heyData unterstützt Unternehmen dabei, Compliance, KI und Datenschutz strukturiert zu organisieren. Im Interview erklärt der Co-Founder, welche Risiken autonome KI-Agenten mit sich bringen und warum klare Verantwortlichkeiten für Startups immer wichtiger werden.
Können Sie heyData kurz vorstellen und erzählen, welches Problem Sie mit dem Unternehmen lösen möchten?
heyData haben Miloš Djurdjević, Daniel Deutsch und ich gemeinsam 2020 gegründet. Unser Ausgangspunkt war, dass Compliance für viele Unternehmen unnötig kompliziert organisiert ist: Wissen steckt bei Einzelnen, Nachweise liegen in verschiedenen Systemen und neue Anforderungen führen immer wieder zu neuen Parallelprozessen. Wir wollen daraus eine belastbare Infrastruktur machen. Unsere Plattform verbindet Datenschutz, Informationssicherheit und KI-Governance mit Automatisierung und juristischer Expertise, sodass Unternehmen Compliance einmal sauber aufbauen und mit ihrem Wachstum weiterentwickeln können.
Sie sind Rechtsanwalt und zugleich Co-Founder eines wachsenden Unternehmens. Wie beeinflusst diese doppelte Perspektive Ihren Blick auf Datenschutz, KI und Compliance?
Als Jurist frage ich zuerst: Welche Rolle hat ein Unternehmen, welche Pflicht greift und was muss sich im Zweifel nachweisen lassen? Als Gründer interessiert mich natürlich, ob der daraus entstehende Prozess dann im Alltag auch wirklich funktioniert. Eine Regel, die rechtlich sauber ist, aber von einem wachsenden Team regelmäßig umgangen wird, löst das Problem nicht. Gute Compliance muss deshalb belastbar sein, ohne für jeden neuen Kunden, Mitarbeitenden oder Use Case einen neuen Prozess zu erzeugen.
Startups gehören häufig zu den schnellsten Anwendern neuer KI-Tools. Wann wird diese Experimentierfreude aus Ihrer Sicht zum unternehmerischen Risiko?
Die Schwelle liegt für mich nicht bei der Nutzung von KI, sondern beim Zugriff. Ein Chatbot, der einen Textentwurf erzeugt, hat ein anderes Risikoprofil als ein Agent, der auf das CRM zugreift, Daten verändert oder selbstständig nach außen kommuniziert. Kritisch wird es, wenn ein System handeln darf, ohne dass vorher geklärt ist, wer den Use Case verantwortet, welche Rechte es tatsächlich braucht und wie sich seine Aktionen später nachvollziehen und stoppen lassen.
Sie sprechen von „Schatten-KI 2.0“. Was verändert sich, wenn Mitarbeitende nicht mehr nur Chatbots nutzen, sondern eigene KI-Agenten mit Zugriff auf Mail, Kalender oder CRM einsetzen?
Aus Schatten-KI werden Schatten-Agenten. Beim privaten ChatGPT-Account bestand das Problem vor allem darin, welche Unternehmens- oder personenbezogenen Daten Mitarbeitende eingeben. Ein selbst gebauter Agent kann dagegen selbst auf Postfächer, Kalender oder Fachanwendungen zugreifen und dort handeln.
Damit wird aus einem Datenschutzthema zusätzlich ein Berechtigungs- und Sicherheitsthema. Besonders problematisch ist, dass solche Agenten schnell technische Zugänge sammeln können, ohne im normalen Berechtigungsmanagement aufzutauchen. Das Unternehmen weiß dann im Zweifel weder vollständig, welche Agenten existieren, noch was sie tun dürfen.
KI-Agenten benötigen zunehmend weitreichende Berechtigungen. Wer sollte in einem Startup entscheiden, welche Systeme und Daten eine KI tatsächlich nutzen darf?
Der Fachbereich sollte den Zweck und den benötigten Handlungsumfang definieren, aber die Rechte nicht allein genehmigen. Sobald ein Agent schreibend auf produktive Systeme zugreift, braucht es eine unabhängige Prüfung durch die relevanten Kontrollfunktionen – je nach Unternehmen also Informationssicherheit, Datenschutz, Legal oder Compliance.
Wichtig ist die Trennung von Genehmigung und technischer Erteilung: Wer die Rechte vergibt, sollte sie nicht selbst genehmigen. Dafür braucht ein Startup kein großes Gremium. Aber es muss klar sein, wer entscheidet und wer ein Veto einlegen kann.
Junge Unternehmen wollen schnell wachsen und möglichst wenig Bürokratie aufbauen. Welche Compliance-Strukturen sollten trotzdem von Anfang an vorhanden sein?
Ein Startup braucht am Anfang keine umfassende Compliance-Organisation, aber einige Grundlagen müssen von Beginn an belastbar geregelt sein. Dazu gehören ein Überblick über Daten, Systeme und Dienstleister, klare Verantwortlichkeiten, saubere Verträge und Auftragsverarbeitungsvereinbarungen, ein Berechtigungsmanagement und ein einfacher Prozess für Sicherheits- oder Datenschutzvorfälle.
Entscheidend ist, diese Dinge nicht in getrennten Welten aufzubauen. Was ich für Datenschutz, ISO 27001 oder KI-Governance einmal sauber dokumentiere, sollte sich für weitere Anforderungen wiederverwenden lassen. So wächst die Struktur mit dem Unternehmen, statt bei jedem neuen Thema neu gebaut zu werden.
Sie verwenden den Begriff „Compliance Debt“. Woran erkennen Gründer, dass sich bei Datenschutz und Sicherheit bereits gefährliche Schulden angesammelt haben?
Meist merkt man es daran, dass niemand eine einfache Frage schnell beantworten kann: Welche Dienstleister verarbeiten unsere Daten? Wer hat Zugriff auf welches System? Welche Richtlinie gilt tatsächlich? Wo liegt der Nachweis dafür?
Compliance Debt entsteht leise. Solange das Team klein ist, lässt sich vieles über Zuruf lösen. Problematisch wird es, wenn diese informellen Entscheidungen nicht dokumentiert werden und das Unternehmen trotzdem weiterwächst. Die Rechnung kommt dann häufig beim ersten großen Enterprise-Kunden, in einer Due Diligence oder bei einem Sicherheitsvorfall.
Spätestens bei Enterprise-Kunden oder einer Due Diligence werden fehlende Strukturen sichtbar. Welche Versäumnisse können einem Startup dann besonders teuer zu stehen kommen?
Teuer wird weniger das einzelne fehlende Dokument als ein Prozess, der nie existiert hat. Einen Vertrag kann man nacharbeiten. Schwieriger wird es, rückwirkend zu erklären, welche Zugriffsrechte über Jahre bestanden, welche Dienstleister eingesetzt wurden oder wie Sicherheitsrisiken geprüft worden sind.
Typische Probleme sind fehlende oder unvollständige Verträge und Nachweise, ein ungepflegtes Berechtigungsmanagement, keine belastbare Lieferantenprüfung und Security-Prozesse, die zwar behauptet, aber nicht dokumentiert werden können. Dann wird aus einer Kundenfrage schnell ein Vertriebsproblem.
Compliance wird von Gründern häufig zunächst als Belastung wahrgenommen. Ab welchem Punkt kann sie zu einem echten Wettbewerbsvorteil im B2B-Vertrieb werden?
Spätestens dann, wenn der Kunde Compliance zur Kaufbedingung macht. Beim ersten größeren Enterprise-Deal kommen Sicherheitsfragebögen, Datenschutzanforderungen, AVVs oder Nachweise zur Informationssicherheit häufig noch vor der Unterschrift.
Wer diese Fragen sofort beantworten kann, gewinnt nicht allein wegen Compliance einen Auftrag – verhindert aber, dass fehlende Nachweise zum Dealbreaker werden. Und gerade für junge Unternehmen ist Vertrauen ein wichtiger Teil des Produkts. Ein Kunde muss darauf vertrauen können, dass mit seinen Daten und Systemzugängen professionell umgegangen wird.
ISO 27001, Datenschutz und KI-Governance schaffen Regeln und Kontrolle. Wie verhindert man, dass notwendige Strukturen gleichzeitig die Innovationsgeschwindigkeit eines Startups ausbremsen?
Indem man nicht für jedes Regelwerk einen eigenen Prozess baut. Zugriffsrechte, Lieferantenprüfung, Risikomanagement, Incident Response und Dokumentation tauchen in unterschiedlichen regulatorischen Rahmen immer wieder auf. Eine Kontrolle sollte deshalb einmal definiert und anschließend für mehrere Anforderungen genutzt werden.
Dasselbe gilt für Freigaben: Nicht jeder KI-Use-Case braucht dieselbe Prüfung. Ein System, das nur einen Textvorschlag erstellt, ist anders zu behandeln als ein Agent mit Schreibrechten auf ein Produktivsystem. Gute Governance unterscheidet nach tatsächlichem Risiko, statt jede Innovation durch dieselbe Schleife zu schicken.
Welche Entwicklung erwarten Sie durch zunehmend autonome KI-Agenten? Müssen Startups künftig grundlegend anders über Zugriffsrechte und Verantwortung nachdenken?
Ja, aber sie müssen dafür nicht alles neu erfinden. Der Kontrollgegenstand verändert sich. Bei klassischer KI kann ein Mensch häufig noch zwischen Ergebnis und Wirkung eingreifen. Bei einem Agenten kann das Ergebnis bereits die Handlung sein.
Deshalb werden eigene technische Identitäten, minimale Rechte und ein sauberer Lebenszyklus für Agenten wichtiger. Unternehmen müssen jederzeit beantworten können: Was darf der Agent? Was hat er getan? Wer hat ihn freigegeben? Und wer kann ihn stoppen? Das sind im Kern bekannte Prinzipien aus Informationssicherheit und interner Kontrolle – nur auf einen neuen Akteur angewendet.
Welche drei Ratschläge würden Sie Gründerinnen und Gründern geben, die KI schnell einsetzen möchten, ohne sich beim Wachstum neue Sicherheits- und Compliance-Probleme aufzubauen?
Erstens: Mit dem Use Case anfangen, nicht mit dem Tool. Vor der Auswahl sollte klar sein, welche Daten das System verarbeitet und ob es nur lesen oder auch selbst handeln darf.
Zweitens: Agenten wie eigene technische Identitäten behandeln. Eigener Zugang, minimale Rechte und eine zusätzliche menschliche Freigabe für Dinge, die sich schwer zurückholen lassen – etwa Zahlungen, Löschungen oder externe Kommunikation.
Drittens: Von Anfang an Nachweise schaffen. Ein benannter Verantwortlicher, vollständige Protokolle und ein geübter Weg zur Abschaltung sind wesentlich wertvoller als eine umfangreiche KI-Policy, die im Ernstfall niemand benutzt.
Fotocredits: heydata
Wir bedanken uns bei Martin Bastius für das Interview
Aussagen des Autors und des Interviewpartners geben nicht unbedingt die Meinung der Redaktion und des Verlags wieder.
Premium Start-up: heydata
Kontakt:
heyData GmbH
Bertolt-Brecht-Platz 3
10117 Berlin
Deutschland
heydata.eu
heydata@mashup-communications.de
Ansprechpartnerin: Manja Rehfeld
PR & Kommunikation
