Was ist KI-gestützte Datenrisikobewertung?

KI-gestützte Datenrisikobewertung ist der Einsatz von maschinellem Lernen und KI, um die Risiken in den Daten einer Organisation automatisch und fortlaufend zu finden, zu klassifizieren und zu bewerten, statt über eine wiederkehrende manuelle Prüfung. Sie setzt Modelle darauf an, Daten zu durchsuchen, sensible oder auffällige Inhalte zu erkennen, die richtige Risikokategorie abzuleiten und die dringendsten Risiken nahezu in Echtzeit sichtbar zu machen, damit die Risikobewertung mit Daten Schritt halten kann, die weit schneller wachsen und sich ändern, als ein menschliches Team sie prüfen kann.

Das zählt, weil das Mengenproblem der Data Governance von Hand nicht mehr zu gewinnen ist. Ein moderner Datenbestand hält Millionen Felder über Hunderte Systeme, und jede Minute kommen neue Daten an. Eine vierteljährliche manuelle Bewertung ist an dem Tag veraltet, an dem sie erscheint. Die KI-gestützte Bewertung ändert die Rechnung: Statt einmal im Quartal einen Bruchteil des Bestands zu prüfen, beobachtet sie alles die ganze Zeit und meldet den Datensatz, der eben angefangen hat, unmaskierte PII zu empfangen, kurz nachdem das geschieht.

KI-gestützte Risikobewertung im Überblick

Die herkömmliche Risikobewertung ist ein menschlicher Prozess, den Werkzeuge stützen. Die KI-gestützte Risikobewertung dreht das um: Sie ist ein automatischer Prozess, den Menschen stützen. Modelle erledigen die schwere, sich wiederholende Arbeit, also Daten lesen, Muster erkennen, Kategorien zuweisen, Werte berechnen, und Menschen tun, was Modelle nicht können: die Risikobereitschaft festlegen, die abschließende Entscheidung über die Behandlung treffen und das Ergebnis verantworten.

Am besten versteht man sie als aktive Metadaten, angewandt auf das Risiko. Wo passive Metadaten in einem Katalog liegen und darauf warten, gelesen zu werden, handelt die KI-gestützte Bewertung auf Metadaten und Daten zugleich, indem sie fortlaufend auswertet, bewertet und warnt. Sie ist eine der klarsten praktischen Anwendungen von KI innerhalb der Data Governance.

Manuell und KI-gestützt

Der Unterschied ist alles andere als subtil, er ist der zwischen einer Momentaufnahme und einem laufenden Strom:

• Takt. Die manuelle Bewertung ist wiederkehrend (jährlich, vierteljährlich), die KI-gestützte fortlaufend.
• Abdeckung. Die manuelle nimmt Stichproben, weil alles zu prüfen nicht machbar ist; die KI durchsucht den ganzen Bestand.
• Verzögerung. Die manuelle findet ein Risiko Wochen nach seinem Auftreten, die KI erkennt es kurz nach seinem Auftreten.
• Einheitlichkeit. Die manuelle Kategorisierung schwankt je nach Prüfer und Tagesform; ein Modell wendet jedes Mal dieselbe Logik an.
• Kostenverlauf. Der manuelle Aufwand wächst mit jedem neuen System; die automatisierte Bewertung skaliert weit besser.

Der Preis dafür ist, dass KI eigene Risiken mitbringt, nämlich Fehlalarme, Modelldrift und den Bedarf an Erklärbarkeit, und genau deshalb ist der Human-in-the-Loop nicht optional. Die KI-gestützte Bewertung versteht man am besten als Verstärkung: Sie erweitert das, was ein kleines Governance-Team glaubwürdig abdecken kann, von einem Bruchteil des Bestands auf den ganzen.

Wie sie arbeitet

Eine KI-gestützte Bewertung läuft als fortlaufende Schleife über den Datenbestand:

Jeder Durchlauf durchsucht den Bestand, klassifiziert die Inhalte (er erkennt PII und leitet eine Risikokategorie ab), bewertet jedes Risiko nach Wahrscheinlichkeit und Auswirkung und erkennt Anomalien, die auf neues oder steigendes Risiko hindeuten. Ein Mensch prüft danach die priorisierte Liste, entscheidet über die Behandlung und verantwortet das Ergebnis, und die Schleife läuft erneut.

KI-gestützte Risikoerkennung

Die Fähigkeit im Herzen der KI-gestützten Bewertung ist die KI-gestützte Risikoerkennung, also das Bemerken eines Risikos nahezu in Echtzeit, während es entsteht, statt der nachträglichen Entdeckung, die eine manuelle Prüfung liefert. Hier verdient maschinelles Lernen seinen Platz, denn die Muster, die es fängt, sind genau die, die Menschen zwischen zwei Audits entgehen:

• Offenliegende sensible Daten. Eine Spalte, die eben angefangen hat, unmaskierte E-Mail-Adressen oder Kartennummern zu führen, erkannt durch Muster- und Kontexterkennung kurz nach dem Auftreten, also genau die Art von Offenlegung, die der Grundsatz der Integrität und Vertraulichkeit der DSGVO (Art. 5 Abs. 1 lit. f) verhindern soll.
• Auffällige Zugriffe und Bewegungen. Ein Konto, das plötzlich zugriffsbeschränkte Daten liest, oder Daten, die an ein unerwartetes Ziel fließen, also Verhaltensauffälligkeiten, die eine starre Regel nicht fangen würde.
• Nachlassende Qualität und Struktur. Steigende Anteile fehlender Werte, Schema-Drift oder Verschiebungen in der Verteilung, die aus einem verlässlichen Datensatz einen riskanten machen, also die Überschneidung mit der Data Observability.

Die Erkennung macht aus der Risikobewertung statt eines Termins im Kalender eine Überwachungsdisziplin. Das Ziel ist nicht, Menschen zu entfernen, sondern ihnen nur die wirklich wichtigen Risiken vorzulegen, und zwar schnell.

Wie Dawiso das angeht

Die KI-gestützte Risikobewertung steht und fällt mit ihrem Fundament: Ein Modell kann nur Daten bewerten, die es sieht, benannt und beschrieben. Deshalb gehört sie auf einen gesteuerten Katalog und nicht als eigenständiger Scanner daneben angebaut. Dawiso hält die Einstufungen zu PII und Vertraulichkeit fest, die Stewards an Spalten und Tabellen setzen, und überträgt sie automatisch auf Datenprodukte, wobei der sensibelste Wert gewinnt. Diese Klassifizierungen sind beschreibende Metadaten: Sie zeigen Menschen und Werkzeugen, wie sensibel die Daten sind, sperren aber selbst keinen Zugriff. Dawiso durchsucht selbst keine Daten und erkennt keine PII; es gibt den Ergebnissen der Werkzeuge, die das tun, einen gesteuerten Kontext. Zusammen mit dem vollständigen Inventar des Katalogs und der interaktiven Data Lineage lassen sich Risiken, die Ihre Werkzeuge für Scans oder Überwachung finden, an Bedeutung, Verantwortung und Lineage in Dawiso einordnen: was die Daten bedeuten, wer sie verantwortet und welche nachgelagerten Berichte betroffen wären, soweit die Lineage erfasst ist. Dieser letzte Punkt entscheidet die Bewertung, denn die Auswirkung hört auf, eine Schätzung zu sein, und wird zu einer nachgewiesenen Reichweite, verfolgt über eine Lineage für Fluss- und Auswirkungsanalysen. Für Organisationen, die KI selbst steuern, hängt das unmittelbar an der AI Governance: Dawiso dokumentiert und klassifiziert die Daten, die Ihre Modelle speisen, und die KI-Verordnung (EU AI Act) verlangt in Art. 10 eine dokumentierte Data Governance für die Trainings-, Validierungs- und Testdaten von Hochrisiko-KI-Systemen, anzuwenden ab dem 2. Dezember 2027 (Anhang III) und ab dem 2. August 2028 (Anhang I) nach der Verordnung (EU) 2026/1744.

Fazit

Die KI-gestützte Datenrisikobewertung ist die Antwort auf ein Problem, das von Hand unbemerkt unmöglich geworden ist: Es gibt schlicht zu viele Daten, die sich zu schnell ändern, als dass eine wiederkehrende menschliche Prüfung mithalten könnte. Indem sie die Schleife aus Finden, Klassifizieren, Bewerten und Erkennen automatisiert und nur die Risiken zeigt, die zählen, lässt KI ein kleines Governance-Team einen ganzen Bestand glaubwürdig nahezu in Echtzeit abdecken. Sie ersetzt das menschliche Urteil nicht, denn jemand verantwortet weiterhin jede Entscheidung über die Behandlung, aber sie nimmt den unmöglichen Teil ab. Bauen Sie sie auf einen gesteuerten Katalog mit Klassifizierung und Lineage, halten Sie einen Menschen in der Schleife, und die Risikobewertung bewegt sich endlich mit der Geschwindigkeit der Daten, die sie schützen soll.

Quellen

• Amt für Veröffentlichungen der EU (EUR-Lex), Regulation (EU) 2024/1689, Artificial Intelligence Act (Art. 10, Daten und Data Governance bei Hochrisiko-KI-Systemen).
• Amt für Veröffentlichungen der EU (EUR-Lex), Regulation (EU) 2026/1744, Digital Omnibus on AI (Pflichten für Hochrisiko-KI-Systeme gelten ab dem 2. Dezember 2027 nach Anhang III und ab dem 2. August 2028 nach Anhang I).
• GDPR Article 5, Principles relating to processing of personal data (Art. 5 Abs. 1 lit. f DSGVO, Integrität und Vertraulichkeit).
• Dawiso Help, PII Level and Confidentiality (an Spalten und Tabellen gesetzt, automatisch auf Datenprodukte übertragen; der sensibelste Wert gewinnt).
• Dawiso Help, AI features and integrations in Dawiso.
• Dawiso Help, Data lineage (Flüsse auf Spaltenebene für tiefe Fluss- und Auswirkungsanalysen).