Während sich die Debatten über künstliche Intelligenz (KI) auf einige der beängstigendsten Szenarien konzentrieren – eine Superintelligenz, die ihre menschlichen Schöpfer rasch unterwirft, um sie nach ihrem Willen zu lenken, oder einen skrupellosen Nationalstaat, der KI einsetzt, um die Eroberung der Welt in Angriff zu nehmen –, sind die wahrscheinlichsten Risiken der KI eher alltäglicher Natur. Und wesentlich überschaubarer.
Dies dürfte eine gute Nachricht für die unzähligen Unternehmer sein, die darauf brennen, Formen der generativen künstlichen Intelligenz (GenAI) einzusetzen – also Systeme, die als Reaktion auf Eingabeaufforderungen neue Texte, Bilder, Audiodateien oder Programmcode generieren können. e Risiken im Zusammenhang mit GenAI sind Führungskräften im Bereich Unternehmenstechnologie sowie den Chief Information Security Officers (CISOs) bereits bekannt. Sie beziehen sich auf Daten -Governance, Datensicherheit, vertrauenswürdige und ethische Entscheidungsfindung sowie die Sicherheit der KI-Anwendungen selbst.
Der Unterschied – und der ist erheblich – zwischen diesen Bedenken und den eher üblichen Cybersicherheitsrisiken, mit denen Unternehmen im Laufe der Jahre konfrontiert waren, besteht darin, dass die GenAI-Technologie im Unternehmenskontext neu ist und die Auswirkungen auf die Sicherheit nicht vorhersehbar sind. Zwar gibt das Ausmaß dieser Unvorhersehbarkeit vielen Wissenschaftlern Anlass zur Sorge, doch ist es nicht unüberwindbar. Es gibt Maßnahmen, die Unternehmen ergreifen können, um die mit GenAI verbundenen Gesamtrisiken effektiv zu bewältigen.
„Der erste Schritt besteht darin, zumindest über eine Richtlinie zu verfügen, die Leitlinien für den Umgang mit großen Sprachmodellen enthält“, sagt Walter Haydock, Gründer und Geschäftsführer des auf KI-Cybersicherheit spezialisierten Unternehmens StackAware. Von allen derzeit verfügbaren neuen Formen der GenAI stoßen große Sprachmodelle (LLMs), die auf Abruf Text oder Code generieren, auf großes Interesse bei Unternehmen jeder Größe.
„Der erste Schritt besteht darin, zumindest über eine Richtlinie zu verfügen, die Leitlinien für die Nutzung großer Sprachmodelle enthält.“Walter Haydock, Gründer und Geschäftsführer von StackAware
Unternehmen gaben im Jahr 2023 schätzungsweise 19,4 Milliarden US-Dollar für GenAI-Lösungen aus – und könnten bis zum Jahr 2027 bis zu 151 Milliarden US-Dollar investieren –, wie aus den Zahlen des „ “ des Marktforschungsunternehmens International Data Corp. hervorgeht. Insbesondere große Sprachmodelle (LLMs) werden bereits als Chatbots bei führenden Unternehmen in verschiedenen Branchen eingesetzt, darunter in der Reisebranche (Expedia), der Versicherungsbranche (Allstate), im Finanzdienstleistungssektor (Mastercard) und in der Fertigungsindustrie (Schneider Electric).
Was steht auf dem Spiel? Unternehmen ohne solide Richtlinien zur internen Unternehmensführung werden feststellen, dass sie den Ergebnissen ihrer selbst entwickelten LLM-Modelle nicht vertrauen können. Sie sind anfälliger für Verstöße gegen ethische Grundsätze und Urheberrechtsverletzungen sowie für Datenlecks bei „ “. Und sie könnten die Kontrolle über das LLM-Modell selbst verlieren, sollten sie Opfer eines Cyberangriffs werden.
Die Einrichtung einer effektiven GenAI-Governance geht schneller, als Sie denken
John Pescatore, Leiter des Bereichs „Emerging Security Trends“ am SANS Institute, der weltweit führenden Forschungs- und Schulungsorganisation im Bereich Cybersicherheit, stimmt Haydock zu und rät Unternehmen, mit einem umfassenden Governance-Modell zu beginnen. Dazu gehören die Sicherung des Modells selbst sowie der Daten, mit denen das Modell gefüttert wird, und die Überwachung des Verhaltens des Modells.
„Es geht nicht darum, das Modell zu erstellen und es dann zu vergessen – erst die kontinuierliche Pflege sorgt dafür, dass die Arbeit erledigt wird.“John Pescatore, Leiter des Bereichs „Neue Sicherheitstrends“ am SANS Institute
Der Vorgang muss nicht unbedingt Monate dauern. Dies lässt sich innerhalb weniger Wochen bewerkstelligen, wobei zu beachten ist, dass Sie damit keine endgültigen Regeln und Richtlinien festlegen, die für alle GenAI-Systeme auf Dauer gelten sollen. Ihre Strategie wird (und sollte) im Laufe der Zeit angepasst werden, da sich die Technologie und die Anforderungen Ihres Unternehmens ändern. „Es geht nicht darum, das Modell zu erstellen und es dann zu vergessen – erst die kontinuierliche Pflege sorgt dafür, dass die Arbeit erledigt wird“, sagt Pescatore.
Um die Aufgaben langfristig effektiv zu bewältigen, empfehlen Experten Unternehmen, die folgenden Maßnahmen zu ergreifen.
1. Legen Sie den Umfang Ihres KI-/LLM- und Daten-Governance-Programms fest
Das bedeutet, dass Sie die konkreten Ziele Ihres GenAI-Systems festlegen und klar formulieren sowie dessen Grenzen darlegen müssen. Klare Grenzen tragen dazu bei, Ergebnisse zu vermeiden, die möglicherweise gegen Compliance- oder Datenschutzstandards verstoßen. Um Rollen, Zuständigkeiten und bewährte Vorgehensweisen zu klären, erfragen und legen Sie Folgendes fest: Wer ist für die Sicherung und Verwaltung des LLM-Programms, der Datenquellen sowie der Klassifizierung der Daten im LLM verantwortlich? Wie wird das Modell diese Daten dann erfassen, speichern, verwalten und nutzen?
2. Sorgen Sie für eine solide Datenhygiene
Organisationen müssen detailliert darlegen, wie die Daten, die zum Trainieren der LLMs verwendet werden, bereinigt, angereichert und validiert werden. Auch hier sollten sie festlegen, wer diese Prozesse überwachen wird und welche Protokolle dabei einzuhalten sind. Die Validierung der Trainingsdaten (um deren Richtigkeit sicherzustellen) und deren Bereinigung von sensiblen Daten, regulierten Daten oder geistigem Eigentum (sofern es sich um ein öffentlich zugängliches Modell handelt) ist unerlässlich, um Datenlecks oder Datenschutzverletzungen zu verhindern.
3. Fordern Sie eine zuverlässige Datensicherheit
„Um es ganz klar zu sagen: Datensicherheit ist von grundlegender Bedeutung“, betont Ron Reiter, Mitbegründer und CTO des Cloud-Sicherheits-Start-ups Sentra. „Wenn Sie darauf achten, die sensiblen Daten, die übertragen werden, zu schützen, minimieren Sie Ihre Angriffsfläche und können so eine bessere Sicherheitsrichtlinie entwickeln“, sagt er.
Es ist zudem ratsam, Richtlinien für den Zugriff auf die Modelle und deren Entwicklung sowie für die Daten, mit denen die Modelle gespeist werden, festzulegen und zu regeln, wie die Modelle und die darin enthaltenen Daten geschützt werden sollen. Die für die Governance zuständigen Planer müssen festlegen, wie die Organisation sicherstellen wird, dass die Daten und die Maßnahmen des Modells den Vorschriften der „ “, den staatlichen Vorschriften sowie den Unternehmensstandards entsprechen.
4. Kontinuierlich überwachen
Organisationen müssen Systeme einrichten, um das Verhalten der KI, die Datenzufuhr des Modells und die Art und Weise, wie das Modell genutzt wird, zu überwachen. Der Betrieb kann eingestellt werden, falls das Modell anfängt, böswillig zu handeln oder vertrauliche Daten preiszugeben.
5. Voreingenommenheit abmildern
Zwar lassen sich Voreingenommenheiten nicht vollständig beseitigen, doch kann ein Unternehmen Maßnahmen entwickeln und umsetzen, um Voreingenommenheiten in LLM-Systemen zu verringern und diese zu erkennen, sobald sie auftreten. Voreingenommenheiten durch GenAI können Entscheidungen bei der Kreditvergabe, der Bonitätsbewertung, bei Einstellungsverfahren und sogar bei der Verbreitung von Falschinformationen im Zusammenhang mit „ “ beeinflussen. Zu den Maßnahmen zur Risikominderung sollten die Datenkuratierung (unter Verwendung von Daten aus verschiedenen Quellen), Instrumente zur Erkennung von Verzerrungen, Transparenz hinsichtlich der Daten und des LLM sowie eine regelmäßige Überwachung gehören. Unternehmen müssen fortlaufende Überprüfungen durchführen, um zu verhindern, dass es aufgrund potenzieller Verzerrungen in den Unternehmensdaten zu verzerrten Ergebnissen kommt.
6. Überarbeiten Sie Ihre Vorgehensweise bei Vorfällen
Holen Sie Ihre „ “-Notfallhandbücher wieder hervor und stellen Sie sicher, dass diese auch GenAI berücksichtigen. Ihr Notfallplan muss eine Schritt-für-Schritt-Anleitung enthalten, falls Ihre GenAI-Systeme ausfallen oder Opfer eines Cyberangriffs werden sollten.
7. Bleiben Sie flexibel
Unternehmen müssen ein Governance-Rahmenwerk für GenAI schaffen, das flexibel genug ist, um sich an technologische Fortschritte im Bereich der KI sowie an neue Vorschriften staatlicher Regulierungsbehörden anzupassen – sowohl in den USA als auch im Ausland. Eine erfolgreiche GenAI-Governance-Richtlinie sieht zudem vor, die Nutzung von LLMs im Unternehmen regelmäßig auf mögliche Verstöße zu überprüfen und die Wirksamkeit der Richtlinie zu bewerten.
8. Achten Sie auf Einheitlichkeit
Es ist von entscheidender Bedeutung, dass das KI-Governance-Rahmenwerk die Nutzung und Sicherheit von KI unternehmensweit einheitlich regelt. Eine wirksame Strategie sollte sicherstellen, dass die verschiedenen Abteilungen und Geschäftsbereiche im Hinblick auf die KI-Governance nicht jeweils eigenmächtig handeln.
Feinabstimmung Ihrer GenAI-Governance-Richtlinien
In den Governance-Plänen sollte auch die Art der von einem Unternehmen eingesetzten LLMs berücksichtigt werden. (Sie können ein vorhandenes LLM einsetzen, ein vortrainiertes LLM anpassen oder ein eigenes von Grund auf neu entwickeln.) Wenn Sie ein eigenes Modell erstellen, mag es vorteilhaft erscheinen, ein großes Modell zu entwickeln und die darin eingespielten Daten virtuell zu trennen, damit sie von verschiedenen Abteilungen genutzt werden können. Eine möglicherweise bessere Option: Erstellen Sie kleinere, physisch voneinander getrennte große Sprachmodelle (LLMs) für Bereiche wie Marketing, Forschung und Finanzen, sodass Mitarbeiter und andere Nutzer nur auf Daten zugreifen können, für die sie eine Berechtigung und einen berechtigten Bedarf haben. Indem Sie den Zugriff auf GenAI-Systeme einschränken, verringern Sie das Risiko eines großflächigen Datenlecks. „Das ist meiner Meinung nach die einzige Möglichkeit, Modelle hinsichtlich des Zugriffs und der Datenabgrenzung zu schützen“, sagt Reiter.
Wie bei jeder umfassenden Cybersicherheitsrichtlinie ist das Risikomanagement durch Drittanbieter für einen GenAI-Governance-Plan von entscheidender Bedeutung. Führungskräfte in Unternehmen und Sicherheitsteams müssen über ihre eigene Netzwerkarchitektur hinausblicken und die Governance- und Sicherheitsprotokolle von Drittanbietern berücksichtigen, um zu beurteilen (und kontinuierlich zu überwachen), inwiefern sich deren Governance- und Risikomanagementpraktiken mit den Ihren überschneiden.
Genau wie Ihre allgemeine Governance-Planung muss auch die Bewertung von Risiken durch Dritte nicht allzu zeitaufwendig sein. „Nach unseren Erfahrungen mit Kunden lässt sich die Bewertung und Verbesserung der Sicherheitsumgebung zum Schutz von GenAI in der Regel innerhalb von 60 Tagen durchführen“, heißt es in einem aktuellen Leitfaden von PricewaterhouseCoopers mit dem Titel „ “ ( ) zur Skalierung von GenAI für Unternehmen.
Indem Sie sicherstellen, dass die Sicherheitsverantwortlichen und Führungskräfte der obersten Ebene auf dem gleichen Stand sind, , können Sie diesen Prozess optimieren – insbesondere im Hinblick auf etwaige Voraussetzungen oder Verfahren, um KI-Lösungen von Drittanbietern in die genehmigte Liste Ihres Unternehmens aufzunehmen. „Sollte das Sicherheitsteam aus irgendeinem Grund Einwände gegen die Nutzung dieses Tools oder gegen die Einbindung dieser Art von Daten in das Tool haben, so ist hier der Prozess zur Erlangung einer Risikoakzeptanz auf der Grundlage der geschäftlichen Begründung dargelegt“, erläutert Haydock.
Experten sind sich einig, dass der Schlüssel zu all dem darin liegt, sich für „Security-by-Design“ einzusetzen und in dieses Konzept zu investieren.
„Der Wettlauf um die Einführung und Absicherung generativer KI folgt dem typischen Muster: Unternehmen beeilen sich, die Technologie auf den Markt zu bringen, während die Sicherheit dabei auf der Strecke bleibt“, sagt Pescatore. „Leider hinkt die Sicherheit immer hinterher“, sagt er. Und das Hinterherlaufen hinter den Gegnern ist eine Strategie, die garantiert zum Scheitern führt.
