Der Spagat zwischen Datenschutz und Produktivitätssteigerung

Der Einsatz von generativer KI hat sich in den letzten 12 Monaten mehr als verdreifacht, aber Unternehmen haben immer noch Schwierigkeiten, ein Gleichgewicht zwischen Sicherheit und Risikomanagement zu finden. So sind mehr als ein Drittel der sensiblen Geschäftsinformationen, die in generative KI-Apps eingegeben werden, persönliche Daten. [...]

Netskope hat mit dem Cloud- und Bedrohungsbericht „AI Apps in the Enterprise“ eine neue Studie veröffentlicht, aus der hervorgeht, dass mehr als ein Drittel der sensiblen Daten, die mit generativen KI-Tools ausgetauscht werden, regulierte Daten sind – also Daten, zu deren Schutz Unternehmen gesetzlich verpflichtet sind. Dies stellt für Unternehmen ein potenzielles Risiko für kostspielige Datenschutzverletzungen dar.

Die Studie zeigt auch, dass drei Viertel der befragten Unternehmen mindestens eine genAI-App vollständig blockieren. Dies spiegelt den Wunsch der Technologieverantwortlichen in Unternehmen wider, das Risiko der Verbreitung sensibler Daten zu begrenzen. Da jedoch weniger als die Hälfte der Unternehmen datenbezogene Kontrollen anwenden, um zu verhindern, dass sensible Informationen weitergegeben werden, sind die meisten Unternehmen im Rückstand bei der Einführung fortschrittlicher Lösungen für Data Loss Prevention (DLP). Diese sind für die sichere Nutzung von genAI jedoch erforderlich.

Zehn genAI-Apps pro Unternehmen

Anhand globaler Datensätze fanden die Forscher heraus, dass 96 Prozent der Unternehmen inzwischen genAI einsetzen – eine Zahl, die sich in den letzten 12 Monaten verdreifacht hat. Im Durchschnitt nutzen Unternehmen jetzt fast zehn genAI-Apps, im letzten Jahr waren es noch drei. Die Top 1 Prozent der Unternehmen, die genAI einsetzen, nutzen jetzt durchschnittlich 80 Apps – eine deutliche Steigerung von zuvor 14. Mit der zunehmenden Nutzung haben Unternehmen einen Anstieg bei der Freigabe von firmeneigenem Quellcode innerhalb von genAI-Apps erlebt, der 46 Prozent aller dokumentierten Verstöße gegen die Datenrichtlinie ausmacht. Diese sich verändernde Dynamik erschwert die Risikokontrolle in Unternehmen und macht stärkere DLP-Maßnahmen erforderlich.

Es gibt positive Anzeichen für ein proaktives Risikomanagement bei verschiedenen Sicherheits- und Datenverlustkontrollen, die Unternehmen anwenden: Beispielsweise implementieren 65 Prozent der Unternehmen jetzt ein Nutzer-Coaching in Echtzeit, um die Anwenderinteraktionen mit genAI-Apps zu steuern. Laut der Studie spielt ein effektives Nutzer-Coaching eine entscheidende Rolle bei der Minderung von Datenrisiken, da 57 Prozent der Nutzer ihre Handlungen nach dem Erhalt von Warnungen ändern.

„Die Absicherung von genAI bedarf weiterer Investitionen und größerer Aufmerksamkeit, da sich die Nutzung von genAI Tools in Unternehmen durchsetzt und es keine Anzeichen dafür gibt, dass sich diese Entwicklung bald verlangsamen wird“, sagt James Robinson, Chief Information Security Officer bei Netskope. „Unternehmen müssen sich darüber im Klaren sein, dass genAI-Outputs ungewollt sensible Informationen preisgeben, Fehlinformationen verbreiten oder sogar bösartige Inhalte einschleusen können. Das erfordert einen starken Risikomanagement-Ansatz, um Daten, Ruf und Geschäftskontinuität zu schützen.“

Weitere Erkenntnisse des Reports „AI Apps in the Enterprise“

• ChatGPT bleibt die beliebteste App – sie wird von mehr als 80 Prozent der Unternehmen genutzt.
• Microsoft Copilot verzeichnete mit 57 Prozent den stärksten Anstieg der Nutzung seit seiner Einführung im Januar 2024.
• 19 Prozent der Unternehmen haben ein generelles Verbot von GitHub CoPilot erhoben.

Taktische Schritte zur Bewältigung von Risiken durch genAI

• Netskope empfiehlt Unternehmen, ihre Risiko-Frameworks zu überprüfen, anzupassen und speziell auf AI oder genAI zuzuschneiden, indem sie Ansätze wie das NIST AI Risk Management Framework nutzen.
• Kennen Sie Ihren aktuellen Stand: Beginnen Sie damit, die aktuelle Nutzung von KI und maschinellem Lernen, Datenpipelines und genAI-Anwendungen zu bewerten. Identifizieren Sie Schwachstellen und Lücken in den Sicherheitskontrollen.
• Kernkontrollen implementieren: Legen Sie grundlegende Sicherheitsmaßnahmen fest, wie z. B. Zugriffskontrollen, Authentifizierungsmechanismen und Verschlüsselungen.
• Erweiterte Kontrollmaßnahmen planen: Entwickeln Sie über die Grundlagen hinaus eine Roadmap für erweiterte Sicherheitskontrollen. Ziehen Sie Bedrohungsmodellierung, Anomalieerkennung, kontinuierliche Überwachung und Verhaltenserkennung in Betracht, um verdächtige Datenbewegungen in Cloud-Umgebungen und genAI-Apps zu identifizieren, die von normalen Verhaltensmustern abweichen.
• Messen, Starten, Überarbeiten, Wiederholen: Bewerten Sie regelmäßig die Wirksamkeit Ihrer Sicherheitsmaßnahmen. Passen Sie sie an und verfeinern Sie diese auf der Grundlage von Erfahrungen aus der Praxis und neu auftretenden Bedrohungen.