Was die regulatorischen Rahmenwerke gemeinsam haben
Hinweis: Der folgende Abschnitt dient Informationszwecken und stellt keine rechtliche Beratung dar. Lassen Sie sich zu Compliance-Fragen betreffend die individuelle Situation Ihres Unternehmens immer rechtlich beraten.
Bei der Regulierung von KI sind die meisten Unternehmen mit mehr als nur einem Regelwerk konfrontiert. Relevant sind die folgenden Gesetze und Standards:
- Der EU AI Act (EU-Verordnung über künstliche Intelligenz), der KI-Systeme risikobasiert kategorisiert und ihren Einsatz in Hochrisikobereichen wie Recruitment, Bildung und kritischer Infrastruktur reguliert. Für in diesen Bereichen eingesetzte KI-Tools müssen automatische Protokollierung, menschliche Aufsicht und dokumentierte Risikokontrollen sichergestellt werden.
- DORA und NIS2 machen Vorgaben zur digitalen Resilienz von Unternehmen, die im EU-Markt aktiv sind. Reguliert werden die Abhängigkeiten von KI-gestützter SaaS, die im Finanzbereich, der Infrastruktur und im Kerngeschäft von Unternehmen bestehen.
- NIST AI RMF und ISO/IEC 42001 sind für das Beschaffungswesen in Unternehmen und der öffentlichen Hand relevant. Wenn der eigene KI-Systembestand nicht sauber dokumentiert und die Governance nicht nachweisbar ist, kann dies die Einhaltung vertraglicher Zusagen im Zusammenhang mit der Nutzung dieser Systeme gefährden.
- Bei der Überprüfung von DSGVO-Auftragsverarbeitern stehen in der Regel technische Kontrollen im Fokus. Dabei betonen der EDSA (Europäischer Datenschutzausschuss) und die CNIL (staatliche Datenschutzbehörde Frankreichs) jedoch die Notwendigkeit einer Bewertung, wie KI-Systeme personenbezogene Daten während des Trainings verarbeiten, was wiederum in die gemäß Artikel 28 der DSGVO durchzuführenden Due-Diligence-Prüfung von KI-Anbietern einfließt.
Diese Gesetze und Standards regulieren unterschiedliche Risiken, setzen aber alle dieselben Grundlagen voraus: einen vollständigen Überblick über die Nutzung von KI-Systemen, ein Monitoring des Zugriffs sowie den Nachweis, dass die Kontrollmechanismen tatsächlich greifen. Der Schlüssel zu alledem ist Sichtbarkeit.
In vielen Unternehmen ist mindestens eine dieser Grundlagen nicht gegeben. Der LastPass-Bericht zum Stand der KI- und SaaS-Sicherheit 2026 erläutert, worauf Sie sich als Erstes konzentrieren sollten, um die Lücke zwischen Richtlinie und Nachweisbarkeit zu schließen.
Sichtbarkeit – der Ausgangspunkt für Ihre Auditfähigkeit
Welche Nachweise müssen Sie im Audit erbringen?
Normalerweise werden der KI-Systembestand, Risikobewertungen, Zugriffskontrollen und Monitoring-Protokolle geprüft, die belegen, dass die vorhandenen Richtlinien durchgesetzt werden.
Unabhängig vom regulatorischen Hintergrund ist der Ausgangspunkt immer ein Live-Überblick über die aktiven Systeme. Um ihre Kontrolle geht es erst im zweiten Schritt.
Sehen: Sie verschaffen sich fortlaufenden Überblick über jede KI-App und SaaS, die Ihre Mitarbeiter nutzen, auch Tools, bei denen der Login über persönliche Zugangsdaten erfolgt.
- LastPass Business Max baut diesen Live-Bestand auf, den Sie als Ausgangspunkt brauchen. Es entdeckt alle SaaS und KI-Tools, auf die über die LastPass-Browsererweiterung zugegriffen wird.
Bewerten: Analysieren Sie Ihren App-Bestand im Kontext der Gesetze und Standards, die für Ihr Unternehmen gelten. Arbeiten Sie sich ausgehend von Ihren Hochrisikokategorien durch Ihren Bestand. Jedes bewertete und dokumentierte Tool trägt zur Nachweisbarkeit bei.
Regulieren: Versehen Sie jedes Tool risikoabhängig mit Zugriffskontrollen.
- In LastPass können Sie für jede App separat Regeln setzen, die am Zugriffspunkt greifen. Mit dem darüber erzeugten Protokoll belegen Sie, dass Ihre Regeln greifen.
Was eine auditfähige KI-Governance auszeichnet
Mit einem fortlaufendem KI-Monitoring legen Unternehmen das Fundament für reibungslose Audits und Überprüfungen ihrer Gesetzeskonformität.
LastPass ermöglicht Ihnen optimale Übersicht und Kontrolle.
- Sie kennen Ihre Hochrisikobereiche, bevor die Prüfer darauf stoßen.
- Sie beschleunigen Vertragsprozesse: Sie haben für Ihr Einkaufsteam, das den Nachweis Ihres Monitorings anfordert, die gewünschten Daten parat und müssen es nicht mit einem Richtlinien-PDF abspeisen.
Hinweis: LastPass bietet die Sichtbarkeit auf der Ebene des Zugriffs und Durchsetzungsprotokolle, wie übereinstimmend in regulatorischen Rahmenwerken gefordert. Die für Ihr Unternehmen im Zusammenhang mit technischer Compliance geltenden Anforderungen hängen von Ihrer Branche, Ihrem Standort und Ihren konkreten Anwendungsfällen ab. Holen Sie gegebenenfalls rechtliche Beratung ein.
Compliance in der KI-Governance – die Daten von LastPass
Der LastPass-Bericht zum Stand der KI- und SaaS-Sicherheit 2026 liefert Daten aus echten Unternehmen: zur Entwicklung der KI-Nutzung, zu bestehenden Governance-Lücken und zum unkontrollierten Wachstum von SaaS. Die Ergebnisse basieren auf der Auswertung einer Befragung von 412 IT-Verantwortlichen, des Login-Verhaltens von 450.784 Benutzern in 20.631 Unternehmen und der App-Nutzung in 15.907 Unternehmen.
