gesponsertKI in Unternehmen Warum CISOs das KI-Risiko nicht mehr allein tragen können

Gesponsert von

Sophos Technology GmbH

Künstliche Intelligenz durchdringt Unternehmen schneller, als Governance-Strukturen entstehen. Damit verschiebt sich die Rolle des CISO grundlegend, denn die Risiken reichen längst über die Cybersicherheit hinaus und lassen sich nicht mehr allein verantworten.

Künstliche Intelligenz hat sich mit beispielloser Geschwindigkeit in Unternehmen etabliert, oft schneller, als diese Governance-Strukturen aufbauen können. Es stellt sich nicht mehr die Frage, ob KI genutzt wird, sondern wie sie gesteuert, abgesichert und in interne Prozesse integriert wird. Der CISO rückt dabei ins Zentrum der Verantwortung. Zugleich reicht der Aufstieg von KI weit über die Cybersicherheit hinaus: Da sie Arbeitsweisen, Entscheidungsprozesse und Datenflüsse grundlegend verändert, wird die Vorstellung unrealistisch, dass CISOs die damit verbundenen Risiken allein verantworten können.

Eine Transformation der Risiken, die die Rolle des CISO neu definiert

Historisch bestand die Aufgabe des CISO darin, Infrastrukturen, Zugänge und sensible Daten zu schützen, mit Fokus auf die Prävention von Cyberangriffen. Mit generativer KI verändert sich diese Dimension grundlegend: Sie schafft nicht nur neue Cyberrisiken, sondern verändert Nutzungsweisen, beschleunigt Datenströme und beeinflusst teils sogar Entscheidungsmechanismen.

Das erschüttert eine zentrale Säule moderner Cybersicherheit: die digitale Identität, heute die wichtigste Angriffsfläche. Benutzerkonten, Cloud-Zugänge, APIs, Assistenten und KI-Agenten vervielfachen die Einstiegspunkte, und viele Sicherheitsteams kommen bei Vergabe und Verwaltung von Zugriffsrechten kaum noch mit. Verstärkt wird das durch die Zunahme nicht-menschlicher Identitäten: KI-Agenten, Bots und automatisierte Systeme erhalten Zugriff auf sensible Ressourcen in kaum noch kontrollierbarem Tempo. Der CISO ist damit weit mehr als technischer Experte: Von ihm wird erwartet, als Koordinator digitalen Vertrauens zu agieren, KI-Risiken zu bewerten, Datenabflüsse zu verhindern und zur Compliance beizutragen.

KI-Governance muss zu einer gemeinschaftlichen Aufgabe werden

Das zentrale Paradox: Unternehmen behandeln KI oft weiter als rein technologisches Thema, obwohl es sich um eine umfassende organisatorische Transformation handelt. KI-Governance betrifft nicht nur IT und Sicherheit, sondern ebenso Fachbereiche, Recht, HR, Compliance und Unternehmensleitung, von Datenschutz und geistigem Eigentum über die Verantwortung für automatisierte Entscheidungen bis zu ethischen Fragen und Reputationsrisiken. Vor diesem Hintergrund kann der CISO nicht länger als alleinige Schutzinstanz gelten.

Das Fehlen klarer Governance begünstigt bereits „Shadow AI“, vergleichbar mit Shadow IT: Mitarbeitende nutzen KI-Tools ohne Freigabe und teils mit sensiblen Daten, meist aus dem Wunsch nach schnellen Produktivitätsgewinnen. KI zu verbieten wäre illusorisch: Wer nur auf Restriktion setzt, verlagert die Nutzung ins Inoffizielle. Die Aufgabe ist nicht, KI zu blockieren, sondern sie zu organisieren, mit klaren Richtlinien, Sensibilisierung, Datenklassifizierung und vor allem geteilter Verantwortung über alle Bereiche hinweg.

KI verändert die Sicherheitsfunktion grundlegend. Der CISO muss heute nicht nur Systeme schützen, sondern aktiv zum digitalen Vertrauen und zum Dialog zwischen Fachbereichen, Recht, HR und Führung beitragen. Das erfordert eine kollektive KI-Governance, denn die Risiken gehen weit über den Cyberbereich hinaus.

Ein solcher Ansatz wird zunehmend durch neue, KI-gestützte Sicherheitsmodelle unterstützt. Mit Sophos CISO Advantage, bereitgestellt über Sophos Fusion, will Sophos strategische CISO-Kompetenz breiter zugänglich machen: Die Lösung verbindet agentische KI mit menschlicher Expertise, bewertet das Sicherheitsniveau einer Organisation anhand etablierter Frameworks und übersetzt die Ergebnisse in eine priorisierte, budgetorientierte Roadmap. Damit erhalten auch Unternehmen ohne eigenen CISO eine nachvollziehbare Grundlage, um Cyberrisiken zu reduzieren, Investitionen zu begründen und Fortschritte gegenüber Geschäftsführung, Aufsichtsorganen oder Versicherern messbar zu belegen.

(ID:50977652)