AI Journey: Der Weg zu einer sicheren und produktiven KI-Nutzung

Künstliche Intelligenz verspricht mehr Effizienz, schnellere Entscheidungen und neue Geschäftsmodelle. Ohne klare Guardrails für Daten, Sicherheit und Verantwortlichkeiten drohen Datenschutzverletzungen, Compliance-Verstösse und Vertrauensverlust. Dieser Beitrag zeigt die fünf Dimensionen der AI Journey, ihre Umsetzung in fünf Phasen und konkrete Schritte für die ersten 90 Tage.

Künstliche Intelligenz verändert Arbeitsweisen, Prozesse und Geschäftsmodelle schneller als jede Technologie der letzten Jahrzehnte. Die Frage ist längst nicht mehr, ob KI eingesetzt wird, sondern wie bewusst sie den Einsatz steuern: Welche Anwendungsfälle schaffen messbaren Mehrwert? Welche Daten dürfen in KI-Systeme fliessen? Und wer trägt Verantwortung für Ergebnisse, Risiken und Entscheidungen?

Wer zu lange abwartet, verliert praktische Erfahrung, wertvolles Know-how und womöglich Wettbewerbsvorteile. 

Wer KI ohne klare Regeln einführt, öffnet zugleich neue Angriffsflächen: Vertrauliche Informationen können unkontrolliert in externe Dienste gelangen, fehlerhafte Ergebnisse beeinflussen Entscheidungen, und regulatorische Anforderungen geraten aus dem Blick.

Eine strukturierte AI Journey verbindet diese beiden Perspektiven. Sie beschreibt den schrittweisen Weg zu einer produktiven, sicheren und nachvollziehbaren KI-Nutzung.

Eine gute AI Governance unterstützt Innovation. Sie klärt Verantwortlichkeiten, schützt sensible Daten und schafft den Rahmen, in dem Teams KI-Anwendungen sicher entwickeln, testen und produktiv einsetzen können.

KI verändert jedes Unternehmen, oft unbemerkt

KI verändert Arbeitsweisen, Entscheidungsprozesse und den Umgang mit Wissen. Marketing erstellt Kampagnen, Sales Angebote, die Entwicklung nutzt Coding-Agents, HR generiert Bewerbungsunterlagen und Finance wertet Verträge automatisiert aus.

Viele Unternehmen glauben dennoch, noch keine KI einzusetzen. Tatsächlich nutzen Mitarbeitende oft längst KI-Dienste über private Accounts, Browser-Erweiterungen oder bereits aktivierte KI-Funktionen in Microsoft 365 und anderen SaaS-Lösungen, ohne dass dies bewusst entschieden wurde.

Die bestehende KI-Nutzung sichtbar und steuerbar zu machen, ist deshalb der erste Schritt der AI Journey.

Die AI Journey beginnt nicht mit Technologie

Sondern mit Transparenz. Bevor Unternehmen in Tools und Lizenzen investieren, sollten sie sich deswegen drei Fragen beantworten: Welche KI-Dienste werden bereits genutzt? Welche Daten fliessen dabei aus dem Unternehmen? Und welche Anwendungsfälle bieten den grössten Nutzen?

Ein AI Security Assessment hilft, die tatsächliche Nutzung zu erfassen, Risiken realistisch zu bewerten und Investitionen zu priorisieren. Als Orientierung dienen unter anderem ISO 42001, MITRE ATLAS, NIST AI RMF und die CSA AI Security Guidelines.

Wie gross die Lücke sein kann, zeigt der Vergleich: Während offiziell oft nur drei bis vier KI-Lösungen freigegeben sind, lassen sich über Netzwerk-Traffic und SaaS-Admin-Konsolen mitunter mehr als 40 KI-Dienste identifizieren.

Diese Diskrepanz ist der Ausgangspunkt für gezielte Massnahmen. Nur was bekannt ist, lässt sich wirksam steuern.

Die fünf Dimensionen einer erfolgreichen AI Journey

Eine erfolgreiche AI Journey braucht mehr als Technologie. Sie verbindet Strategie und Governance, Daten- und Informationsschutz, Technologie und Security, Prozesse und Business Value sowie Menschen und Kultur. Erst das Zusammenspiel dieser fünf Dimensionen ermöglicht die Grundlage für eine sichere, produktive und skalierbare KI-Nutzung.

Dimension / Ziel 

Strategie & Governance / Klare Verantwortlichkeiten und Leitplanken

Daten & Informationsschutz / Kontrolle über sensible Informationen

Technologie & Security / Sichere Nutzung von KI-Plattformen

Prozesse & Business Value / Priorisierung wertvoller Use Cases

Menschen & Kultur / Förderung der kompetenten und verantwortungsvollen Nutzung

Tabelle 1: Fünf Dimensionen einer erfolgreichen AI Journey

Governance schafft dabei den Orientierungsrahmen: Klare Zuständigkeiten, risikobasierte Prüfungen und technische Guardrails ermöglichen es Teams, KI-Anwendungsfälle zügig und sicher umzusetzen.

Fehlt das richtige Gleichgewicht, wird Governance zum Hindernis statt zum Wegbereiter:

Zu wenig Governance: Gute Ideen scheitern an fehlenden Freigaben oder werden zum unkontrollierten Risiko.

Ausgewogene Governance: Klare, praxisnahe Leitplanken ermöglichen es Teams, Innovationen zügig zu erproben und erfolgreiche Anwendungsfälle sicher zu skalieren.

Zu viel Governance: Starre Regeln ohne Praxisbezug verhindern genau die Innovation, die sie ermöglichen sollen.

Einstieg für Unternehmen: AI Journey in fünf Phasen starten

Ein häufiger Irrtum lautet: „Bevor wir KI einsetzen können, brauchen wir zuerst eine vollständige AI Governance.“ In der Praxis wächst Governance am wirksamsten mit den ersten Use Cases. So entstehen Leitplanken, die sich an realen Risiken und dem tatsächlichen Nutzen orientieren.

Phase 1 – KI-Nutzung sichtbar machen

Eine belastbare Bestandsaufnahme in Form eines AI Security Assessments schafft Transparenz über genutzte KI-Tools, Datenflüsse sowie Risiken und bildet so die Grundlage für eine erste Risikoeinschätzung. Sie erfasst auch eingebettete KI-Funktionen und informell genutzte Dienste, so entzieht sie auch Shadow AI gezielt den Nährboden.

Dafür werden mehrere Informationsquellen zusammengeführt:

Netzwerk- und Proxy-Logs: Zugriffe auf bekannte KI-Domains auswerten

SaaS-Admin-Konsolen: Aktivierte KI-Funktionen und Add-ons in Microsoft 365, Salesforce oder Google Workspace prüfen

Befragungen der Fachbereiche: Informell genutzte KI-Tools erfassen, die in technischen Logs möglicherweise nicht sichtbar sind

Datenflüsse und Use Cases: Datenverarbeitung bewerten, Risiken einschätzen und erkennbare Anwendungsfälle inventarisieren

Wie gut ist Ihr Unternehmen für den Einsatz von KI aufgestellt? Mit einer Gap-Analyse nach ISO/IEC 42001:2023 identifizieren Sie Lücken in Ihrem AI-Management-System, bewerten Risiken und erhalten konkrete, priorisierte Handlungsempfehlungen.

Mehr zur KI-Sicherheitsbewertung

Phase 2 – Leitplanken und Verantwortlichkeiten definieren

Governance scheitert selten am Willen, sondern an unklaren Zuständigkeiten. Vier Rollen schaffen klare Verantwortlichkeiten: 

AI Security Officer: technische Sicherheitsprüfung und operative Freigabe innerhalb definierter Leitplanken

Data Protection Officer (DPO): Bewertung datenschutzrechtlicher Risiken

Use-Case-Owner: fachliche Verantwortung im jeweiligen Bereich

AI Board: strategische Steuerung und Entscheidung bei High-Risk-Fällen, (z.B. in einem monatlichen Gremium) oder bei Überschreitung definierter Freigabegrenzen

Das AI Board vereint strategische, operative und kontrollierende Aufgaben. Es entwickelt die KI-Vision, definiert Richtlinien und Standards, priorisiert Projekte, stellt Ressourcen bereit und begleitet Pilotprojekte bis zur Skalierung. Zudem überwacht es Leistung und Risiken der KI-Systeme, sichert die Einhaltung von Ethik- und Datenschutzvorgaben und berichtet regelmässig an relevante Stakeholder. Das Gremium sollte strategische Führung, KI-Expertise, Fachbereiche und Datenschutz vereinen. Der Prüfprozess richtet sich nach dem Risiko:

Risiko / Beispiele / Prozess

Niedrig / Interne Zusammenfassungen, Übersetzungen, Ideensammlungen / Nutzung nach definierter Policy, keine Einzelfallprüfung

Mittel / Kundenkommunikation, interne Wissensdatenbanken mit Personendaten / Gemeinsame Prüfung durch AI Security Officer und DPO

Hoch / Automatisierte Entscheidungen, autonome Agenten mit geschäftskritischer Wirkung / Freigabe durch AI Board, regelmässige risikobasierte Überprüfung und erneute Freigabe bei wesentlichen Änderungen

Tabelle 2: Risikobasierter Prüf- und Freigabeprozess für KI-Anwendungen

Phase 3 – KI technisch sicher nutzbar machen

Technische Guardrails schützen Daten, begrenzen Zugriffe und machen den KI-Einsatz nachvollziehbar:

Rollenbasierte Berechtigungen

Multi-Faktor-Authentifizierung (MFA)

DLP-Regeln speziell für KI-Prompts (klassische DLP-Systeme scannen meist E-Mails und Uploads, nicht aber Texteingaben in Browser-Tools)

API-Schutz (z.B. eigene API und Nutzung von API-Keys von externen AI-Anbietern)

Vollständiges Logging und Monitoring

Wichtig sind zudem Kostentransparenz durch Budgetlimits und Nutzungsanalysen sowie die Dokumentation der eingesetzten Modellversionen. Sie erleichtert Nachvollziehbarkeit, Compliance und die Untersuchung von Sicherheitsvorfällen.

Für KI-Agenten kommen weitere Schutzmassnahmen hinzu: isolierte Laufzeitumgebungen wie Sandboxing oder Container, klar begrenzte Zugriffsrechte auf Daten und Netzwerkressourcen sowie ein Zero-Trust-Ansatz. Er prüft jede Anfrage und jeden Zugriff konsequent, statt pauschal Vertrauen vorauszusetzen.

Besondere Aufmerksamkeit verdienen Retrieval-Augmented-Generation-Systeme (RAG). Sie ergänzen KI-Antworten mit Informationen aus internen oder externen Wissensquellen. Veraltete oder manipulierte Inhalte können zu fehlerhaften Ergebnissen führen. RAG-Systeme müssen deshalb Quellen regelmässig validieren und Berechtigungen konsequent vererben: Ein KI-Assistent darf nur Dokumente durchsuchen, auf die die anfragende Person auch tatsächlich zugreifen darf.

«Das Ziel ist nicht, KI zu verhindern, sondern sie sicher und produktiv nutzbar zu machen.»

Phase 4 – Kompetenzen gezielt aufbauen

Ein allgemeines KI-Training für alle greift zu kurz. Entscheidend sind Formate, die typische Aufgaben und Risiken der jeweiligen Rolle aufgreifen:

Mitarbeitende: sicherer Umgang mit generativer KI anhand eigener Arbeitsaufgaben

Entwicklungsteams: Prompt Injection, sichere KI-Entwicklung und AI Security anhand konkreter Beispiele

Führungskräfte: Haftung, Verantwortung und regulatorische Anforderungen

Ein Netzwerk aus AI Champions (ein bis zwei benannte Personen pro Fachbereich) fördert den Erfahrungsaustausch zwischen Teams. So werden Erkenntnisse früh sichtbar und fliessen laufend in Prozesse und Governance ein.

Phase 5 – Erfolgreiche Use Cases skalieren

Erst jetzt beginnt die eigentliche Transformation und Pilotprojekte wachsen zu produktiven Lösungen. Neue Prozesse entstehen und KI-Agenten übernehmen wiederkehrende Aufgaben.

Jeder produktive KI-Anwendungsfall braucht:

eine:n Business Owner

eine:n technische:n Owner

definierte Erfolgskennzahlen, etwa Zeitersparnis oder maximal tolerierte Fehlerquote

ein dokumentiertes Risikoprofil eine regelmässige Überprüfung

Bei autonomen KI-Agenten ergänzt gezieltes Red Teaming diese Kontrollen. Es prüft vor dem Produktivstart, ob manipulierte Eingaben einen Agenten zu unerwünschten Handlungen bewegen können – etwa zu einem Datenexport oder zur Freigabe einer Transaktion.

So wird aus einzelnen Experimenten ein nachhaltiges KI-Programm. Unkoordinierte Insellösungen verlieren an Raum, während bewährte Anwendungsfälle sicher skalieren können.

Governance beschleunigt die sichere KI-Nutzung

Viele Unternehmen glauben, Governance ist ein Innovationshindernis. In der Praxis ist meist das Gegenteil der Fall:

Klare Verantwortlichkeiten beschleunigen Entscheidungen: Es ist eindeutig, wer KI-Anwendungsfälle prüft und freigibt.

Definierte Freigabeverfahren schaffen Sicherheit: Teams wissen, welche Anforderungen für neue Ideen gelten.

Technische Guardrails ermöglichen eine sichere KI-Nutzung: Sie schützen Daten, begrenzen Zugriffe und machen Kontrollen nachvollziehbar.

Awareness verhindert vermeidbare Fehler: Mitarbeitende erkennen Risiken früh und nutzen KI verantwortungsvoll.

Governance schafft Vertrauen, indem sie Transparenz, klare Verantwortlichkeiten und einen verlässlichen Umgang mit Daten und Risiken sicherstellt – und so die Grundlage für Akzeptanz und Innovation legt.

In 90 Tagen die Grundlage schaffen? Machbar!

Der Einstieg in die AI Journey lässt sich innerhalb von 90 Tagen strukturiert vorbereiten. Dafür genügen erste, klar priorisierte Schritte:

Transparenz über die vorhandene KI-Nutzung schaffen

Datenflüsse und Risiken erstmals bewerten

Verantwortlichkeiten und eine einfache AI Policy definieren

rollenspezifische Schulungen starten 

zwei bis drei Pilot-Use-Cases mit Owner und Erfolgskriterien festlegen

Danach lässt sich die AI Journey schrittweise ausbauen. Jede Kontrolle muss von Beginn an bewusst angelegt sein; Perfektion kann mit den Anforderungen wachsen.

Fazit: KI verantwortungsvoll in die Wertschöpfung überführen

Gefahr besteht heute nicht nur darin, KI einzusetzen. Sie besteht auch darin, KI unkontrolliert oder gar nicht einzusetzen. Wer zu lange wartet, verliert Know-how und wertvolle Lernzeit. Die unkontrollierte KI-Nutzung erhöht dagegen Risiken für Daten, Compliance und Geschäftsprozesse.

Die AI Journey verbindet Innovationskraft mit wirksamer Governance, Geschwindigkeit mit Sicherheit und neue Technologie mit klarer Verantwortung. Unternehmen müssen dafür keine perfekte Gesamtstrategie abwarten, sie können heute damit beginnen!

Entscheidend ist ein bewusster, strukturierter Start mit Leitplanken, die mit den ersten Anwendungsfällen mitwachsen. Denn Erfolg haben jene Organisationen, die KI nicht nur schnell einführen, sondern sie sicher, verantwortungsvoll und vertrauenswürdig in ihre Geschäftsprozesse integrieren.

Gehen Sie Ihre AI Journey mit uns an! Wir unterstützen Sie dabei, Ihre KI-Nutzung sicher und produktiv zu gestalten.

Mehr zur KI-Sicherheitsbewertung