L’AI Act, oder die Verordnung über künstliche Intelligenz (Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024), hat einen ganzen Markt von Tools für die KI-Governance entstehen lassen. Doch die fortschrittlichsten Organisationen fangen nicht bei null an, sondern bauen auf dem auf, was sie bereits entwickelt haben.
Die Teams für Privacy, Compliance und Risikomanagement werden de facto zu den ersten KI-Governance-Teams in den Unternehmen. Das ist keine bewusste strategische Entscheidung der Organisationsgestaltung, sondern eine direkte Folge davon, dass die Fragen, die KI aufwirft, im Wesentlichen Fragen sind, mit denen diese Teams bereits umzugehen wissen.
Um diese Entwicklung zu dokumentieren, haben wir die von IAPP, Cisco, IBM, Microsoft und McKinsey veröffentlichten Daten sowie mehrere europäische institutionelle Quellen zusammengeführt. Was diese Studien gemeinsam offenbaren, ist bedeutsamer als das, was sie jeweils für sich aussagen: DSGVO, Data Governance und KI-Governance konvergieren – und diese Konvergenz ist bereits im Gange.
Privacy-Teams werden zunehmend zu KI-Governance-Teams
Eine der auffälligsten Erkenntnisse jüngerer Studien betrifft weniger die Zahlen selbst als vielmehr das, was sie über die stille Neuordnung der Organisationen offenbaren: KI-Governance wird nicht auf der grünen Wiese aufgebaut. Sie stützt sich fast überall auf die Teams, die bereits für Datenschutz, Data Governance oder Compliance zuständig sind.
Dieser Trend ist kein Zufall. Die ersten Fragen, die beim Einsatz eines KI-Systems aufkommen, betreffen stets die Daten: ihre Herkunft, ihre Qualität, die betroffenen Personen, die mit ihrer Verarbeitung verbundenen Risiken. Genau diese Fragen stellen Privacy-Teams seit Jahren.
Wichtige Kennzahlen
- 69 % der Chief Privacy Officers haben inzwischen Verantwortlichkeiten im Bereich KI-Governance.
- Mehr als 80 % der Privacy-Teams haben heute Verantwortlichkeiten, die über den rein regulatorischen Rahmen der DSGVO hinausgehen.
- 55 % der Privacy-Fachleute arbeiten in Organisationen, in denen die Privacy-Funktion an der KI-Governance beteiligt ist.
- 22 % der Organisationen übertragen die Hauptverantwortung für die KI-Governance der Privacy-Funktion, gegenüber 22 % für Legal- und Compliance-Teams, 17 % für die IT und 10 % für Data-Governance-Teams.
- 67 % der Organisationen, deren KI-Governance von der Privacy-Funktion getragen wird, geben an, zuversichtlich zu sein, die Anforderungen des AI Act erfüllen zu können.
Die Einführung von KI schreitet viel schneller voran als die Governance-Strukturen
Die Einführung von künstlicher Intelligenz in Unternehmen ist mittlerweile massenhaft und gut dokumentiert. Weniger sichtbar und deutlich besorgniserregender ist die strukturelle Lücke, die sich zwischen der Geschwindigkeit des KI-Rollouts und der Fähigkeit der Organisationen, ihn zu steuern, auftut.
Das Phänomen der Shadow AI (Mitarbeitende nutzen KI-Tools ohne vorherige Freigabe, oft aus Angst, als rückständig wahrgenommen zu werden) entwickelt sich zum größten KI-Governance-Risiko in Unternehmen.
Wichtige Kennzahlen
- 75 % der Wissensarbeiter nutzen bereits KI bei der Arbeit.
- 78 % der Nutzer bringen ihre eigenen KI-Tools mit zur Arbeit.
- 52 % der Nutzer zögern, ihre KI-Nutzung offenzulegen, und 53 % befürchten, als ersetzbar wahrgenommen zu werden, wenn sie KI einsetzen.
- 79 % der Führungskräfte halten KI für notwendig, um wettbewerbsfähig zu bleiben, aber 60 % geben zu, keine klare KI-Strategie zu haben.
- 77 % der Organisationen sind der Ansicht, dass die KI-Einführung schneller voranschreitet als ihre Governance-Fähigkeiten.
- Nur 11 % sehen sich als vollständig vorbereitet für einen KI-Rollout im großen Maßstab.
Quellen: Microsoft Work Trend Index 2024 / IBM Institute for Business Value (CEO & CTO Generative AI Study)
KI-Vorfälle ähneln eher Governance-Problemen als algorithmischen Problemen
Die Debatten rund um künstliche Intelligenz konzentrieren sich oft auf Modelle, ihre Leistungsfähigkeit oder ihre Verzerrungen.
Die jüngsten Studien zeigen jedoch, dass die in Unternehmen beobachteten Vorfälle häufig andernorts ihren Ursprung haben: fehlende Governance, unzureichende Zugriffskontrollen, mangelhafte Steuerung von Drittanbietern, fehlende Transparenz über die tatsächliche Nutzung. Die eigentlichen Ursachen von KI-Vorfällen sind Probleme der Data Governance – nicht Probleme bei der Modellparametrisierung.
Diese Themen sind den Teams für Privacy, Sicherheit und Compliance bereits bestens vertraut.
Wichtige Kennzahlen
- 51 % der Organisationen, die KI nutzen, haben bereits mindestens eine negative Folge im Zusammenhang mit KI erlebt.
- Organisationen managen im Durchschnitt doppelt so viele KI-Risiken wie im Jahr 2022.
- 20 % der Unternehmen haben bereits eine mit Shadow AI verbundene Sicherheitsverletzung erlitten; 63 % davon verfügten nicht über eine formelle KI-Governance-Politik, und 97 % hatten keine angemessenen KI-Zugriffskontrollen.
- Verstöße im Zusammenhang mit Shadow AI verursachen im Durchschnitt 670.000 US-Dollar zusätzliche Kosten.
- Die weltweiten durchschnittlichen Kosten einer Datenverletzung betragen 4,4 Millionen US-Dollar.
Quellen: McKinsey – The State of AI 2025 / IBM Cost of a Data Breach Report 2025 / Cybersecurity Dive – Analysis of IBM Cost of a Data Breach Report
Privacy-Investitionen liefern bereits die angestrebten Vorteile in KI-Governance-Programmen
Verantwortliche für KI-Governance wollen in der Regel Vertrauen, Transparenz, Risikokontrolle und Compliance verbessern.
Genau das sind seit Jahren die Vorteile, die Unternehmen ihren Privacy-Programmen zuschreiben.
Die von Cisco veröffentlichten Ergebnisse zeigen, dass die in diesem Bereich getätigten Investitionen heute weithin als wertschöpfend wahrgenommen werden.
Wichtige Kennzahlen
- 96 % der Organisationen sind der Ansicht, dass der Nutzen ihrer Privacy-Investitionen deren Kosten übersteigt.
- Der gemeldete mediane ROI beträgt 1,6x, wobei 53 % der Unternehmen eine Rendite zwischen 1x und 2x verzeichnen.
- 86 % sind der Meinung, dass Datenschutzvorschriften sich positiv auf ihre Organisation auswirken.
- 99 % halten unabhängige Assurance- und Zertifizierungsmechanismen bei der Auswahl ihrer Anbieter für wichtig.
- Organisationen geben im Durchschnitt 2,7 Millionen US-Dollar pro Jahr für ihre Privacy-Programme aus.
Der AI Act stützt sich in hohem Maße auf Mechanismen, die bereits in DSGVO-Programmen vorhanden sind
Wenn man die durch den AI Act auferlegten Pflichten betrachtet, betrifft ein wesentlicher Teil der Anforderungen Daten, Dokumentation, Risikomanagement und Rückverfolgbarkeit.
Diese Mechanismen sind Organisationen, die ihre DSGVO-Compliance strukturiert haben, bereits vertraut.
Der AI Act ist nicht die DSGVO. Sein Anwendungsbereich, seine Logik und seine Akteure sind nicht identisch. Er teilt mit ihr jedoch eine Governance-Architektur, die auf Daten, Dokumentation und Verantwortlichkeit beruht.
Beispiele für Überschneidungen
| AI Act | Privacy-Programme |
|---|---|
| Inventarisierung von KI-Systemen | Verzeichnis der Verarbeitungstätigkeiten |
| Data Governance | Datenmapping |
| Risikomanagement | Datenschutz-Folgenabschätzung (DPIA) |
| Technische Dokumentation | Accountability |
| Management von KI-Anbietern | Management von Auftragsverarbeitern |
| Monitoring nach dem Rollout | Laufende Compliance-Kontrollen |
Regulatorische Referenzen: European Data Protection Board (EDPB) – AI Act and Data Protection Authorities Position Paper / EU AI Act – Article 10 (Data and Data Governance)
Was diese Zahlen zeigen
Für sich genommen ist jede dieser Zahlen interessant; zusammengenommen zeichnen sie jedoch eine weitaus tiefgreifendere Entwicklung: Privacy-Teams werden zunehmend zu zentralen Akteuren der KI-Governance.
Organisationen investieren in Vertrauensmechanismen, die sowohl der DSGVO als auch dem AI Act zugutekommen. Die beobachteten Vorfälle hängen häufig mit Data Governance, Zugriffskontrollen oder dem Management von Anbietern zusammen. Und schließlich beruhen die regulatorischen Anforderungen in hohem Maße auf bereits vorhandenen Bausteinen der Privacy-Programme: Verzeichnisse, Mappings, Folgenabschätzungen, Kontrollen und Dokumentation.
Die Frage ist daher nicht, ob DSGVO und AI Act identisch sind. Das sind sie nicht. Die eigentliche Frage lautet vielmehr, ob es sinnvoll ist, zwei getrennte Governance-Rahmen beizubehalten, um dieselben Daten, dieselben Risiken, dieselben Anbieter und zunehmend auch dieselben Teams zu steuern.
Die Zahlen deuten darauf hin, dass die fortschrittlichsten Organisationen diese Frage bereits beantwortet haben.
Wer die Tools trennt, fragmentiert die Verantwortung. Wer sie vereint, behält die Kontrolle.
Dastra zentralisiert Ihre Privacy- und KI-Governance auf einer einzigen Plattform. Entdecken Sie sie hier.