Wenn ein generatives KI-Tool in einem Marketingteam oder einem Kundenservice eingeführt wird, lautet die erste Frage nicht mehr „Welches Modell soll man wählen?“, sondern „Dürfen wir es so nutzen?“. Dieser Wechsel fasst einen Großteil dessen zusammen, was sich 2024 in der Technologie geändert hat: Die Werkzeuge entwickeln sich schnell weiter, die Regulierung folgt dicht auf, und die Entscheidungen werden nun sowohl auf juristischer als auch auf technischer Ebene getroffen.
AI Act: Was die europäische Verordnung konkret vor Ort ändert
Die europäische Verordnung über künstliche Intelligenz (AI Act) wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und trat am 1. August 2024 in Kraft. Ihre Architektur basiert auf einer Klassifizierung nach Risikostufen, mit abgestuften Verpflichtungen je nach Nutzung des KI-Systems.
Was diesen Text auszeichnet, ist sein schrittweiser Zeitplan. Die ersten Verbote (soziales Scoring, Verhaltensmanipulation) gelten seit dem 2. Februar 2025. Die Verpflichtungen für KI-Modelle mit allgemeinem Gebrauch folgen ab dem 2. August 2025. Es handelt sich nicht um einen regulatorischen Big Bang, sondern um einen schrittweisen Anstieg über mehrere Monate.
Für Unternehmen bedeutet dies eine Bestandsaufnahme: Die internen KI-Systeme auflisten, jede Nutzung gemäß dem im Regulierungsrahmen definierten Risikoniveau klassifizieren, die Prozesse dokumentieren und die Teams schulen. Die Tech-Infos auf Web Hebdo bieten regelmäßig detaillierte Informationen zu diesen regulatorischen Entwicklungen, die auf alltägliche Werkzeuge angewendet werden.
Ein oft unterschätzter Punkt: Die Compliance betrifft auch Unternehmen, die KI einsetzen, nicht nur diejenigen, die die Modelle entwickeln. Ein HR-Service, der ein KI-basiertes CV-Sortierungstool verwendet, fällt unter den Geltungsbereich der Verordnung, ebenso wie der Softwareanbieter.
Datensicherheit und Informationssysteme im Jahr 2024
Die generative KI hat neue Angriffsvektoren eröffnet. Die Erstellung von personalisiertem Phishing, sprachliche Deepfakes für Social Engineering oder die Nutzung von Sprachmodellen zur Erkennung von Schwachstellen im Quellcode sind Szenarien, die von den IT-Sicherheitsteams dokumentiert wurden.
Als Antwort integrieren auch Sicherheitslösungen künstliche Intelligenz, um Netzwerkverhalten in Echtzeit zu analysieren. Es ist ein Wandel der Investitionen zu beobachten: weniger klassische perimeterbasierte Firewalls, mehr Verhaltensüberwachung und dynamische Segmentierung.
Was sich für KMUs ändert
Große Unternehmen verfügen über dedizierte Teams. Für kleinere Strukturen ist die Inanspruchnahme von Cloud-basierten Managed Security Services der tragfähige Kompromiss. Diese Plattformen bündeln Überwachung, Bedrohungsanalyse und Incident Response.
Die Rückmeldungen zu diesem Punkt variieren je nach Sektor: Ein Industrie-KMU hat nicht die gleichen Anforderungen wie eine Beratungsfirma. Die Entscheidung dreht sich oft um das Verhältnis zwischen den Kosten eines Vorfalls und den Kosten der Prävention.
Cloud-Technologien und hybride IT: Die Entscheidungen von 2024
Die Debatte „alles in die Cloud“ gegen „Rückkehr zu On-Premise“ hat sich verfeinert. In der Praxis arbeiten die meisten Organisationen hybrid, mit Arbeitslasten, die je nach Sensibilität der Daten und Latenzanforderungen zwischen lokaler Infrastruktur und öffentlicher Cloud verteilt sind.
- Daten, die strengen regulatorischen Anforderungen unterliegen (Gesundheit, Finanzen, öffentlicher Sektor in Frankreich), werden oft auf qualifizierten oder souveränen Infrastrukturen gehostet
- Variable Arbeitslasten (Datenanalyse, Training von KI-Modellen, Anwendungstests) migrieren in die öffentliche Cloud, um von der Elastizität zu profitieren
- Kritische Anwendungen mit niedriger Latenz (industrielle Steuerung, eingebettete Systeme) stützen sich zunehmend auf Edge Computing, mit Verarbeitung so nah wie möglich an der Quelle
Die Wahl der Architektur hängt vom Anwendungsfall ab, nicht von einer Doktrin. Man migriert nicht „in die Cloud“ aus Prinzip, sondern platziert dort, was einen messbaren operativen Nutzen hat.
Generative KI im Unternehmen: Über die Demonstration hinaus
Die Experimentierphase mit ChatGPT und seinen Äquivalenten hat einer bodenständigeren Frage Platz gemacht: Wie integriert man diese Werkzeuge in bestehende Geschäftsprozesse, ohne technische Schulden oder rechtliche Risiken zu schaffen?
Die Anwendungsfälle, die nach mehreren Monaten der Einführung tragfähig sind, teilen gemeinsame Merkmale:
- Ein klar definierter und gut dokumentierter Umfang (Verfassen von Standard-E-Mails, Zusammenfassung von Protokollen, Erstellung erster Codeentwürfe)
- Eine systematische menschliche Validierungsschleife vor jeder Veröffentlichung nach außen
- Eine klare Abgrenzung der Trainings- und Prompt-Daten, um die Einspeisung vertraulicher Daten in Drittmuster zu vermeiden
- Eine Schulung der Teams, die über das einfache Tutorial hinausgeht und die Grenzen des Modells abdeckt (Halluzinationen, Verzerrungen, mangelnde Aktualität der Daten)
Die Unternehmen, die einen konkreten Nutzen aus generativer KI ziehen, sind diejenigen, die den Einsatz klar definiert haben, bevor sie das Tool einführen. Das Gegenteil führt zu enttäuschenden Ergebnissen und einer schnellen Ablehnung durch die Teams.
Die Frage der allgemeinen Modelle
Der AI Act legt spezifische Verpflichtungen für Anbieter von allgemeinen KI-Modellen fest, insbesondere in Bezug auf technische Dokumentation und Transparenz über die Trainingsdaten. Für Unternehmen, die Geschäftsapplikationen auf diesen Grundlagen aufbauen, bedeutet dies, die Konformität des zugrunde liegenden Modells zu überprüfen, nicht nur die der Anwendungsschicht.
Dieses Thema bleibt technisch und wird in vielen Organisationen noch schlecht verstanden. Der Trend 2024 in diesem Bereich geht weniger in Richtung massenhafter Einführung als hin zu einer Strukturierung: Verwendung kartografieren, Risiken dokumentieren, Mitarbeiter schulen.
Die Technologielandschaft 2024 zeichnet sich weniger durch spektakuläre Brüche als durch eine schnelle Reifung der Nutzungskonzepte aus. Die Werkzeuge sind vorhanden, die Vorschriften werden klarer, und die konkrete Arbeit findet jetzt in den Entscheidungen über Architektur, Compliance und Schulung der Teams statt.
