BA first Operations

Viele Unternehmen stehen vor einer ähnlichen Situation:
Sie möchten die Vorteile von KI nutzen, haben aber gleichzeitig berechtigte Bedenken hinsichtlich Datenschutz, Kontrollverlust und Compliance. Die Sorge, dass sensible Informationen unkontrolliert in Modelle einfließen oder später nicht mehr nachvollziehbar sind, ist real und häufig.

Die Frage „Dürfen unsere Daten überhaupt in die KI?“ ist in der Praxis oft zu grob. Sie lässt wenig Raum für Differenzierung. Entscheidend ist nicht, ob KI grundsätzlich eingesetzt wird, sondern wie kontrolliert, begrenzt und nachvollziehbar sie eingesetzt wird.

BA first arbeitet nach einem klaren Prinzip: klassifizieren, reduzieren, kontrollieren, auditieren. Bevor Inhalte in ein KI-System gelangen, werden sie auf ihre Eignung geprüft. Es wird nur das verarbeitet, was tatsächlich benötigt wird. Wo möglich, werden sensible Elemente pseudonymisiert oder reduziert. Die Verarbeitung erfolgt in definierten, vertraglich geregelten Umgebungen. Und am Ende steht immer eine menschliche Prüfung.

Dieses Vorgehen stützt sich auf vier Sicherheitsebenen, die gemeinsam bestimmen, wie kontrolliert KI eingesetzt werden kann:

• Auf der Tool- und Infrastrukturebene werden nur Enterprise-taugliche Systeme mit klaren Datenverarbeitungsregeln genutzt.
• Auf der Datenebene erfolgt eine konsequente Datensparsamkeit und ggf. Pseudonymisierung.
• Auf der Prozessebene werden vorab Datenklassen definiert und dokumentierte Workflows mit Speicher- und Löschregeln festgelegt.
• Auf der Governance-Ebene werden vertragliche Regelungen, Verantwortlichkeiten und Freigabeprozesse mit dem Kunden abgestimmt.

Ergänzend zu diesen Sicherheitsebenen gibt es vier technische Betriebsvarianten, die unterschiedliche Grade an Kontrolle und Isolation ermöglichen:

• Variante A – Business-/Enterprise-SaaS: Nutzung von kommerziellen KI-Diensten mit Enterprise-Verträgen und definierten Datenschutzregelungen.
• Variante B – Enterprise-API / Gateway: Anbindung über unternehmenseigene Schnittstellen oder Gateways, bei denen Datenflüsse und Logging zentral gesteuert werden können.
• Variante C – Private Cloud: Betrieb in einer dedizierten, vom Anbieter isolierten Cloud-Umgebung mit eigenen Sicherheits- und Zugriffsregeln.
• Variante D – On-Prem: Betrieb vollständig in der eigenen Infrastruktur des Kunden oder eines beauftragten Dienstleisters.

Die Wahl der Variante erfolgt abhängig von den jeweiligen Anforderungen an Datenschutz, Compliance und technischer Kontrolle. Sie ist Teil der Abstimmung vor Projektbeginn.

Ein zentrales Element bleibt das menschliche Audit. Die KI liefert strukturierte Vorarbeit – die fachliche Verantwortung für die endgültige Fassung liegt jedoch beim Menschen. Annahmen werden markiert, offene Punkte benannt und kritische Inhalte manuell geprüft.

Nicht jeder Inhalt ist für eine KI-gestützte Bearbeitung geeignet. BA first arbeitet daher bewusst mit einer No-Fit-Logik. Wenn ein Thema aus Datenschutz-, Compliance- oder Sicherheitsgründen nicht für KI geeignet ist, wird dieser Teil ausschließlich manuell bearbeitet.

Praktische Beispiele aus der Datenklassifizierung sind etwa:

• Strategische Roadmap-Entwürfe oder vertrauliche M&A-Informationen werden in der Regel komplett manuell bearbeitet.
• Backlog-Einträge mit direkten Personenbezügen oder sensiblen Vertragsdetails werden vor einer möglichen KI-Nutzung pseudonymisiert oder bewusst aus der Verarbeitung ausgeschlossen.

Das Modell ist darauf ausgelegt, kontrolliert eingesetzt zu werden – nicht um jeden Preis.

Am Ende geht es nicht darum, KI möglichst umfassend zu nutzen. Es geht darum, Entscheidungsfähigkeit zurückzugewinnen – durch klare Strukturen, nachvollziehbare Prozesse und die bewusste Entscheidung, wo menschliche Kontrolle unverzichtbar bleibt.