Was ist Unstructured Data Governance?

Unstructured Data Governance wendet die Disziplinen der Data Governance, also Discovery, Klassifizierung, Verantwortung, Lineage, Zugriffskontrolle und Aufbewahrung, auf unstrukturierte Daten an: Dokumente, E-Mails, Support-Tickets, Transkripte, Audioaufnahmen, Video, Bilder, Code und andere Inhalte, die sich nicht sauber in Zeilen und Spalten fügen. Sie ist ein schnell wachsender Bereich der Data Governance im Unternehmen, weil Schätzungen von Analysten den Anteil unstrukturierter Inhalte an allen Daten meist auf 80 bis 90 % beziffern, weil diese Inhalte oft sensible Informationen enthalten, die kein Schema kennzeichnet, und weil sie zu einer Hauptquelle für RAG- und KI-Anwendungen geworden sind.

Bis vor Kurzem war Unstructured Data Governance weitgehend ein Problem der Schriftgutverwaltung, gelöst von Dokumentenmanagementsystemen (SharePoint, OpenText, M-Files) mit eigenen Zugriffsrechten und Aufbewahrungsplänen. Drei Kräfte haben das verändert. Erstens sind Menge und Vielfalt unstrukturierter Inhalte explodiert, und die Inhalte liegen inzwischen verstreut über Dutzende Systeme, die kein Archivteam kontrolliert. Zweitens verbrauchen RAG und KI-Anwendungen unstrukturierte Inhalte in großem Umfang und bringen zutage, was das Embedding aufgreift, auch Inhalte, die nie hätten abrufbar sein dürfen. Drittens nimmt die Regulierung unstrukturierte Inhalte nicht aus: Die DSGVO gilt für personenbezogene Daten in jeder Form, die automatisiert verarbeitet werden, sodass personenbezogene Daten in einem Dokument dieselben Pflichten auslösen wie personenbezogene Daten in einer Tabelle.

Unstructured Data Governance im Überblick

Unstructured Data Governance ist der bewusste Umgang mit unstrukturierten Inhalten als gesteuertem Bestand statt als Dateien, die zufällig auf einem Speicher liegen. Die Disziplin stellt dieselben Fragen wie die Data Governance für strukturierte Daten, nämlich was haben wir, wo liegt es, wer darf darauf zugreifen, wohin fließt es, wer ist verantwortlich, wie lange wird es aufbewahrt, und beantwortet sie für Inhalte ohne festes Schema.

Die bestimmenden Eigenschaften:

• Inhaltsbewusst: Sie behandelt den Inhalt von Dateien als Gegenstand der Governance, nicht nur die Metadaten. Ein PDF mit dem Namen „Q3 Vorstandsunterlagen“ wird danach gesteuert, was tatsächlich darin steht, und nicht nur nach seinem Dateinamen.
• Formatübergreifend: Sie umfasst Dokumente (PDF, DOCX, PPTX), Tabellen, E-Mails, Chatprotokolle, Support-Tickets, Audioaufnahmen, Videodateien, Bilder, Code und zunehmend herstellereigene Anwendungsformate.
• Systemübergreifend: Sie deckt die tatsächlichen Ablageorte ab: SharePoint, Google Drive, Slack, Teams, Confluence, Box, Anhänge in Salesforce, S3-Buckets, Jira-Tickets, Zendesk, Code-Repositorien, E-Mail-Archive und mehr.
• KI-bewusst: Sie erstreckt sich zunehmend auf Vektorspeicher und Embeddings, denn der Aufnahmeprozess der KI ist die Stelle, an der Governance heute am folgenreichsten ist.

Warum es jetzt zählt

Drei zusammenlaufende Entwicklungen haben aus Unstructured Data Governance ein dringendes Programm gemacht statt eines langfristigen Ziels.

Menge und Verstreuung

Schätzungen von Analysten beziffern unstrukturierte Inhalte meist auf 80 bis 90 % aller Daten, und sie wachsen schneller als strukturierte Daten. Die Inhalte liegen über Dutzende Systeme verteilt, von denen keines als ein einziger gesteuerter Bestand entworfen wurde. Ohne Governance lautet die praktische Antwort auf „Wo liegen unsere Kundeninformationen?“ schlicht „überall, und wir wissen es nicht“.

Der Wendepunkt durch KI

Retrieval-Augmented Generation, KI-Agenten und LLM-gestützte Suche verbrauchen unstrukturierte Inhalte in großem Umfang. Eine Organisation, die ihr gesamtes SharePoint ohne vorherige Klassifizierung in ein RAG-System aufnimmt, ist eine Anfrage davon entfernt, Gehaltsinformationen, Anwaltskorrespondenz oder vertrauliche Gespräche über eine Übernahme an einen unberechtigten Nutzer auszuspielen. Die Klassifizierungsschuld, die jahrzehntelang unsichtbar war, wird in dem Moment zum vordringlichen Risiko, in dem ein LLM Zugriff auf die Indexierung bekommt.

Regulatorischer Gleichstand

Die DSGVO gilt für personenbezogene Daten in jeder Form, die automatisiert verarbeitet werden (Art. 2 Abs. 1 und Art. 4 Nr. 1 DSGVO), sodass personenbezogene Daten in einem Dokument dieselben Pflichten auslösen wie personenbezogene Daten in einer Tabelle. NIS2 verlangt ein Management von Anlagen (Art. 21 Abs. 2 Buchst. i NIS2); für die Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, verwalteten Diensten und die übrigen digitalen Anbieter, die sie erfasst, verlangt die Durchführungsverordnung (EU) 2024/2690 ein gepflegtes Bestandsverzeichnis. HIPAA hat Patientennotizen und klinische Berichte immer als PHI behandelt: Es definiert Gesundheitsinformationen als Informationen, die „mündlich oder in beliebiger Form oder auf beliebigem Medium aufgezeichnet“ sind, und behandelt sie als PHI, wenn sie einer bestimmten Person zuzuordnen sind und bei einer erfassten Einrichtung (Covered Entity) oder einem Geschäftspartner (Business Associate) vorliegen (45 CFR 160.103). Der EU AI Act weitet den Rahmen weiter aus: Er wird für Hochrisiko-KI-Systeme eine Dokumentation der Trainingsdaten verlangen, unstrukturierte Korpora eingeschlossen (Art. 10 und Anhang IV EU AI Act).

Zentrale Fähigkeiten

Ein funktionierendes Programm für Unstructured Data Governance setzt sechs Fähigkeiten in den Betrieb um.

1. Discovery von Inhalten

Automatisches Durchsuchen von Dateisystemen, Plattformen für Zusammenarbeit, E-Mail-Archiven und Inhaltsablagen, um aufzunehmen, welche Inhalte es gibt, wo sie liegen und in welchem Format. Das „wo“ ist weit gefasst: Moderne Programme reichen in SharePoint, OneDrive, Google Drive, Slack, Teams, Confluence, Box, Dropbox, Salesforce, Zendesk, Code-Repositorien und eigens gebaute Anwendungen hinein.

2. Klassifizierung von Inhalten

Eine KI-gestützte Klassifizierung liest den Inhalt und vergibt Kennzeichnungen für Sensibilität: PII, finanziell, gesundheitsbezogen, vertraulich, geistiges Eigentum, reguliert, öffentlich. Moderne Klassifizierer verbinden Mustererkennung, Erkennung benannter Entitäten und Ähnlichkeitssuche über Embeddings, um einen Umfang zu bewältigen, den eine manuelle Klassifizierung nicht schafft. Die Genauigkeit der Klassifizierung bestimmt unmittelbar die Genauigkeit jeder nachgelagerten Kontrolle.

3. Verantwortung und Pflege

Jeder bedeutsame unstrukturierte Inhalt hat einen Verantwortlichen, üblicherweise das Team, den Fachbereich oder die benannte Person, die für seinen Lebenszyklus geradesteht. Ohne Verantwortung zerfällt die Aufbewahrung, verrottet die Klassifizierung und häufen sich Dokumente unklarer Herkunft. Verantwortung wird in der unstrukturierten Welt oft auf Ebene des Orts vergeben (Ordner, Bibliothek, Kanal) statt je Datei, und eine Übertragung ist eine verwaltete Ausnahme.

4. Lineage

Für unstrukturierte Inhalte beantwortet die Lineage: Woher stammt dieses Dokument, wohin wurde es verteilt, welche KI-Systeme haben es in Vektorspeicher aufgenommen, und welche abgeleiteten Artefakte (Zusammenfassungen, Embeddings, erzeugte Antworten) gehen darauf zurück. In der Mechanik anders als die Lineage strukturierter Daten, im Zweck identisch.

5. Zugriffskontrolle mit Inhaltsbewusstsein

Rechte im Dateisystem sind nötig, aber nicht ausreichend. Reife Programme ergänzen eine inhaltsbewusste Steuerung: Sensible Inhalte in öffentlich zugänglichen Ordnern werden in Quarantäne gestellt oder herabgestuft, der Zugriff auf vertrauliche Inhalte erfordert eine ausdrückliche Freigabe, und die Aufnahme durch KI wird nach Klassifizierung beschränkt. Der Kontrollpunkt ist zunehmend die Schicht aus Suche und Abruf, nicht nur der darunterliegende Speicher.

6. Aufbewahrung und Löschung

Für die meisten unstrukturierten Inhalte gibt es eine festgelegte Aufbewahrungspflicht, sei sie gesetzlich (Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e DSGVO), vertraglich oder fachlich begründet. Eine automatische Aufbewahrung setzt den Plan durch: archivieren, wenn sich das Ende der Frist nähert, löschen, wenn sie abläuft, mit einem Audit-Trail, der die Löschung belegt. Die Alternative ist dauerhafte Anhäufung, und die ist zugleich ein Risiko für die Compliance und ein Problem für die Qualität der Suche.

Unterschiede zur strukturierten Governance

Die Grundsätze der Governance tragen aus der strukturierten Welt herüber, die Umsetzung nicht. Fünf Unterschiede zählen am meisten.

• Die Klassifizierung folgt dem Inhalt, nicht dem Schema. Eine strukturierte Klassifizierung kann sich auf Spaltennamen und Datentypen stützen. Eine unstrukturierte muss den Inhalt lesen. KI-gestützte Scanner, die Mustererkennung, Erkennung benannter Entitäten und Ähnlichkeitssuche verbinden, sind die praktische Antwort.
• Die Lineage verfolgt Dokumente und Embeddings, nicht Transformationen. Wenn eine Arbeitsanweisung in eine Confluence-Seite kopiert, in einer Slack-Nachricht zusammengefasst und in einen RAG-Speicher aufgenommen wird, ist die Lineage die Spur durch diese Kopien und Ableitungen.
• Die Zugriffskontrolle ist mehrschichtig. Rechte im Dateisystem, im Suchindex, im Vektorspeicher und die Regeln zum Zeitpunkt des Abrufs müssen übereinstimmen. Versagt eine einzige Schicht, fließen die Daten über genau den Kanal ab, der nicht durchgesetzt hat.
• Die Menge ändert die Rechnung. Eine manuelle Prüfung in der Größenordnung unstrukturierter Inhalte ist unmöglich. Die Automatisierung muss den Großteil der Arbeit erledigen, während sich die menschliche Prüfung auf Ausnahmen und auf Klassifizierungen mit niedriger Konfidenz richtet.
• Die Qualität ist unschärfer. Eine strukturierte Zeile ist richtig oder falsch; ein unstrukturiertes Dokument kann zu 80 % zutreffen, zu 90 % einschlägig sein oder in einem von 50 Absätzen einen entscheidenden Fehler enthalten. Die Qualitätsmaße passen sich entsprechend an und richten sich üblicherweise darauf, ob ein Inhalt aktuell, maßgeblich und auffindbar ist, statt auf genaue Richtigkeit.

Das Programm in den Betrieb bringen

Ein pragmatisches Vorgehen führt über fünf Schritte.

1. Die Quellen aufnehmen. Halten Sie fest, wo unstrukturierte Inhalte tatsächlich liegen, also nicht die Richtlinie zum Umgang mit Inhalten, sondern die betriebliche Wirklichkeit. Die unvermeidlichen Schattensysteme gehören dazu (persönliche Drives, spontan angelegte OneDrive-Ordner, Verläufe von Slack-Kanälen).
2. Eine automatische Klassifizierung durchführen. Beginnen Sie mit PII und vertraulichen Inhalten als den Kategorien mit der höchsten Dringlichkeit. Nehmen Sie hin, dass die anfängliche Genauigkeit unvollkommen ist, und bauen Sie die Rückkopplung, die sie verbessert.
3. Verantwortung auf Ebene des Orts vergeben. Jeder bedeutsame Ordner, jede Bibliothek und jeder Kanal braucht einen verantwortlichen Eigentümer. Nutzen Sie dafür nach Möglichkeit die Aufbauorganisation, also das Finanzteam verantwortet die Finanzordner, statt Verantwortliche je Datei zu suchen.
4. An die Aufbewahrungsregeln anschließen. Bilden Sie Inhaltsklassen auf Aufbewahrungspläne ab. Setzen Sie die Automatisierung um, die Inhalte planmäßig archiviert und löscht, mit Audit-Trail.
5. Den Pfad der KI-Aufnahme steuern. Bevor Inhalte in RAG oder in ein KI-Training aufgenommen werden, wird der Stand der Klassifizierung geprüft, gesperrte Kategorien werden ausgeschlossen, und die Zugriffsregeln werden an die entstehenden Embeddings weitergegeben. Der Vektorspeicher trägt dieselben Zugriffsregeln wie die Quelle.

Governance für RAG und KI

Ein schnell wachsender Anwendungsfall unstrukturierter Governance ist, KI-Systeme sicher zu speisen. Das Muster, das trägt:

• Vor der Indexierung klassifizieren. Lassen Sie die Klassifizierung über die Inhalte laufen, bevor sie in der Embedding-Pipeline landen. Gesperrte Inhalte werden nicht eingebettet; sie bleiben nur über ausdrücklich berechtigte Abrufwege erreichbar.
• Die Klassifizierung mit den Embeddings mitführen. Jeder Vektor im Vektorspeicher behält Metadaten über die Klassifizierung des Quelldokuments. Abfragen filtern anhand dieser Metadaten gegen die Berechtigungen des Nutzers.
• Beim Abruf filtern, nicht nur beim Indexieren. Ähnlichkeit von Embeddings weiß nichts von fachlichen Regeln. Die Abrufschicht wendet die Zugriffskontrolle nach dem Vektortreffer an und gibt nur Dokumente zurück, die der Nutzer sehen darf. Das LLM sieht die übrigen nie und kann sie daher auch nicht versehentlich preisgeben.
• Jeden Abruf protokollieren. Der Audit-Trail darüber, welche Dokumente welchem Nutzer auf welche Eingabe hin gezeigt wurden, ist die Frage, die eine Aufsichtsbehörde irgendwann stellt. Bauen Sie ihn, bevor die Frage kommt.
• Auch Eingaben und Ausgaben steuern. Sensible Informationen können in der Eingabe selbst stecken (jemand fügt eine Kundenliste ein und fragt „fasse das zusammen“). Ausgaben können sensible Informationen aus dem abgerufenen Kontext zeigen oder wiedergeben. Protokollierung und Schutz vor Datenabfluss an der Grenze zwischen Eingabe und Antwort gehören zum selben Programm.

Die Organisationen, die diese Schicht gebaut haben, führen KI schnell und sicher ein. Die Organisationen, die es nicht getan haben, führen schnell KI ein und bemerken die Folgen langsam.

Fazit

Unstructured Data Governance ist von einem langfristigen Wunsch zu einer kurzfristigen Notwendigkeit geworden, getrieben von der Menge unstrukturierter Inhalte, dem regulatorischen Gewicht, das sie inzwischen trägt, und den KI-Anwendungen, die sie in hohem Tempo verbrauchen. Die Fähigkeiten, also Discovery, Klassifizierung, Verantwortung, Lineage, Zugriffskontrolle und Aufbewahrung, sind jedem vertraut, der Data Governance für strukturierte Daten betreibt. Die Umsetzung unterscheidet sich in Mechanik, Größenordnung und im Pfad der KI-Aufnahme. Organisationen, die sie bewusst bauen, können KI mit Zuversicht einführen und behördliche Prüfungen ihres Inhaltsbestands bestehen. Die anderen werden weiter sensible Inhalte an Orten finden, von denen sie nicht wussten, dass es sie gibt, manchmal rechtzeitig und manchmal erst, nachdem ein LLM sie bereits gezeigt hat.

Quellen

• MIT Sloan School of Management, Tapping the power of unstructured data (2021; Schätzungen von Analysten, nach denen 80 bis 90 % der Daten unstrukturiert sind).
• Amt für Veröffentlichungen der EU (EUR-Lex), Regulation (EU) 2016/679 (GDPR), Articles 2, 4 and 5 (sachlicher Anwendungsbereich, Begriff der personenbezogenen Daten, Speicherbegrenzung).
• Legal Information Institute, Cornell Law School, 45 CFR 160.103, Definitions (HHS HIPAA regulations) (Gesundheitsinformationen, „oral or recorded in any form or medium“, und wann sie zu geschützten Gesundheitsinformationen werden).
• Amt für Veröffentlichungen der EU (EUR-Lex), Directive (EU) 2022/2555 (NIS2), Article 21 (Management von Anlagen als Teil der Risikomanagementmaßnahmen im Bereich der Cybersicherheit).
• Amt für Veröffentlichungen der EU (EUR-Lex), Commission Implementing Regulation (EU) 2024/2690 (Anforderungen an das Bestandsverzeichnis für die erfassten Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, verwalteten Diensten und weitere digitale Anbieter).
• Amt für Veröffentlichungen der EU (EUR-Lex), Regulation (EU) 2024/1689 (AI Act), Article 10 and Annex IV (Data Governance und technische Dokumentation für Hochrisiko-KI-Systeme).