Wie man auf die bevorstehenden regulatorischen Compliance-Anforderungen für GenAI-Sicherheit reagiert

Gerade als man dachte, dass das Management der Datenrisiken im Zusammenhang mit GenAI und das Begreifen des wachsenden Schatten-GenAI ausreichend wären, kommt ein neuer Aspekt hinzu.

Regulatorische und rechtliche Anforderungen an die Sicherheit von GenAI nehmen zu, und Organisationen werden bald demonstrieren müssen, wie sie die mit GenAI verbundenen Risiken handhaben. Der EU-Artificial-Intelligence-Act (EU-KI-Act) ist das deutlichste frühe Anzeichen. Er bezeichnet bestimmte KI-Anwendungen explizit als “hochrisikoreich” und verlangt strenge Anforderungen an Transparenz, Rechenschaftspflicht und menschliche Aufsicht. Strafen für Nicht-Compliance sollen abschreckend sein und als Prozentsatz des globalen Umsatzes und nicht als Pauschalsätze berechnet werden. Für multinationale Unternehmen verschiebt sich die KI-Governance von einer Best Practice zu einer rechtlichen Verpflichtung, mit schwerwiegenden Folgen für Nicht-Compliance.

In den Vereinigten Staaten hat die Federal Trade Commission (FTC) deutlich gemacht, dass die Nutzung von KI unter ihrem Mandat zur Verhinderung von “unfairer oder irreführender Praxis” überwacht wird. Das bedeutet, dass Unternehmen sich nicht hinter technischer Komplexität verstecken können. Wenn Kunden oder Mitarbeiter über die Verwaltung ihrer Daten getäuscht werden oder wenn KI ungeklärte Risiken birgt, können Führungskräfte zur Rechenschaft gezogen werden.

Frühe Durchsetzungsmaßnahmen haben bereits gezeigt, dass Regulierungsbehörden bereit sind, Beispiele von Unternehmen zu machen, die ohne angemessene Kontrollen zu schnell handeln. So hat die FTC gegen DoNotPay vorgegangen, ein Unternehmen, das ein KI-Tool als “Roboter-Anwalt” bewarb, das in der Lage sei, gültige Rechtsdokumente und Experten-Rechtsberatung zu erstellen, und festgestellt, dass die Behauptungen des Unternehmens über die Fähigkeiten seiner KI falsch oder irreführend waren und gegen Abschnitt 5 des FTC-Acts verstoßen. In einem anderen Fall hat die FTC Everalbum Inc. verlangt, KI-Modelle und -Algorithmen zu vernichten, die mit Verbraucherfotos erstellt wurden, die ohne ordnungsgemäße Zustimmung gesammelt wurden – eine direkte Strafe für die Verwendung von Daten auf eine Weise, die von der Nutzerzustimmung und den rechtlichen Erwartungen abweicht.

Auf staatlicher Ebene sind Kalifornien und New York Vorreiter einer Welle von KI- und Datenschutzgesetzen, die auf bestehenden Rahmenwerken wie dem California Consumer Privacy Act (CCPA) aufbauen. Diese Gesetze stimmen mit umfassenderen Datenschutzanforderungen überein und verlangen von Unternehmen, KI-Governance und Datenschutz als ein einziges, integriertes Programm zu behandeln.

Der Zusammenstoß ist bereits offensichtlich. Heute kann ein Verbraucher unter GDPR oder CCPA verlangen, dass seine personenbezogenen Daten aus den Systemen eines Unternehmens entfernt werden. Es gibt jedoch keinen äquivalenten Prozess, um die Entfernung von Daten zu verlangen, sobald sie in ein GenAI-Modell aufgenommen wurden. Das Fehlen einer “entferne-meine-Daten-aus-deinem-Modell”-Option wird bald zu einem Streitpunkt zwischen Regulierungsbehörden und Unternehmen.

Warum Compliance diesmal schwieriger erscheint

Auf den ersten Blick scheint die Regulierung von KI nicht viel anders zu sein als frühere Compliance-Herausforderungen. Allerdings führt die GenAI-Governance eine neue Komplikation ein – Unvorhersehbarkeit. Die Grenze zwischen harmlos und schädlich ist nicht immer klar. Ein einzelner Prompt kann vertrauliche Informationen preisgeben, und eine Ausgabe kann vertrauliche Inhalte an Orte weiterleiten, an die sie nicht gehören. Traditionelle Kontrollen wie DLP und Berechtigungsprüfungen waren nicht für dieses Maß an Geschwindigkeit oder Komplexität konzipiert.

Für die GDPR-Compliance lag der Fokus auf Datenschutz. Die Aufgaben waren einfach – personenbezogene Daten identifizieren, Kontrollen implementieren und Compliance dokumentieren. GenAI verkompliziert die Angelegenheit jedoch, da es weniger um die Daten selbst und mehr um die Art und Weise geht, wie diese Daten transformiert, remixt und auf unerwartete Weise offenbart werden. Unternehmen sind Risiken wie Copilot ausgesetzt, der sensible Tabellen in SharePoint offenlegt, Mitarbeiter, die proprietären Code in ChatGPT einfügen, um Skripte zu debuggen, und KI-generierte Ausgaben, die genug Kontext enthalten, um vertrauliche Informationen zu veröffentlichen.

Traditionelle Tools waren nicht dafür ausgelegt, die Sicherheits- und Compliance-Risiken von GenAI zu bewältigen. DLP-Regeln übersehen Nuancen. Berechtigungsprüfungen kämpfen darum, mit der Zusammenarbeit Schritt zu halten. Und Schatten-KI bedeutet, dass Aktivitäten außerhalb der genehmigten Tools stattfinden.

Was Sicherheitsleiter jetzt tun können

Die bevorstehende regulatorische Herausforderung erscheint einschüchternd, aber sie muss nicht überwältigend sein. Der erste Schritt besteht darin, das Problem neu zu bewerten. GenAI ist keine neue, riskante Kategorie; es ist ein Booster. Es verstärkt bestehende Probleme – wie übermäßige Datenberechtigungen, schlechte Klassifizierung und begrenzte Sichtbarkeit – und macht sie gefährlicher. Die Bekämpfung dieser Risiken kann dazu beitragen, die Compliance-Anforderungen für GenAI zu erfüllen.

CISOs sollten priorisieren, starke Grundlagen aufzubauen, anstatt perfekte Richtlinien zu erstellen, um zukünftigen regulatorischen Anforderungen besser gerecht zu werden. Dazu gehören die Erzielung von Sichtbarkeit bei der Nutzung von KI, die Anwendung kontextbezogener Datenklassifizierung und die Schaffung adaptiver Richtlinien, die Sicherheit mit Produktivität in Einklang bringen.

Die Organisationen, die erfolgreich sein werden, sind nicht diejenigen mit den meisten Regelbüchern und Geboten, sondern diejenigen mit einem klaren Verständnis dessen, was vor sich geht, kombiniert mit Schutzmaßnahmen, die die Compliance-Anforderungen erfüllen. Hier sind die wichtigsten Schritte, die zu befolgen sind:

1. Sichtbarkeit bewerten. Identifizieren Sie, wo GenAI eingesetzt wird, einschließlich Schatten-GenAI. Warten Sie nicht auf ein Ereignis, um zu entdecken, dass die Finanzabteilung Prognosen in ChatGPT eingibt.
2. Klassifizieren mit Kontext. Gehen Sie über Regex oder Dateinamen hinaus. Semantische Klassifizierung hilft dabei, zu bestimmen, ob plan_final.docx harmlos oder hochsensibel ist.
3. Berechtigungen einschränken. Least Privilege sollte nicht optional sein; es ist unerlässlich, um Compliance zu wahren und zu verhindern, dass Copilot sensible Vorstandsprotokolle einem Praktikanten offenlegt. Übershared-Ordner sind eine häufige Quelle von Risiken und zukünftigen Compliance-Verstößen.
4. Ausgaben wie Eingaben behandeln. KI-generierter Text kann genauso leicht wie Prompts veröffentlicht werden. Überwachen und prüfen Sie, wie es weitergeleitet wird.
5. Adaptive Compliance-Strategien entwickeln. Richtlinien, die heute geschrieben werden, können in sechs Monaten unwirksam werden.

Für Führungskräfte ist die Botschaft klar. Der regulatorische Druck nimmt schneller zu, als viele erwarten, und das Warten auf die Festlegung von Standards ist kein tragbarer Plan. Governance-Rahmen müssen jetzt implementiert werden, nicht nur, um Risiken zu reduzieren, sondern auch, um Regulierungsbehörden, Kunden und Aufsichtsräten zu demonstrieren, dass die Einführung von KI bewusst und verantwortungsvoll erfolgt.