Best Practices KI-Governance für kleine IT-Teams - LastPass

LEITFADEN

Best Practices in der KI-Governance für kleine IT-Teams

Nur 27 % der Unternehmen haben eine KI-Governance, die sie aktiv durchsetzen können – und das, obwohl KI in 92 % der Unternehmen bereits aktiv genutzt wird. Unser Leitfaden zeigt, wie kleine IT-Teams die Lücke schließen.

Bericht herunterladen

Genutzt von über 100.000 Unternehmen weltweit· Zertifiziert nach SOC 2 Typ II, ISO 27001, ISO 27701 · 4,5/5 bei G2

Statistiken: Was die Daten zeigen

Quelle: Bericht von LastPass zum Stand der KI- und SaaS-Sicherheit aus dem Jahr 2026 Ergebnisse basierend auf der Auswertung einer Befragung von 412 IT-Verantwortlichen, des Login-Verhaltens von 450.784 Benutzern in 20.631 Unternehmen und der App-Nutzung in 15.907 Unternehmen.

92 % der IT-Verantwortlichen sagen, dass KI in ihrem Unternehmen in Gebrauch ist. Doch nur 27 % der Unternehmen haben eine wirksame und aktiv durchsetzbare Governance.

Warum das wichtig ist: Vielen IT-Teams in KMU ist die Bedeutung von KI-Governance bewusst. Sie kennen nur keinen klaren, einfachen Weg dorthin.  

2,5/5: Das Vertrauen von IT-Teams in die eigene Fähigkeit, zu erkennen, wenn sensible Daten in KI-Tools eingegeben werden.

Warum das wichtig ist: Ursache für die Unsicherheit sind ein fehlender Überblick und der Gedanke, dass es an Möglichkeiten zur Durchsetzung der vorhandenen Richtlinien mangelt.

42 % der Unternehmen haben keine technischen Kontrollen, um den Zugriff der Beschäftigten auf KI-Tools zu steuern.

Warum das wichtig ist: Eine Richtlinie ohne Kontrollmechanismen ist keine Governance, sondern wirkungslos. Ohne Kontrollen bleibt Mitarbeitern die Einschätzung von Risiken überlassen und die IT kann nicht angemessen reagieren, wenn zu riskanten Tools gegriffen wird. 

KI-Governance: Wie schätzen IT-Teams ihre Fähigkeiten ein?

Quelle: Bericht von LastPass zum Stand der KI- und SaaS-Sicherheit aus dem Jahr 2026 (Befragung von 412 IT-Verantwortlichen)

Skala: 1 = können wir gar nicht, 5 = können wir definitiv.

  • Nutzung von unangemessenen Tools unterbinden: 3,0
  • Auf KI-bezogene Daten- oder Sicherheitsvorfälle reagieren: 2,8
  • Nicht genehmigte KI-Tools im Unternehmen aufspüren: 2,6
  • Erkennen, wenn sensible Daten in KI-Tools eingegeben werden: 2,5

Einschätzung der eigenen Fähigkeiten über alle vier Governance-Bereiche hinweg: unter 3,5.

Die Ergebnisse zeigen übereinstimmend, dass es auf eines ankommt: Sichtbarkeit. Sehen zu können, welche Tools genutzt werden, ist der erste Schritt hin zu guter Governance.

Was sind Best Practices in der KI-Governance?

In kleinen IT-Teams wie Ihrem gehört zu „Best Practices“ alles, was Ihnen ohne weiteren Personalaufwand echte Governance ermöglicht.

Bei vielen Frameworks für KI-Governance, etwa denen von Gartner oder IBM, stehen Richtlinien und Kontrollmechanismen im Mittelpunkt. Ein probater Ansatz in Unternehmen, bei denen es um Governance für große Systemlandschaften geht.

Allerdings wird in 92 % der Unternehmen bereits KI genutzt. Damit verschiebt sich der Fokus auf die Fähigkeit, die faktische KI-Nutzung zu kontrollieren.

 

Erst die Richtlinien, dann der Überblick: Diese Reihenfolge ist nicht ideal für Ihren Einstieg in die KI-Governance.

Warum? Weil Ihre Richtlinien sich dann nicht am Istzustand orientieren. Ihre Mitarbeiter werden sie umgehen und Sie sind in sechs Monaten wieder zurück auf „Los“.

Drei Hürden für die erfolgreiche Einführung von Governance

Viele IT-Teams, die für KI-Governance zuständig sind, haben keine eigenen Sicherheitsspezialisten. Sie müssen sich um die Governance neben Benutzersupport, Infrastrukturverwaltung, Zugriffsmanagement und so weiter kümmern. Personell knapp besetzte Teams müssen sich regelmäßig mit diesen Problemen auseinandersetzen:

  1. Schlechtere Sichtbarkeit durch KI-Nutzungsverbote: Der LastPass-Bericht zum Stand der KI- und SaaS-Sicherheit 2026 zeigt: Viele IT-Verantwortliche halten ein generelles KI-Verbot für kontraproduktiv, da es Mitarbeiter dazu bringt, inoffizielle Möglichkeiten zu nutzen. Dadurch aber verschlechtert sich der für zielführende Governance-Entscheidungen nötige Überblick.
  2. Stagnation aufgrund hoher Ansprüche: Warum kommt die Governance nicht voran? Weil viele Unternehmen als Erstes die „perfekte“ Richtlinie möchten, und deren Erstellung kann dauern. Doch jede Verzögerung erschwert die Kontrolle der Schatten-KI weiter.
  3. Widerstand gegen nicht konsensfähige Richtlinien: Was geschieht, wenn Regeln etabliert werden, ohne den nötigen Überblick zu haben? Dann baut das Marketing seine Workflows mit Jasper, im Engineering kommt GitHub Copilot zum Einsatz und Operations nutzt Otter – alle drei KI-Tools. Wenn es keinen Live-Einblick in den Lösungsbestand gibt, werden sich Governance-Gespräche eher um Möglichkeiten zur Einschränkungen anstelle um die vorhandenen Risiken drehen.

Alle drei Probleme haben dieselbe Ursache: Es werden Governance-Richtlinien aufgestellt, bevor klar ist, was überhaupt geregelt werden soll. Der Schlüssel zu einer wirksamen KI-Governance besteht in der Umkehrung der Reihenfolge.

Was sind die typischen Hürden bei der Governance? Der Bericht von LastPass zum Stand der KI- und SaaS-Sicherheit aus dem Jahr 2026 hat sie ausgemacht.

 

Zahlen, Fakten, Zusammenhänge

Bericht herunterladen

Der richtige Weg zu einer erfolgreichen Governance

Alle IT-Teams mit einem erfolgreichen KI-Governance-Prozess haben etwas gemeinsam: Sie haben bei der Sichtbarkeit, nicht bei den Richtlinien angesetzt. KI-Governance funktioniert am besten, wenn Sichtbarkeit und Richtlinienentwicklung Hand in Hand gehen.

  1. Bestandsaufnahme: Verschaffen Sie sich Überblick über den Lösungsbestand, bevor Sie Regeln verfassen.
    Die erste Bestandsaufnahme ist sicher nicht vollständig, aber ein wichtiger Ausgangspunkt.
  2. Bewertung: Fokussieren Sie sich auf die am stärksten risikobehafteten Use Cases.
    Sie müssen nicht gleich zu Beginn jedes Tool im Unternehmen ausführlich evaluieren. Konzentrieren Sie sich im ersten Schritt auf die KI-Tools, die am ehesten mit sensiblen Daten oder kritischen Systemen interagieren.
  3. Kategorisierung: Orientieren Sie sich am Risiko.
    Sie müssen nicht alle KI-Tools als gleich riskant einstufen. Etablieren Sie lieber eine risikobasierte Governance, die Ihnen Flexibilität plus Kontrolle verschafft.
  4. Durchsetzung: Verbinden Sie Ihre Richtlinien mit wirksamer Kontrolle.
    Technische Kontrollmechanismen sorgen dafür, dass Ihre Richtlinien greifen:
    •   LastPass Business Max erfasst kontinuierlich Zugriffe auf SaaS und KI über die LastPass-Browsererweiterung.
    •   Mit Business Max können Administratoren außerdem risikoabhängig am Punkt des Zugriffs Regeln anwenden.

Klicken Sie auf „LastPass Business Max kostenlos testen“ oder „Demo anfordern“, um zu erfahren, wie die kontinuierliche Erkennung und die risikoabhängigen Zugriffsregeln funktionieren.

LastPass Business Max kostenlos testen Demo anfordern

Wie sieht eine funktionierende KI-Governance aus?

Wenn Erkennung und Regeldurchsetzung funktionieren, hat das fünf Konsequenzen:

  1. Sie können beim Audit die folgenden Fragen beantworten und dazu Nachweise liefern: „Welche Tools sind genehmigt? Wie wird die Nutzung verfolgt? Was geschieht, wenn ein Mitarbeiter ein nicht genehmigtes Tool nutzt?“
  2. Sie erfahren von neuen Tools rechtzeitig, bevor über sie sensible Daten in nennenswertem Umfang abfließen.
  3. Sie müssen sich nicht entscheiden zwischen „Alles genehmigen“ und „Alles blockieren“ (was die Sichtbarkeit verschlechtert). Mit dem Anzeigen von Warnhinweisen haben Sie eine dritte Option.
  4. Sie können jedem Team seine eigenen KI-Nutzungsdaten vorlegen. Das baut Widerstände ab und fördert eine lösungsorientierte Diskussion unter allen Beteiligten.
  5. Die Live-Bestandsübersicht und Protokolle zur Regeldurchsetzung liefern Ihnen einen Audit-Trail für Ihre internen Prüfungen oder Audits gemäß SOC 2, DSGVO oder HIPAA.

Wenn Ihr Unternehmen auch nachweisen muss, dass es gesetzliche Auflagen wie den EU AI Act erfüllt, muss es wissen, auf welche Kontrollmechanismen es beim Audit ankommt.

Lesen Sie: KI-Governance und Compliance: 5 Dinge, die Sie im Audit nachweisen müssen

KI-Governance: Wo steht Ihr Unternehmen?

Wie gut fühlen sich Unternehmen in puncto KI-Governance gerüstet? Wie sicher haben sie die Nutzung von KI unter Kontrolle? Im LastPass-Bericht zum Stand der KI- und SaaS-Sicherheit 2026 wurden 412 IT-Verantwortliche befragt.

Zahlen, Fakten, Zusammenhänge

Bericht herunterladen

Weitere LastPass-Berichte für Sie zu KI- und SaaS-Sicherheit

GUIDE

KI-Governance und Compliance: Richtlinien, Kontrollen und Lücken

Leitfaden lesen

Alle Berichte zu KI- und SaaS-Sicherheit anzeigen

FAQ: Best Practices in der KI-Governance

Kleine IT-Teams halten sich am besten an diese Abfolge von Schritten: Bestandsaufnahme, Bewertung, Kategorisierung, Durchsetzung.

  • Bestandsaufnahme: Verschaffen Sie sich Live-Überblick über alle in Ihrem Unternehmen genutzten KI-Tools.
  • Bewertung: Evaluieren Sie das Risiko jedes Tools. Beantworten Sie dabei diese beiden Fragen: Verarbeitet das Tool sensible Daten? Verbindet es sich mit internen Systemen?
  • Kategorisierung: Weisen Sie jedem Tool eine Risikostufe zu.
  • Durchsetzung: Sorgen Sie mit technischen Kontrollen dafür, dass Ihre Kategorisierung greift.

In Unternehmen werden immer mehr KI-Tools genutzt. LastPass Business Max gibt Ihnen Live-Überblick über die Tools und unterstützt Sie bei der Einrichtung risikoabhängiger Kontrollen.

Eine gute KI-Governance erstreckt sich über vier Bereiche:

  • Sie zeigt den aktuellen Tool-Bestand.
  • Sie regelt den Umgang mit Daten nach Sensibilitätsstufen.
  • Sie bietet Kontrollmechanismen für Zugangsdaten und den Zugriff.
  • Sie unterwirft neu angeforderte Tools einem Prüfprozess.

Ein aktuelles Lösungsinventar lässt sich manuell meist nur schwer erstellen. LastPass Business Max erkennt kontinuierlich die genutzten KI- und SaaS-Tools und schafft dadurch ein besseres Fundament für Ihre Governance.

Die Bestandsaufnahme und erste Kategorisierung können schnell gehen.

Die meisten IT-Teams können sich innerhalb von 48 Stunden nach der Aktivierung von LastPass Business Max einen brauchbaren Überblick über die genutzten KI-Tools verschaffen.

Das Konzipieren und Einführen der Richtlinie dauert normalerweise länger. Entscheidender als die Geschwindigkeit ist jedoch die Reihenfolge der Maßnahmen.

Die meisten Teams veröffentlichen ihre Richtlinien erst, wenn wirklich jedes Tool geprüft wurde. Doch das kann dauern, und in der Zwischenzeit tauchen vielleicht neue Tools auf, die eine Änderung der Datenverarbeitungsbestimmungen erforderlich machen. Mit einem 90 % vollständigen Bestand, um den Sie sich jetzt kümmern, erreichen Sie mehr als mit einem Komplettbestand, der bei Veröffentlichung der Richtlinie schon wieder veraltet ist.

Ihre Frage ist nicht dabei? Besuchen Sie das Supportcenter.

Erste Schritte mit LastPass Business

LastPass kostenlos testen Vertrieb kontaktieren
Für die 14-tägige Testversion ist keine Kreditkarte erforderlich.