfordern.

Weitere Informationen zum Zugangsaspekt dieses Problems finden Sie unter Wie KI-Agenten Berechtigungen erben.

Akzeptable KI-Nutzung vs. KI-Datenmissbrauch

Diese Konzepte überschneiden sich, dienen aber unterschiedlichen Zwecken.

Akzeptable Nutzung von KI definiert zulässige Grenzen für Menschen und KI-Systeme.

Missbrauch von KI-Daten beschreibt Situationen, in denen KI Informationen auf eine Weise nutzt, die mit diesen Grenzen in Konflikt steht, z. B. die Verwendung autorisierter Daten für einen unzulässigen Zweck oder über ihren autorisierten Umfang hinaus.

Für autonome Systeme bietet BigID Datenmissbrauch in agentenbasierten KI-Systemen Der Artikel geht näher darauf ein, wie legitime Berechtigungen dennoch zu einer unangemessenen Datennutzung führen können.

Die Beziehung ist unkompliziert:

Zulässige Nutzung definiert die Grenze. Missbrauch überschreitet sie.

Warum eine Richtlinie zur akzeptablen Nutzung von KI nicht ausreicht

Eine schriftliche Richtlinie bildet eine wichtige Grundlage.

Es kann nicht erkennen, auf welche sensiblen Daten ein KI-System zugreifen kann. Es kann übermäßige Berechtigungen von Mitarbeitern nicht selbstständig identifizieren. Es kann nicht feststellen, welche nicht genehmigten Modelle Mitarbeiter verwenden. Es kann nicht anzeigen, ob ein KI-System regulierte Informationen abruft oder an ein anderes Ziel weiterleitet.

Die Kluft zwischen Politik und Praxis stellt eines der größten Probleme der KI-Governance dar.

Organisationen müssen ihre Richtlinien mit Folgendem verknüpfen:

• KI-Inventar
• Datenermittlung und -klassifizierung
• Identität
• Effektiver Zugang
• Zweck
• Eigentum
• Abstammung
• Aktivität
• Aufforderungen und Antworten
• Agentenwerkzeuge und -aktionen
• Externe Ziele
• Sanierung

Governance wird dann sinnvoll, wenn die Organisation eine Grundsatzerklärung mit den von ihr gesteuerten Daten- und KI-Aktivitäten verknüpfen kann.

Wie man ein Programm zur akzeptablen Nutzung von KI erstellt

1. KI-Systeme für die Bestandsverwaltung

Identifizieren Sie genehmigte und nicht genehmigte Modelle, Copiloten, Agenten, KI-fähige Anwendungen, APIs, RAG-Systeme, Datensätze, Vektorspeicher und andere KI-Dienste, die mit Unternehmensinformationen interagieren.

2. Entdecken Sie die Daten, die KI erfassen kann

Verstehen Sie, welche KI-Systeme Zugriff auf regulierte, persönliche, vertrauliche, geschützte, anmeldebezogene, finanzielle, gesundheitsbezogene, geistige Eigentums- und andere sensible Informationen haben.

3. Definition der zulässigen Nutzung nach Daten und Zweck

Vermeiden Sie Richtlinien, die KI-Tools lediglich in erlaubte und verbotene Kategorien einteilen.

Definieren Sie, welche Datenkategorien bestimmte KI-Systeme verwenden dürfen, warum sie diese verwenden dürfen und welche Ergebnisse die Organisation zulässt.

4. Menschliche und nicht-menschliche Identitäten kartieren

Ermitteln Sie, welche Benutzer, Gruppen, Anwendungen, Dienstkonten, Maschinenidentitäten und KI-Agenten Zugriffspfade zu Unternehmensdaten erstellen.

5. Übermäßigen Zugriff reduzieren

Entfernen Sie weit gefasste, veraltete, geerbte, unnötige oder risikoreiche Berechtigungen, die der KI einen größeren Zugriff auf sensible Daten ermöglichen, als für ihre beabsichtigte Aufgabe erforderlich ist.

6. Eingabeaufforderungen und Antworten steuern

Verstehen, wo sensible Informationen in KI-Interaktionen einfließen und wo die KI in ihren Antworten sensible Informationen preisgeben kann.

7. Agentenaktionen einschränken

Die Abrufberechtigung sollte von Folgeaktionen wie Senden, Schreiben, Löschen, Ausführen, Veröffentlichen, Genehmigen oder Ändern von Berechtigungen getrennt werden.

8. Tatsächliche Nutzung überwachen

Vergleichen Sie die Richtlinien mit den tatsächlichen Handlungen. Ermitteln Sie, ob Menschen und KI-Systeme auf unerwartete Weise auf sensible Informationen zugreifen, diese abrufen, übertragen, weitergeben, verändern oder darauf reagieren.

9. Erstellen Sie einen Ausnahmebehandlungsprozess

Der Einsatz von KI verändert sich rasant. Teams haben möglicherweise berechtigte Gründe, neue Modelle, Datensätze, Berechtigungen oder Anwendungsfälle anzufordern. Statt Nutzer zu ermutigen, Richtlinien zu umgehen, sollte ein geregelter Prüfprozess bereitgestellt werden.

10. Verstöße mit Maßnahmen verknüpfen

Ein Programm zur zulässigen Nutzung benötigt einen Reaktionsweg. Teams müssen möglicherweise den Zugriff einschränken, einen Workflow blockieren, Daten entfernen, eine Richtlinie ändern, einen Verantwortlichen zuweisen, Aktivitäten untersuchen oder ein Problem an den zuständigen Stakeholder weiterleiten.

Wie BigID die operative Umsetzung der akzeptablen Nutzung von KI unterstützt

Für eine akzeptable Nutzung von KI ist mehr erforderlich als eine Liste zugelassener KI-Produkte.

Organisationen müssen die Daten, Identitäten, Berechtigungen, Richtlinien, Aktivitäten und KI-Systeme verstehen, die mit jeder Nutzung verbunden sind.

BigID hilft dabei, diese Ebenen zu verbinden, indem es Organisationen unterstützt:

• KI entdecken und steuern: Identifizieren Sie KI-Modelle, Agenten, Copiloten, Datensätze, Prompts, RAG-Systeme, Vektorspeicher, Pipelines und Schatten-KI und verknüpfen Sie diese mit dem Unternehmenskontext.
• Sensible Daten entdecken und klassifizieren: Kenntnisse über regulierte, persönliche, vertrauliche, firmeneigene, Berechtigungs-, Finanz-, Gesundheits- und andere sensible Informationen in Unternehmensumgebungen.
• KI-Zugriff verstehen: Verknüpfen Sie KI-Systeme und -Identitäten mit den Daten und Berechtigungen, die ihrer Autorität zugrunde liegen.
• Übermäßigen Zugriff erkennen: Finden Sie umfassende, geerbte, veraltete, unnötige und risikoreiche Zugriffsrechte im Zusammenhang mit sensiblen Informationen.
• Aktivitätskontext hinzufügen: Verstehen Sie, wie sensible Daten abgerufen, verschoben, weitergegeben, verändert, heruntergeladen oder gelöscht werden.
• Schutz von KI-Interaktionen: Überwachen Sie sensible Informationen in Eingabeaufforderungen und Antworten und verknüpfen Sie risikobehaftete Interaktionen mit Richtlinien und Reaktionsabläufen.
• Korrekturmaßnahmen einleiten: Leiten Sie die Ergebnisse an die Eigentümer weiter, schränken Sie den Zugriff ein, wenden Sie die Richtlinien an, entfernen Sie unnötige Daten und koordinieren Sie gegebenenfalls Abhilfemaßnahmen.

BigID hilft Organisationen bei der Vernetzung:

KI → Identität → Zugriff → Sensible Daten → Zweck → Aktivität → Richtlinie → Maßnahme

Damit wird eine solidere Grundlage geschaffen, um nicht nur festzustellen, ob KI im Unternehmen existiert, sondern auch, ob das Unternehmen sie innerhalb genehmigter Grenzen einsetzt.

Der KI-Akzeptanztest

Akzeptabler KI-Einsatz bedeutet mehr als nur Ja oder Nein zu sagen.

Die Einführung von KI wird sich weiterhin auf Unternehmensanwendungen, Arbeitsabläufe, Teams und Geschäftsprozesse ausweiten.

Ein Governance-Modell, das sich ausschließlich auf zugelassene und verbotene Instrumente stützt, wird Schwierigkeiten haben, mit dieser Entwicklung Schritt zu halten.

Der nachhaltigere Ansatz verbindet das KI-System mit den Daten, der Identität, dem Zugriff, dem Zweck, den Richtlinien und den Maßnahmen, die es umgeben.

Dadurch kann eine Organisation den sinnvollen Einsatz von KI zulassen, ohne jede gültige Anmeldung, jede genehmigte Anwendung oder jeden technisch verfügbaren Datensatz als uneingeschränkte Berechtigung zu betrachten.

Der Zugriff zeigt Ihnen, was Menschen und KI erreichen können.

Die zulässige Nutzung definiert, was sie damit tun dürfen.

Häufig gestellte Fragen zur akzeptablen Nutzung von KI

Was ist eine akzeptable Nutzung von KI?

Die Richtlinie zur zulässigen Nutzung von KI definiert, wie Mitarbeiter, Anwendungen, Copiloten, Modelle, KI-Agenten und andere Systeme innerhalb der genehmigten Sicherheits-, Datenschutz-, Governance- und Geschäftsgrenzen auf Unternehmensdaten zugreifen, diese verarbeiten, abrufen, generieren, teilen, transformieren oder darauf reagieren dürfen.

Was ist eine Richtlinie zur akzeptablen Nutzung von KI?

Eine Richtlinie zur akzeptablen Nutzung von KI definiert die zulässigen und verbotenen Verwendungszwecke von KI, einschließlich der Frage, welche KI-Systeme Personen verwenden dürfen, welche Daten sie übermitteln oder offenlegen dürfen, welche Geschäftszwecke KI unterstützen darf und welche Aktionen oder Arbeitsabläufe zusätzliche Kontrollen oder Genehmigungen erfordern.

Ist akzeptabler KI-Einsatz dasselbe wie genehmigter KI-Einsatz?

Nein. Eine Organisation kann ein KI-System genehmigen und gleichzeitig einschränken, welche Daten, Zwecke, Identitäten oder Aktionen innerhalb dieses Systems zulässig sind. Die Systemgenehmigung autorisiert nicht jede mögliche Nutzung.

Worin besteht der Unterschied zwischen akzeptabler und missbräuchlicher Nutzung von KI?

Die zulässige Nutzung von KI definiert die genehmigten Grenzen. KI-Missbrauch liegt vor, wenn eine Person oder ein KI-System Daten, Zugriffsrechte, Fähigkeiten oder Befugnisse außerhalb dieser genehmigten Grenzen nutzt.

Ist Schatten-KI dasselbe wie unzulässige KI-Nutzung?

Nein. Schatten-KI bezeichnet KI-Systeme oder deren Nutzung, die nicht ausreichend transparent oder kontrolliert werden. Schatten-KI kann zu unzulässiger Nutzung führen, aber auch genehmigte KI kann gegen die Nutzungsrichtlinien verstoßen.

Warum ist die Datensensibilität für die akzeptable Nutzung von KI relevant?

Derselbe KI-Workflow kann je nach Art der verarbeiteten Informationen unterschiedliche Risiken bergen. Öffentliche Informationen, personenbezogene Daten (PII), Gesundheitsdaten (PHI), Quellcode, Zugangsdaten, Finanzunterlagen und geistiges Eigentum erfordern unterschiedliche Sicherheits-, Datenschutz- und Governance-Überlegungen.

Wie beeinflussen KI-Agenten die Richtlinien zur zulässigen Nutzung?

KI-Agenten kombinieren Datenzugriff mit Werkzeugen und Handlungsbefugnissen. Organisationen benötigen daher klare Nutzungsgrenzen, innerhalb derer festgelegt werden muss, auf welche Daten Agenten zugreifen dürfen, welche Identitäten und Berechtigungen sie verwenden, auf welche Systeme sie zugreifen können und welche Aktionen sie durchführen dürfen.

Warum reicht eine Richtlinie zur akzeptablen Nutzung von KI allein nicht aus?

Eine schriftliche Richtlinie allein kann nicht festlegen, welche KI-Systeme existieren, auf welche sensiblen Daten sie zugreifen können, welche Identitäten diesen Zugriff ermöglichen, wie Personen und Agenten die Daten nutzen oder ob Aktivitäten gegen die Richtlinie verstoßen. Organisationen benötigen operative Transparenz und Kontrollmöglichkeiten im Umgang mit ihren Daten und ihrer KI-Umgebung.

Wie können Organisationen eine akzeptable Nutzung von KI durchsetzen?

Organisationen können KI inventarisieren, sensible Daten aufdecken, KI- und menschliche Identitäten abbilden, effektiven Zugriff verstehen, übermäßige Berechtigungen reduzieren, Eingabeaufforderungen und Aktivitäten überwachen, zweckbasierte Regeln definieren, Aktionen von Agenten mit hoher Auswirkung einschränken und Verstöße mit Abhilfemaßnahmen verknüpfen.

Wie unterstützt BigID die akzeptable Nutzung von KI?

BigID hilft Organisationen dabei, KI und sensible Daten zu erkennen, KI-Systeme mit menschlichen und nicht-menschlichen Identitäten zu verbinden, Berechtigungen und übermäßigen Zugriff zu verstehen, Aktivitäten hinzuzufügen und Kontext bereitzustellen, Governance-Richtlinien anzuwenden und die Behebung von Problemen in unternehmensweiten Daten- und KI-Umgebungen zu koordinieren.