Governance im Zeitalter generativer KI: Die neue Architektur der Unternehmens‑Compliance

Lassen Sie sich diesen Blog-Artikel von einer Künstlichen Intelligenz vorlesen.

Data Governance war schon immer ein kritischer Erfolgsfaktor für Unternehmen – doch der Einzug von KI-Lösungen in alle Geschäftsbereiche birgt neue Herausforderungen, auf die nicht alle vorbereitet sind. So gaben im Rahmen einer Befragung durch Red Hat nur 30 Prozent der befragten IT-Verantwortlichen an, über ein ausgeprägtes Governance-Konzept für die Nutzung von Agentic AI zu verfügen. Während das Fundament der Datensicherheit seit jeher besteht, erzwingt die heutige technologische Dynamik einen Paradigmenwechsel in der Umsetzung: Es geht nicht mehr nur darum, Daten zu besitzen, sondern sie in einer Form zu organisieren, die für moderne Informationssysteme lesbar, interpretierbar und kontrollierbar ist. 

Inhalt

Vom Datenfriedhof zur Wissensbasis: Die veränderte Risikolandschaft im Zeitalter von KI
Microsoft Purview als Kontrollzentrum: Intelligente Leitplanken für Daten und Wissenssysteme
Automatisierung durch Data Discovery und Klassifizierung
Data Loss Prevention als operativer Schutzschirm
Mit ACP zur operativen Governance
Fazit: Governance als Voraussetzung für Vertrauen im Zeitalter der KI

Vom Datenfriedhof zur Wissensbasis: Die veränderte Risikolandschaft im Zeitalter von KI 

Moderne Anwendungen greifen in Sekundenbruchteilen auf Datenbestände zu, die über Jahrzehnte gewachsen sind. Dabei treten heute Herausforderungen zutage, die klassische Sicherheitskonzepte oft überfordern: Was früher in digitalen Archiven ruhte, wird heute zur aktiven Wissensbasis mit allen damit verbundenen Risiken für Compliance und Datenschutz.

• Internes Oversharing: Da KI-Systeme auf alle für den User zugänglichen Daten zugreifen, führen historisch gewachsene, zu weit gefasste Berechtigungen dazu, dass sensible Informationen ungewollt in KI-Antworten oder Zusammenfassungen auftauchen.

• Schatten-KI und unkontrollierter Datenabfluss: Die Nutzung nicht autorisierter externer KI-Tools durch Mitarbeitende führt zu einem unkontrollierten Abfluss von Unternehmensdaten in öffentliche Modelle und verletzt unter Umständen datenschutzrechtliche Bestimmungen.

• Übermäßige Kontextaggregation: Durch die Fähigkeit der KI, Fragmente aus verschiedenen Quellen zu kombinieren, können unter Umständen sensible Daten preisgegeben werden, die innerhalb der isolierten Quellen geschützt waren.

• Verstoß gegen Löschkonzepte und Data Provenance: KI greift auch auf Daten zu, die gemäß DSGVO längst gelöscht werden müssen.  

Microsoft Purview als Kontrollzentrum: Intelligente Leitplanken für Daten und Wissenssysteme

KI‑Systeme wie Microsoft Copilot greifen auf vorhandene Datenquellen zu und damit auf alle Berechtigungen, Klassifizierungen und Altstrukturen, die sich über Jahre entwickelt haben. Gleichzeitig wissen viele Organisationen zwar, wo ihre Daten liegen, aber nicht mehr genau, welche Informationen sie enthalten und wer darauf zugreifen kann. Microsoft Purview adressiert genau dieses Problem, indem es eine einheitliche Governance‑Ebene schafft, die Datenklassifizierung, Zugriffskontrolle und Compliance automatisiert und nachvollziehbar verbindet.

• Native Berücksichtigung von Schutzrichtlinien: Sobald User eine Anfrage an den Copilot stellen, gleicht das System im Hintergrund in Sekundenbruchteilen die Klassifizierung der Quelldokumente ab. Informationen mit Labels wie „Streng vertraulich“ werden so unter Berücksichtigung der definierten Richtlinien verarbeitet oder gegebenenfalls nicht indexiert.
• Automatisierte Vererbung: Erstellt der Copilot eine Zusammenfassung aus mehreren Quellen, übernimmt das neue Dokument automatisch das restriktivste Schutzniveau der zugrundeliegenden Quelldaten. Diese restriktive Vererbungslogik verhindert, dass sensible Inhalte durch die KI-Generierung in unklassifizierte Formate überführt werden können.
• Objektbasierter Schutz und Verschlüsselung: Durch die Integration des Azure Information Protection (AIP) Service stellt Purview sicher, dass der Schutz direkt am Dokument haftet. Daten bleiben so auch dann geschützt, wenn sie die eigene Tenant-Umgebung verlassen oder mit Dritten geteilt werden.

Automatisierung durch Data Discovery und Klassifizierung

Eine der größten Herausforderungen moderner Compliance-Modelle ist die Skalierbarkeit. Manuelle Klassifizierungsprozesse stoßen bei den heute üblichen Datenmengen im Terabyte-Bereich an ihre Grenzen. Die Folge sind unklare Schutzstufen und veraltete Berechtigungen, die eine effektive Kontrolle erschweren.

Microsoft Purview löst dieses Problem durch den Einsatz von Automatisierung und maschinellem Lernen. Trainierbare Klassifizierer identifizieren Dokumententypen wie Verträge, Quellcode oder Rechnungen eigenständig. Ergänzend dazu scannt das System über Sensitive Information Types (SIT) aktiv nach spezifischen Mustern wie IBANs, Ausweisnummern oder projektspezifischen Schlagworten und versieht diese Bestände automatisiert mit den entsprechenden Labels. So entsteht eine strukturierte und maschinenlesbare Datenlandschaft, die ein Fundament für den regelkonformen KI-Einsatz bildet.

Data Loss Prevention als operativer Schutzschirm

Um sicherzustellen, dass die durch KI gewonnene Effizienz nicht zu einem Sicherheitsrisiko wird, überwacht die Data Loss Prevention (DLP) alle relevanten Kommunikationskanäle. Auf Basis konfigurierbarer Richtlinien interveniert das System in Echtzeit, sobald KI-generierte Antworten geteilt werden. DLP verhindert beispielsweise den Versand sensibler Inhalte an externe Empfänger:innen oder die Veröffentlichung in ungesicherten Teams-Kanälen. Dieser Schutz erstreckt sich bis auf die Endgeräte: Das Kopieren vertraulicher KI-Ergebnisse in private Cloud-Speicher oder auf externe Datenträger wird unterbunden. So bleibt die Kontrolle über den Informationsfluss auch in hochdynamischen KI-Szenarien vollständig gewahrt.