IT Security Januar / Februar 2024

IT SECURITY | 19
Die Krux also: Die meisten Unternehmen
sind sich inzwischen der Bedeutung
der Technologie und ihrer möglichen
positiven Auswirkungen auf den Arbeitsalltag
bewusst. Allerdings sorgt die an
vielen Stellen ungewisse Sachlage in
puncto Datensicherheit für Sorgenfalten
in den Entscheidergremien. Eine Studie
des Instituts für angewandte Arbeitswissenschaft
e.V. (ifaa) fand heraus, dass
40 Prozent der befragten Unternehmen
Sicherheitsbedenken beim Einsatz von
KI haben.
Zwei Gegensätze, die es aus der Welt
zu schaffen gilt, wenn die deutsche
Unternehmenslandschaft die Potenziale
voll ausschöpfen und das Zeitalter der
KI erfolgreich bestreiten will.
Welche Schritte können Unternehmerinnen
und Unternehmer also gehen, um
den sicheren Einsatz von KI-Tools zu gewährleisten?
Wo und wie werden eingespeiste
Daten weiterverwendet?
KI-Tools haben gemein, dass sie sich
stetig weiterentwickeln. Dafür werden
sie trainiert – und zwar mit externen
Daten. Daraus ergibt sich die Prämisse,
dass die Anbieter dieser KI-Anwendungen
Zugriff auf eben jene Daten haben.
Nicht alle KI-Anbieter haben jedoch die
Sicherheit der Daten, mit denen sie hantieren,
im Kern der DNA.
Entscheider, die vor der Wahl ihres KI-
Anbieters stehen, sollten diesen Punkt
vor allen anderen berücksichtigen und
nur solche KI-Unternehmen in die engere
Auswahl nehmen, die Grundprinzipien
der Datensicherheit verfolgen. Dafür
von hohem Stellenwert ist der Betrieb
einer eigenen Server-Infrastruktur.
Mit dieser gewährleisten Partner-Unternehmen
ständige Datenhoheit, da Informationen
nicht an Drittanbieter, wie
beispielsweise Cloud-Hosting-Services,
weitergegeben werden müssen. Die
NDA LOHNEN SICH IMMER
DANN, WENN DIE ZUR
VERFÜGUNG GESTELLTEN
ANGABEN ZU KI-PRO-
DUKTEN UND -SERVICES
KEINE VOLLUMFÄNGLICHE
BEWERTUNG ERLAUBEN.
Guido Simon, Director of Engineering
(IT-Operations & Infrastructure), DeepL,
www.deepl.com
beste Server-Infrastruktur ist jedoch nur
dann von Wert, wenn die Daten bei der
Übertragung nicht abgegriffen werden
können. Dazu ist ein Datenfluss über
End-to-End-Verschlüsselung zwingend
notwendig. Diesen sollten sich Unternehmen
von ihren Partnern vertraglich
festhalten lassen. Im ersten Schritt helfen
Zertifizierungen, wie ISO27001
und SOC2, ein grundlegendes Verständnis
über die Verarbeitung der Daten
zu erlangen. Liegen diese Zertifizierungen
vor und sollten dennoch Fragen
zur Verarbeitung offen bleiben, können
im weiteren Prozess Whitepaper angefordert
werden, um die Details verstehen
und analysieren zu können.
Weiterverarbeitung der
Daten prüfen
Sind Daten einmal mit Partner-Unternehmen
via End-to-End-Verschlüsselung für
das Ausführen der gewünschten Dienstleistung
geteilt, wird eine Frage oftmals
nur unzureichend beantwortet: Was
passiert im Anschluss mit meinen Daten?
Denn manche KI-Anbieter nutzen die
eingespeisten Daten beispielsweise,
auch ohne klare Kennzeichnung, weiterführend
für das Training ihrer Tools.
Bei der Auswahl des KI-Anbieters muss
deshalb konkret nachgefragt werden,
ob und wie die Daten weiterverarbeitet
werden. Hier sollte man, je nach Sensibilität
der eigenen Daten, auf sofortige
und unwiderrufliche Löschung bestehen.
Bei DeepL sind wir beispielsweise
Eigentümer aller Server und können so
ein hohes Maß an Sicherheit eigenständig
aufrechterhalten. Zudem löschen
wir die Daten unserer Pro-Kunden direkt
nach Ausführung der Übersetzung unwiederbringlich.
Datensicherheit in der Zusammenarbeit
mit internationalen Partnern
Non-Disclosure-Agreements (NDA), zu
Deutsch Geheimhaltungsvereinbarungen,
sind im Unternehmenskontext
gang und gäbe und ein valides Mittel,
um Details in der Zusammenarbeit zwischen
Unternehmen festzuhalten. Im Bereich
der Datenverarbeitung können sie
als weiteres Sicherheitsnetz fungieren,
besonders dann, wenn man mit Anbietern
aus Nicht-EU-Staaten kooperiert.
Denn außerhalb der EU greift die
DSGVO nicht und wird – wenn überhaupt
– nur auf freiwilliger Basis ganz
oder teilweise beachtet. Der durch die
DSGVO grundsätzlich gewährleistete
hohe Sicherheitsstandard ist für Partner,
zum Beispiel in den USA, damit nicht
zwingend gegeben.
In einem NDA sollten deutsche Unternehmen
deshalb festhalten, ob und wie
geteilte Daten gespeichert und genutzt
werden dürfen. Auch andere, individuell
konzipierte Sicherheitsaspekte können
dort festgehalten werden. Viele
Unternehmen lassen sich beispielsweise
eine dauerhafte Rechenschaftspflicht
des Anbieters vertraglich zusichern.
NDA lohnen sich also immer dann,
wenn die zur Verfügung gestellten Angaben
zu KI-Produkten und -Services
keine vollumfängliche Bewertung erlauben
oder überdies zusätzliche Sicherheitsnetze
implementiert werden sollen.
Guido Simon
www.it-daily.net | Januar/Februar 2024