KI-Best-Practices & Konformität
Ihre Firewalls blockieren natürliche Sprache nicht.
Der intensive Einsatz von Technologien am Arbeitsplatz war schon immer ein Risiko. Doch mit der künstlichen Intelligenz hat sich die Bedrohung gewandelt: Cyberkriminelle greifen nicht mehr nur Ihre Infrastruktur an, sondern nutzen das Vertrauen Ihrer Mitarbeitenden und die Funktionen der KI selbst aus.
In Zusammenarbeit mit der École des Mines und der École des Beaux-Arts de Nancy hat Palambur einen umfassenden Ansatz in 10 Kernpunkten entwickelt, um Industrieunternehmen für dieses neue Paradigma zu sensibilisieren und zu wappnen.
Unsere 10 Regeln für KI-Best-Practices
Verwenden Sie ausschliesslich die Geräte des Unternehmens
Digitale Hygiene beginnt mit der Kontrolle über die Hardware. Nur die vom Unternehmen zugelassenen Geräte (PC, Tablet, Smartphone) schützen Ihre Daten.
Mit dem Aufkommen lokaler KI und intelligenter mobiler Anwendungen ist ein ungesichertes privates Gerät zu einer kritischen Schwachstelle geworden.
- Ihre Geräte verfügen über einen Malware-Schutz und eine Überwachung von Datenlecks hin zu nicht autorisierten KI-Tools.
- Ihre vollständige Verschlüsselung verhindert die Kompromittierung von Informationen im Falle von Diebstahl oder Verlust.
Schützen Sie Ihre Passwörter und Zugangsdaten
Passwörter bleiben Ihre erste Verteidigungslinie. Die KI hat jedoch die Hacking-Fähigkeiten von Angreifern vervielfacht.
Der Diebstahl von Zugangsdaten geschieht heute oft unbemerkt, unter anderem durch Angriffe mittels Prompt-Einschleusung (Prompt Injection), die auf Ihre Web-Assistenten abzielen.
- Ihre Passwörter müssen komplex, einzigartig und regelmässig geändert werden.
- Sie dürfen niemals weitergegeben oder im Klartext in virtuellen Notizen gespeichert werden, die von KI-Tools Dritter potenziell gelesen werden können.
Verwenden Sie ausschliesslich zugelassene Software, Lösungen und Dienste
Die Versuchung, öffentliche KI-Tools zu nutzen, um schneller voranzukommen, ist gross: Das ist Shadow AI.
Wenn Sie Code, Finanzdaten oder persönliche Informationen in eine kostenlose KI-Version einfügen, schleusen Sie unabsichtlich das Know-how des Unternehmens zu externen Modellen, die es für ihr eigenes Training nutzen.
- Nur die vom Unternehmen zugelassenen Programme, KI-Tools und Internetdienste gewährleisten eine abgeschottete Umgebung.
- Die Nutzung privater Konten auf KI-Plattformen für Privatanwender ist im beruflichen Rahmen strikt untersagt.
Schützen Sie die Daten auf mobilen Datenträgern
Ihr Laptop und Ihre Speichergeräte müssen stets geschützt sein.
Der Verlust eines vernetzten Geräts kann einem Cyberkriminellen Zugriff auf Ihre Sitzungen verschaffen, einschliesslich Ihrer noch aktiven KI-Umgebungen.
- Lassen Sie Ihr Gerät nie unbeaufsichtigt, auch nicht in einem verschlossenen Kofferraum.
- Sensible Daten, die auf ein tragbares Gerät (USB-Stick, Festplatte) übertragen werden, müssen unbedingt verschlüsselt werden.
- Melden Sie einen Verlust oder Diebstahl sofort, um den Fernzugriff zu sperren.
Gehen Sie mit erhöhter Wachsamkeit mit E-Mails um
Vergessen Sie Spam voller Rechtschreibfehler. Mit bösartigen KI-Tools wie den Varianten von WormGPT erzeugen Cyberkriminelle hochrealistische und präzise gezielte Phishing-E-Mails.
Eine einfache externe E-Mail kann auch unsichtbare Anweisungen enthalten, die Ihren eigenen internen KI-Assistenten manipulieren (Living-Off-AI-Angriffe).
- Prüfen Sie die Absenderadresse sorgfältig.
- Leiten Sie niemals Kettenbriefe weiter.
- Schützen Sie vertrauliche Daten, indem Sie die Funktion «Allen antworten» einschränken.
- Melden Sie verdächtige Links, Anhänge oder ein auffälliges Verhalten Ihres E-Mail-Programms sofort.
Seien Sie diskret, öffentlich wie virtuell
Spionage beschränkt sich längst nicht mehr auf einen Blick über Ihre Schulter.
KI-Transkriptionstools (wie Otter.ai) können sich automatisch einer virtuellen Besprechung zuschalten, um strategische Beratungen zu transkribieren und zu speichern, ein kritisches Leck-Risiko.
- Behalten Sie Ihre Besprechungsumgebungen, virtuell wie physisch, im Griff und sprechen Sie in der Öffentlichkeit keine vertraulichen Themen an.
- Öffentliche WLAN-Zugangspunkte sind wenig sicher: Nutzen Sie sie nur mit einer VPN-Verbindung.
- Verwenden Sie keine öffentlichen USB-Ladestationen: Sie können Ihre Geräte mit Schadsoftware infizieren.
Seien Sie wachsam gegenüber Manipulation und Deepfakes
Bevor Sie eine vertrauliche Information weitergeben, vergewissern Sie sich unbedingt der Identität Ihres Gesprächspartners.
Mit Stimmenklonen (Vishing) und KI-Bildgeneratoren, die täuschend echte offizielle Dokumente fälschen können, geben sich Angreifer mit erschreckender Präzision als Führungskraft oder Geschäftspartner aus.
- Etablieren Sie ein gesundes Misstrauen: Seien Sie vorsichtig bei dringenden Anfragen, die auf Passwörter, Überweisungen oder sensible Informationen abzielen.
- Überprüfen Sie bei ungewöhnlichen Anfragen die Identität über einen alternativen Kommunikationskanal (Doppelverifizierung).
Schützen Sie vertrauliche Informationen an der Quelle
Klassifizieren und schützen Sie die Informationen des Unternehmens.
Mit der zunehmenden Verbreitung von KI-Assistenten (Schreibhilfe, Erstellung von Präsentationen) kann selbst die kleinste vertrauliche Angabe, die am falschen Ort geteilt wird, gespeichert, weiterverwendet oder sogar Dritten zugänglich gemacht werden.
- Senden Sie Informationen ausschliesslich an Personen, die ausdrücklich zu deren Bearbeitung befugt sind.
- Schützen Sie Ihren Austausch mit zugelassenen Verschlüsselungslösungen.
- Sensibilisieren Sie Ihre Partner für den Schutz der Vertraulichkeit.
- Holen Sie in den meisten Fällen die Zustimmung des Dateneigentümers ein, bevor Sie Daten weitergeben oder analysieren lassen.
Seien Sie vorsichtig bei der Nutzung des Internets
In Webbrowser integrierte KI-Assistenten setzen Sie neuen, komplexen Bedrohungen aus.
Neuere Techniken (wie HashJack) verstecken bösartige Anfragen in der URL einer legitimen Website: Ihr Assistent liest diese URL und führt den Angriff aus, ohne dass Sie es merken.
- Rufen Sie niemals potenziell gefährliche Websites auf.
- Nutzen Sie beim mobilen Arbeiten immer Ihr VPN, auch für einfaches Surfen.
- Beschränken Sie die beruflichen Informationen, die Sie in sozialen Netzwerken teilen, um gezielte, KI-gestützte Social-Engineering-Angriffe zu vermeiden.
Sichern Sie Ihren Arbeitsplatz
Die «Clean Desk»-Politik bleibt ein unverzichtbarer Schutzwall.
Lassen Sie keine vertraulichen Unterlagen auf Ihrem Schreibtisch oder am Drucker liegen: Ein einfaches Foto, aufgenommen mit einem Smartphone mit visueller Analyse-KI, kann Ihre Daten in Sekundenbruchteilen digitalisieren, extrahieren und versenden.
- Begleiten Sie externe Besucher stets durch die Räumlichkeiten und tragen Sie Ihren Badge sichtbar.
- Sperren Sie Ihre Computersitzung, sobald Sie Ihren Arbeitsplatz verlassen.
- Lassen Sie Ihren Laptop nie ungeschützt (verschlossene Schublade oder verschlossener Schrank), vor allem nachts.
Von Regeln zur Governance
Diese 10 Regeln bilden die Grundlage. Damit sie auf Dauer bestehen, sind sie Teil einer KI-Governance: einer schriftlichen Charta, zugelassenen Tools, einer Bibliothek berufsspezifischer Prompts und validierten Assistenten.
Die Gesetzestexte, direkt an der Quelle
Stets die geltende offizielle Fassung, veröffentlicht vom Bund (Fedlex) oder von der Europäischen Union (EUR-Lex). Keine Zwischenkopien.
Bundesgesetz über den Datenschutz (SR 235.1)
Das Schweizer Gesetz, das seit dem 1. September 2023 in Kraft ist. Es gilt für jedes Schweizer Unternehmen, das Personendaten bearbeitet.
Datenschutzverordnung (SR 235.11)
Der Ausführungstext zum DSG: Sicherheitsmassnahmen, DSG-Verzeichnis, Meldungen an den EDÖB.
Datenschutz-Grundverordnung (EU 2016/679)
Gilt, sobald Sie Daten von Personen in der EU bearbeiten: Kunden, Interessenten oder Partner.
Europäische Verordnung über Künstliche Intelligenz (EU 2024/1689)
Der weltweit erste Rechtsrahmen für KI, der stufenweise bis 2027 in Kraft tritt. Sein Artikel 4 begründet die Pflicht zur Schulung der Mitarbeitenden.
Foire aux questions
Was ändert das DSG konkret für den Einsatz von KI im Unternehmen?
Es schreibt klare Regeln für die Bearbeitung von Personendaten vor, auch wenn diese über ein KI-Tool laufen. Wir helfen Ihnen, Ihre Pflichten ohne Juristenjargon zu erkennen.
Betrifft der EU AI Act auch uns als Schweizer Unternehmen?
Er kann bereits gelten, sobald Sie mit Kunden oder Partnern in der EU zusammenarbeiten, je nach betroffenen KI-Anwendungen. Ein kurzes Gespräch klärt Ihre Situation.
Womit fangen wir an, wenn wir noch keine KI-Richtlinie haben?
Mit einer einfachen Bestandsaufnahme dessen, was Ihre Teams bereits nutzen, gefolgt von einem minimalen schriftlichen Rahmen. Genau das leistet der Audit Shadow AI.
Braucht es für jedes genutzte KI-Tool eine eigene Richtlinie?
Nein, in den meisten Fällen genügt ein allgemeiner Rahmen, ergänzt durch einige spezifische Regeln für sensible Tools. Wir setzen die Prioritäten nach Ihrem tatsächlichen Risiko.
Wie lange dauert es, die grundlegenden Best Practices einzuführen?
Die ersten Reflexe entstehen bereits während der Schulung «Le Collaborateur, augmenté», in einem halben Tag. Die vollständige Konformität hängt danach von Ihrer Organisation ab.
Und jetzt?
Die richtigen Reflexe entstehen in der Schulung.