EU-Verhaltenskodex für KI: Fragen zur Nutzung Künstlicher Intelligenz bleiben offen

KI ist ganz offensichtlich eines der Themen, welches die Gesellschaft, Wirtschaft und auch die Politik derzeit in unterschiedlicher Ausprägung sehr beschäftigt

[datensicherheit.de, 18.07.2025] Künstliche Intelligenz (KI) ist ganz offensichtlich eines der Themen, welches die Gesellschaft, Wirtschaft und auch die Politik derzeit in unterschiedlicher Ausprägung sehr beschäftigt. In diesem Zusammenhang hat die EU einen freiwilligen Verhaltenskodex zur verantwortungsvollen Entwicklung und Nutzung der KI erstellt. Jeremy London, „Director Engineering, AI & Threat Analytics“ bei Keeper Security, führt indes in seinem aktuellen Kommentar aus, dass auch darin noch wichtige Fragen offen blieben: Dazu gehörten beispielsweise die Sicherheit von vertraulichen bzw. geheimen Daten sowie der Schutz von Anmeldedaten oder Daten in privilegierten Systemen. Denn wenn ein KI-Agent ohne angemessene „Governance“ Zugangsdaten abrufen oder verwalten könne, könnte dies unbeabsichtigt dazu führen, dass er interne Zugriffskontrollen umgeht oder „Compliance“-Standards verletzt.

Foto: Keeper Security

Jeremy London: Zweifellos lässt sich durch die Integration von KI ein deutlicher Produktivitätsgewinn erzielen. Dieser Gewinn bringt jedoch auch ein wachsendes Risiko mit sich!

KI-Modelle könnten Zugriff auf einige der sensibelsten Daten erhalten

Der Schwerpunkt des neuen freiwilligen EU-Verhaltenskodexes für KI liege verständlicherweise auf der verantwortungsvollen KI-Entwicklung. „Doch indirekt wirft er auch die Frage nach einem weiteren wichtigen Pfeiler der gewissenhaften Einführung auf – der Sicherheit bei der Nutzung von KI.“

• KI-Systeme würden in vielen Unternehmen zunehmend in den täglichen Betrieb integriert. Ein Großteil der bisherigen Diskussionen, Empfehlungen und Gesetzgebungsvorhaben zum Thema „Compliance“ konzentriere sich darauf, „wie KI-Modelle aufgebaut sind, um zu funktionieren, und nicht darauf, wie sie von Endnutzern eingesetzt und genutzt werden“.

Unternehmen trainierten KI heute nicht nur, sondern setzten sie auch ein und nutzten „Agentic AI“ in verschiedenen Abteilungen, um Berichte zu erstellen, Arbeitsabläufe zu automatisieren und auf interne oder externe Systeme zuzugreifen. Damit gewährten sie KI-Modellen Zugriff auf einige der sensibelsten Daten, über die ein Unternehmen verfügt.

Jeder KI-Assistent, jedes Skript und jede Modellschnittstelle potenzieller Angriffspunkt

London verdeutlicht: „Sicherheitsverantwortliche stehen in diesem Szenario vor einer doppelten Herausforderung. Zweifellos lässt sich durch die Integration von KI ein deutlicher Produktivitätsgewinn erzielen. Dieser Gewinn bringt jedoch auch ein wachsendes Risiko mit sich!“

• Jeder KI-Assistent, jedes Skript und jede Modellschnittstelle sei nämlich ein potenzieller Angriffspunkt, insbesondere bei der Interaktion mit Anmeldedaten oder privilegierten Systemen.

Die Anwendung von Secure-by-Design-Prinzipien ende nicht mit der Entwicklung der KI, sondern müsse sich auch auf die Integration, den Einsatz und die Überwachung von KI erstrecken. „Dies ist ein wichtiger Aspekt, den Unternehmen neben dem von der EU empfohlenen Regulierungsrahmen berücksichtigen müssen“, betont London.

Grundsätzlich sollten KI-Agenten wie alle anderen privilegierten Benutzer oder Anwendungen behandelt werden

Unternehmen sollten die Einführung eines „Model Context Protocol“ (MCP) für die Integration von „Agentic AI“ ernsthaft in Betracht ziehen. MCP ermögliche es Unternehmen, KI-Tools von Drittanbietern oder aus dem eigenen Haus mit privilegierten Systemen zu verbinden, ohne Zero-Trust-Grenzen zu verletzen oder Zero-Knowledge-Architekturen zu gefährden.

• London führt aus: „Wenn ein KI-Agent ohne angemessene ,Governance’ Zugangsdaten abrufen oder verwalten kann, könnte dies unbeabsichtigt dazu führen, dass er interne Zugriffskontrollen umgeht oder ,Compliance’-Standards verletzt. Grundsätzlich sollten KI-Agenten wie alle anderen privilegierten Benutzer oder Anwendungen behandelt werden.“

Das bedeutet demnach Zugriff mit geringsten Privilegien, menschliche Aufsicht, vollständige Prüfpfade und ausdrückliche Freigabe durch Administratoren. „Werden solche Sicherheitsvorkehrungen nicht umgesetzt, könnte dies die Rahmenwerke für den Datenschutz, die Unternehmen in den letzten zehn Jahren mühsam aufgebaut haben, erheblich untergraben.“

Souveräne KI legt Verantwortung wieder zurück in die Hände der Unternehmen

Die Initiative der EU, die KI-„Governance“ durch freiwillige Kodizes zu gestalten, sei ein willkommener Schritt.

• „Aber technische und operative Kontrollen müssen parallel dazu weiterentwickelt werden, um sicherzustellen, dass die Einführung und Operationalisierung von KI-Systemen wohlüberlegt, beabsichtigt und reguliert erfolgt.“

Abschließend unterstreicht London: „Souveräne KI legt die Verantwortung wieder in die Hände der Unternehmen, die ihre eigenen Nutzungsrichtlinien, Zugriffskontrollen und Regeln für die Daten-,Governance’ definieren und durchsetzen müssen.“

Weitere Informationen zum Thema:

KEEPER
Wir sind Keeper Security

Europäische Kommission
Erstellung eines allgemeinen KI-Verhaltenskodex

datensicherheit.de, 08.07.2025
VDI-Forderung nach gezielter KI-Kompetenz für Ingenieurarbeit / Der VDI beabsichtigt, seine Rolle als unabhängige Plattform für Wissensaustausch, ethische Orientierung und politische Positionierung auch auf dem Gebiet der KI ausbauen

datensicherheit.de, 04.07.2025
Intensive KI-Nutzung in Unternehmen – Entwicklung von Richtlinien und Governance fällt zurück / Nicht einmal ein Drittel der Unternehmen verfügt über eine formelle, umfassende KI-Richtlinie

datensicherheit.de, 01.07.2025
Datenqualität in KI-Systemen: BSI stellt methodischen Leitfaden vor / Die europäische KI-Verordnung definiert Qualitätsanforderungen an KI-Trainingsdaten, die Aspekte wie Relevanz, Fehlerfreiheit und Vollständigkeit abdecken.

datensicherheit.de, 24.02.2025
Responsible AI: Vertrauen, Security und Governance sind Voraussetzungen / Immer mehr Unternehmen setzen auf die Implementierung von KI als Kernbestandteil ihrer Geschäftsstrategie