KI-Sicherheit gehört auf die Traktandenliste des Verwaltungsrats

Künstliche Intelligenz ist keine Zukunftsvision mehr. Sie prägt bereits heute Branchen, Geschäftsmodelle, Betriebsabläufe und den Wettbewerb. Von prädiktiver Analytik im Finanzbereich bis zur Automatisierung in der Lieferkette: KI treibt Effizienz, Innovation und Wachstum voran.

Diesen Chancen steht eine klare Realität gegenüber: KI vergrössert die Angriffsfläche für Cyberrisiken erheblich. Systeme, die Geschwindigkeit, Personalisierung und Skalierung ermöglichen, schaffen zugleich Schwachstellen, die Angreifer rasch ausnutzen. Für Verwaltungsrat und Geschäftsleitung lautet die eigentliche Frage: Wie lässt sich der Nutzen der KI gegen ihre inhärenten Risiken abwägen?

Die neue Risiko-Nutzen-Gleichung

KI schafft erheblichen Wert. Sie steigert Produktivität, ermöglicht neue Dienstleistungen und verändert Branchen. Die Risiken sind jedoch ebenso gewichtig. Ein kompromittiertes KI-System kann Betriebsunterbrechungen, Reputationsschäden, regulatorische Verstösse und sogar systemische Risiken für kritische Infrastrukturen auslösen.

Anders als klassische IT bringt KI eigene Schwachstellen mit sich.

• Data Poisoning während des Trainings kann Ergebnisse verfälschen.
• Modellmanipulation kann Entscheidungen verändern.
• Bias und mangelnde Erklärbarkeit können das Vertrauen von Regulatoren und Kunden untergraben.
• Schatten-KI, also der unkontrollierte oder nicht autorisierte Einsatz von Drittanbieter-Tools, schafft verdeckte Risiken.

Der Verwaltungsrat muss erkennen: Der Weg zur KI ist eine Frage der Innovation. Er ist ebenso eine Frage der Resilienz.

Geteilte Verantwortung: Mehr als eine IT-Frage

Cybersicherheit für KI lässt sich nicht als rein technisches Thema behandeln. Sie ist eine Frage von Governance, Verantwortlichkeit und unternehmensweitem Risikomanagement.

• Verwaltungsrat und Geschäftsleitung müssen die Risikotoleranz des Unternehmens für KI festlegen und die Aufsicht sicherstellen.
• Recht, Compliance und HR beurteilen Haftungsfragen, regulatorische Anforderungen und Auswirkungen auf die Belegschaft.
• Die Geschäftsbereiche müssen operative Abhängigkeiten und die Folgen von Systemausfällen einschätzen.

Das erfordert eine funktionsübergreifende Risikofunktion, die Cyber, Recht, Compliance, Ethik und operative Teams zusammenbringt. Nur geteilte Verantwortung schützt gleichzeitig Innovation und Vertrauen.

Security by Design: Shift Left, Expand Right, Repeat

Der WEF-Bericht zu KI und Cybersicherheit vom Januar 2025 formuliert ein einfaches, aber wirksames Prinzip: «Shift left, expand right, and repeat.»

• Shift left bedeutet, Sicherheit früh einzubauen, bereits in Design und Entwicklung. Dazu gehören sichere Datenpraktiken, Red-Teaming von KI-Modellen und die Sicherstellung von Erklärbarkeit.
• Expand right verlangt laufendes Monitoring, Bereitschaft zur Vorfallsreaktion und Resilienztests über den gesamten Lebenszyklus.
• Repeat erkennt an, dass KI dynamisch ist. Risiken entwickeln sich weiter, deshalb müssen Governance und Kontrollen laufend neu bewertet werden.

Für den Verwaltungsrat bedeutet das eine klare Forderung: Jede KI-Initiative, ob intern entwickelt oder zugekauft, muss einem Secure-by-Design-Standard folgen.

Fragen, die jeder Verwaltungsrat stellen sollte

Um verantwortungsvoll zu steuern, müssen Verwaltungsrat und Geschäftsleitung vor jeder KI-Einführung kritische Fragen stellen.

1. Hat das Unternehmen seine Risikotoleranz für KI definiert?
2. Werden Risiken und Nutzen vor der Einführung gegeneinander abgewogen?
3. Führen wir ein vollständiges Inventar der KI-Projekte, einschliesslich Schatten-KI?
4. Verstehen wir die KI-spezifischen Schwachstellen, etwa Data Poisoning, Model Evasion und adversariale Angriffe?
5. Sind alle relevanten Stakeholder in Risikobeurteilung und Aufsicht eingebunden?
6. Entsprechen die Einführungen unseren Richtlinien, regulatorischen Vorgaben und ethischen Standards?

Wer diese Governance-Fragen fest in die Sitzungen des Verwaltungsrats einbaut, bewegt sich von reaktiver Verteidigung zu proaktiver Resilienz.

Investition: Innovation braucht ebenso viel Sicherheit

Ein wiederkehrender Fehler ist, Cybersicherheit als Nebensache oder reinen Kostenfaktor zu behandeln. Tatsächlich ist Sicherheit der Wegbereiter für Innovation.

Investitionen in KI-Innovation müssen mit Investitionen in KI-Sicherheit einhergehen. Ohne dies bauen Unternehmen ihre Fähigkeiten auf einem schwachen Fundament auf. CISOs brauchen echte Ressourcen und Gehör auf höchster Ebene.

Für jeden investierten Betrag in KI sollten Führungskräfte fragen, wie viel davon in die Absicherung fliesst.

Globale Bedrohungslage: KI gegen KI

Die globale Bedrohungslage verschärft die Dringlichkeit. Cyberkriminelle setzen bereits KI ein, um Angriffe zu skalieren.

• Phishing-Kampagnen, in grossem Massstab erzeugt, mit nahezu perfekter Sprache.
• Aufklärung, KI-gestützt, um Schwachstellen schneller zu identifizieren.
• Zero-Day-Entdeckung, beschleunigt durch KI-gestütztes Scanning.
• Deepfakes und Identitätstäuschung, eingesetzt, um Vertrauen zu untergraben.

Der richtige Weg ist nicht der Rückzug von KI. Verteidiger sollten KI mit KI bekämpfen, mit maschinellem Lernen für Anomalieerkennung, automatisierte Reaktion und prädiktive Bedrohungsanalyse. Dies ist ein Wettrüsten, und Geschwindigkeit und Anpassungsfähigkeit entscheiden über Sieger und Verlierer.

Praktische Schritte für Führungskräfte

Um Governance in die Praxis zu übersetzen, sollte der Verwaltungsrat Folgendes einfordern:

• Ein vollständiges Inventar aller KI-Systeme, einschliesslich Drittanbieter-Dienste.
• KI-spezifische Risikobeurteilungen, die Datengovernance, Modellintegrität und Ergebnisverifikation abdecken.
• Notfallpläne, zugeschnitten auf KI-bedingte Störungen, einschliesslich «Kill-Switch»-Protokollen.
• Laufende Tests durch Red-Teaming und adversariale Übungen.
• Risikomanagement für Drittanbieter, das sicherstellt, dass Lieferanten Sicherheitsstandards erfüllen.
• Schulung und Sensibilisierung, um eine Unternehmenskultur des sicheren KI-Einsatzes aufzubauen.

Diese Massnahmen senken das Risiko. Sie signalisieren zugleich Regulatoren, Investoren und Kunden, dass das Unternehmen Vertrauen in KI als strategisches Gut behandelt.

Die Rolle des Verwaltungsrats: Von der Aufsicht zur Verantwortung

Letztlich geht es bei KI-Sicherheit um mehr als die Verhinderung von Vorfällen. Es geht darum, Innovation mit Zuversicht zu ermöglichen.

Der Verwaltungsrat trägt drei zentrale Verantwortungen.

1. Aufsicht: sicherstellen, dass KI-Initiativen mit Risikoappetit und Regulierung übereinstimmen.
2. Verantwortung für die Zukunft: langfristige Resilienz fest in der Unternehmensstrategie verankern.
3. Vertrauensbildung: die Reputation des Unternehmens durch ethischen, sicheren und verantwortungsvollen KI-Einsatz stärken.

Die Gewinner des KI-Zeitalters werden Ambition mit Verantwortung verbinden. Verlorenes Vertrauen lässt sich nur schwer zurückgewinnen.

Fazit: Sicherheit als strategischer Erfolgsfaktor

KI verändert Branchen und Wettbewerbslandschaften. Ohne Sicherheit kann sich dieses Versprechen in eine Gefahr verwandeln. Für Verwaltungsrat und Geschäftsleitung ist die Botschaft klar: KI-Sicherheit ist kein technisches Detail. Sie ist ein strategischer Erfolgsfaktor für Innovation und Vertrauen.

Wer Security by Design verankert, geteilte Verantwortung einfordert und Investitionen in Innovation mit Investitionen in Sicherheit verbindet, kann den Nutzen der KI heben und gleichzeitig die wertvollsten Vermögenswerte schützen: Reputation, Kontinuität und das Vertrauen der Stakeholder.

Jeder Verwaltungsrat sollte sich nicht fragen, ob er sich Investitionen in KI-Sicherheit leisten kann, sondern ob er es sich leisten kann, darauf zu verzichten.