ChatGPT erklärt die DSGVO, Claude formuliert eine KI-Richtlinie, und andere Systeme erstellen in wenigen Minuten Checklisten, für die früher mehrere Beratungsstunden anfielen.
Ob die Ergebnisse fachlich richtig und im konkreten Unternehmen umsetzbar sind, ist damit allerdings noch nicht beantwortet.
Für Anbieter von Leistungen in Datenschutz, Informationssicherheit und Compliance ist das keine besonders gemütliche Entwicklung. Es ist aber auch keine, die man kleinreden sollte.
Wenn Beratung hauptsächlich darin besteht, Vorschriften zusammenzufassen und Standarddokumente zu verschicken, kann KI bereits heute einen erstaunlich großen Teil dieser Arbeit übernehmen.
Die entscheidende Frage lautet deshalb nicht, ob KI Fachleute pauschal ersetzen kann, sondern welche ihrer Aufgaben überhaupt noch einen Menschen brauchen.
Die unbequeme Wahrheit zuerst
KI kann viele vorbereitende und wiederkehrende Aufgaben unterstützen oder teilweise automatisieren.
Sie kann Vorschriften zusammenfassen, erste Entwürfe erstellen, Dokumente vorstrukturieren und vergleichen, mögliche Auffälligkeiten markieren sowie Fragen, Checklisten und Schulungsunterlagen vorbereiten.
Das spart Zeit und kann die Qualität verbessern. Die Ergebnisse müssen allerdings fachlich geprüft und auf das konkrete Unternehmen übertragen werden.
Wenn die Tätigkeit eines Beraters hauptsächlich daraus besteht, Gesetzestexte in ein Word-Dokument zu kopieren und anschließend eine allgemeine Checkliste zu versenden, ist KI tatsächlich eine ernst zu nehmende Alternative.
Das ist weniger ein Argument gegen Beratung als gegen Beratung ohne erkennbaren Mehrwert.
Kann KI einen Datenschutzbeauftragten ersetzen?
In bestimmten Fällen muss ein Unternehmen einen Datenschutzbeauftragten benennen.
Für nicht öffentliche Stellen in Deutschland gilt dies in der Regel, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Unabhängig von dieser Personenzahl kann eine Benennung erforderlich sein, wenn eine Verarbeitung eine Datenschutz-Folgenabschätzung notwendig macht. Weitere Fälle ergeben sich aus Artikel 37 DSGVO und aus § 38 BDSG. Dazu gehören beispielsweise Kerntätigkeiten mit einer umfangreichen regelmäßigen und systematischen Überwachung von Personen oder die umfangreiche Verarbeitung besonders sensibler personenbezogener Daten.
Eine KI kann diese gesetzlich vorgesehene Funktion nicht übernehmen.
Der Datenschutzbeauftragte informiert und berät, überwacht die Einhaltung der Datenschutzvorgaben und unterstützt bei Datenschutz-Folgenabschätzungen. Er arbeitet mit der Aufsichtsbehörde zusammen und dient als Anlaufstelle für betroffene Personen.
Dabei muss er frühzeitig eingebunden werden, ausreichende Ressourcen erhalten, unabhängig arbeiten können und unmittelbar an die höchste Managementebene berichten. Interessenkonflikte müssen vermieden werden.
Diese Anforderungen gelten unabhängig davon, ob die Funktion intern besetzt oder durch einen externen Dienstleister übernommen wird.
KI kann die Arbeit des Datenschutzbeauftragten erheblich erleichtern. Sie ersetzt aber weder seine gesetzliche Stellung noch die unabhängige Bewertung eines konkreten Sachverhalts.
Braucht jedes Unternehmen einen Informationssicherheitsbeauftragten?
Eine allgemeine gesetzliche Pflicht, nach der jedes private Unternehmen einen Informationssicherheitsbeauftragten mit genau dieser Bezeichnung bestellen muss, besteht nicht. Die Verantwortung für Informationssicherheit entfällt dadurch jedoch nicht.
Besonders wichtige und wichtige Einrichtungen müssen nach dem BSI-Gesetz angemessene Risikomanagementmaßnahmen ergreifen. Ihre Geschäftsleitungen sind verpflichtet, diese Maßnahmen umzusetzen und zu überwachen sowie regelmäßig an Schulungen teilzunehmen. Für die Bundesverwaltung gelten weitergehende Vorgaben zur Bestellung eines Informationssicherheitsbeauftragten und einer Vertretung.
Private Unternehmen können die Aufgaben abhängig von Größe und Risiko intern verteilen, einen eigenen ISB benennen oder externe Unterstützung einsetzen. Entscheidend sind funktionierende Verantwortlichkeiten, Befugnisse, Berichtswege und ausreichende Ressourcen.
KI kann den ISB dabei erheblich unterstützen: Sie kann Richtlinienentwürfe erstellen, Anforderungen strukturieren, Kontrollfragen vorbereiten, Risiken vorsortieren oder umfangreiche Dokumentationen auswerten. Sie kann auch dabei helfen, wiederkehrende Aufgaben schneller und einheitlicher zu bearbeiten.
Nicht übernehmen kann KI jedoch die organisatorische Verantwortung. Sie kennt den tatsächlichen Zustand der Systeme und Prozesse nicht automatisch, kann Risiken falsch bewerten und keine belastbare Entscheidung über die Akzeptanz eines Risikos treffen. Auch die Abstimmung mit Geschäftsleitung, IT, Fachbereichen und Dienstleistern sowie die unabhängige Eskalation kritischer Sachverhalte bleiben menschliche Aufgaben.
Die sinnvollere Frage lautet deshalb nicht, ob KI den ISB ersetzt, sondern welche seiner Aufgaben sie beschleunigen kann.
KI kann Informationssicherheitsarbeit effizienter machen: Verantwortung, Einordnung und Entscheidung verbleiben beim Menschen.
Und was ist mit dem Compliance Officer?
Auch einen Compliance Officer benötigt nicht automatisch jedes Unternehmen.
Eine allgemeine Pflicht für sämtliche Unternehmen gibt es nicht. In regulierten Branchen können jedoch verbindliche Anforderungen bestehen.
Kreditinstitute müssen beispielsweise nach den Mindestanforderungen an das Risikomanagement eine Compliance-Funktion einrichten und einen Compliance-Beauftragten benennen. Vergleichbare Anforderungen können sich auch aus anderen aufsichtsrechtlichen Regelungen ergeben.
Für viele mittelständische Unternehmen ist Compliance zunächst eine Organisationsaufgabe. Die Geschäftsleitung muss erkennen, welche rechtlichen und internen Anforderungen gelten, wer für deren Umsetzung verantwortlich ist und wie Verstöße erkannt und behandelt werden.
KI kann dabei unterstützen. Sie trägt jedoch keine Organverantwortung und trifft keine verbindlichen Entscheidungen für das Unternehmen.
Was KI wirklich gut kann
Richtig eingesetzt kann KI Fachfunktionen deutlich entlasten.
Sie kann:
- große Mengen an Informationen strukturieren
- erste Entwürfe für Richtlinien und Dokumentationen erstellen
- Dokumente vergleichen und mögliche Auffälligkeiten markieren
- verständliche Erklärungen und Schulungsunterlagen vorbereiten
- wiederkehrende Prüfungen und Fragen standardisieren
- Informationen aus verschiedenen Fachgebieten zusammenführen
- den Einstieg in ein unübersichtliches Thema erleichtern
Das kann dazu führen, dass Unternehmen weniger Zeit für vorbereitende Tätigkeiten einkaufen müssen.
Aus unserer Sicht ist das kein Problem. Niemand sollte eine Beratungsstunde bezahlen müssen, nur um eine einfache Vorschrift erklärt zu bekommen.
Was sich nicht sinnvoll an KI delegieren lässt
Schwieriger wird es, wenn Informationen unvollständig oder widersprüchlich sind.
Eine KI kennt die tatsächlichen Abläufe im Unternehmen nur so gut wie die Angaben, die sie erhält. Sie weiß nicht automatisch, ob ein beschriebener Prozess auch wirklich gelebt wird. Sie erkennt nicht zuverlässig, wenn Zuständigkeiten nur auf dem Papier existieren oder eine Sicherheitsmaßnahme regelmäßig umgangen wird.
Eine KI kann Gespräche vorbereiten, Entscheidungen anfordern und an offene Maßnahmen erinnern. Sie verfügt jedoch über kein unabhängiges Mandat, keine eigene Kenntnis der gelebten Organisation und keine persönliche Verantwortlichkeit.
Entscheidend ist deshalb nicht nur, was sie formulieren kann. Entscheidend ist, wer die Ergebnisse prüft, Entscheidungen trifft und für deren Umsetzung einsteht.
Eine KI fürchtet kein unangenehmes Meeting. Verantwortlich nimmt sie daran allerdings auch nicht teil.
Drei Dinge sollten Unternehmen unterscheiden
Bei der Diskussion über KI und Fachfunktionen werden häufig unterschiedliche Modelle vermischt.
1. Gesetzlich erforderliche Beauftragte oder Funktionen
Diese können nicht einfach durch ein KI-System ersetzt werden. Für sie gelten konkrete Anforderungen an Fachkunde, Aufgaben, Stellung oder Unabhängigkeit.
2. Freiwillig geschaffene interne Funktionen
Unternehmen können Rollen wie Informationssicherheit oder Compliance freiwillig einrichten. Hier besteht mehr Freiheit bei der organisatorischen Ausgestaltung.
3. Externe Unterstützung
Externe Fachleute können gesetzliche und freiwillige Funktionen unterstützen. In bestimmten Fällen können sie eine Funktion auch übernehmen. Die Verantwortung des Unternehmens und seiner Leitung verschwindet dadurch jedoch nicht.
KI kann in allen drei Modellen ein hilfreiches Werkzeug sein. Sie ist aber zunächst genau das: ein Werkzeug.
Auch der Einsatz von KI braucht Regeln
Unternehmensinformationen sollten nicht unkontrolliert in frei verfügbare KI-Systeme eingegeben werden.
Vor der Nutzung ist zu klären, welches System für welchen Zweck freigegeben ist. Personenbezogene Daten, Geschäftsgeheimnisse und vertrauliche Informationen dürfen nicht ohne vorherige Prüfung verarbeitet oder eingegeben werden.
Auch fachlich überzeugend klingende Antworten müssen überprüft werden. KI kann veraltete Vorschriften verwenden, Zusammenhänge falsch gewichten oder Informationen ergänzen, die im konkreten Fall nicht stimmen.
Eine gute Antwort ist noch keine belastbare Entscheidung.
Was das für unsere Arbeit bei WaPo bedeutet
Software sollte keine Fachverantwortung vortäuschen. Sie sollte Fachleute und Verantwortliche von den Aufgaben entlasten, für die kein persönliches Urteil erforderlich ist.
WaPo strukturiert vorhandene Unterlagen, verbindet zusammengehörige Informationen, bereitet Rückfragen vor und hält Aufgaben und Nachweise zusammen. Aus einmaligen Dokumenten entsteht so ein laufender und nachvollziehbarer Prozess.
Fachliche Bewertungen, Freigaben und Entscheidungen bleiben bei den zuständigen Menschen.
Dadurch wird Beratung nicht überflüssig. Sie kann sich stärker auf die Fragen konzentrieren, bei denen Erfahrung, Unabhängigkeit und eine belastbare Entscheidung tatsächlich gebraucht werden.
Die kurze Antwort
KI kann gesetzlich erforderliche Beauftragte oder Funktionen nicht ersetzen. Sie kann deren Arbeit aber erheblich erleichtern und viele vorbereitende Tätigkeiten übernehmen.
Unternehmen benötigen nicht für jede einfache Frage eine Beratungsstunde. Sie benötigen jedoch klare Verantwortlichkeiten, fachlich geprüfte Entscheidungen und Menschen, die auch dann nachfragen, wenn die Antwort unbequem ist.
Genau dort beginnt die Arbeit, die sich nicht mit einem guten Prompt erledigen lässt.