foto ki magnific

Low-Code und KI-Coding beschleunigen die Entwicklung – und vervielfachen zugleich Datenzugriffe, Schnittstellen und Verantwortlichkeiten. Der entscheidende Hebel ist deshalb nicht weniger Automatisierung, sondern Governance by Design: Daten minimieren, Entscheidungen nachvollziehbar machen, Business-Regeln von Modellprognosen trennen und Mitarbeitenden sichere, freigegebene Werkzeuge anbieten.

Management Summary

Governance vor Integration: Jede neue KI-Schnittstelle erweitert den Daten- und Risikoraum. Zuständigkeiten, Zwecke und Freigaben müssen vor dem Rollout feststehen.
Datenzugriff nach dem Need-to-know-Prinzip: KI-Systeme erhalten nur die Informationen, die für den konkreten Vorgang erforderlich sind – nicht pauschal den gesamten verfügbaren Datensatz.
Auditierbarkeit statt Logfile-Romantik: Unternehmen müssen nachvollziehen können, welche Daten aus welchem Grund verarbeitet wurden und welche Aktion daraus entstanden ist.
Modell und Geschäftslogik trennen: KI kann Signale liefern oder Entscheidungen vorbereiten; verbindliche Prozessregeln und Freigaben gehören in kontrollierbare, erklärbare Strukturen.
Schatten-KI mit sicheren Alternativen adressieren: Klare Richtlinien, Schulungen und freigegebene Plattformen sind wirksamer als reine Verbotslisten und schaffen die Basis für skalierbare Automatisierung.

Uwe Specht, Prinicple Specialist Solution Consultant bei Pegasystems (Quelle: Pegasystems)

Wer der KI die Türen zu seinen Systemen öffnet, sollte vorher klären, welche Türen das sind und warum sie überhaupt offenstehen. Denn das eigentliche Risiko von Low-Code und KI-Coding liegt nicht in der Technologie selbst. Es entsteht dort, wo technische Möglichkeiten auf unklare Zuständigkeiten, unnötige Datenzugriffe und fehlende Kontrolle treffen, sagt Uwe Specht, Principle Specialist Solution Consultant bei Pegasystems.

Wie schnell aus technischer Innovation ein Datenschutzproblem werden kann, macht ein Bericht der BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) zum Umgang mit personenbezogenen Informationen in KI-Modellen deutlich: Selbst bei grundlegenden Fragen wie der Anonymisierung, der Extraktion in Bezug auf das Auskunftsrecht oder der Löschung gespeicherter Daten gibt es auf Seiten der Unternehmen noch erhebliche Unsicherheiten. Das ist eine unbequeme Erkenntnis – gerade jetzt, da KI nicht mehr nur ausprobiert, sondern immer tiefer in Geschäftsprozessen verankert wird. Speziell Low-Code und KI-Coding machen diesen Schritt relativ einfach: Einen Anwendungsfall beschreiben, ein paar Systeme anbinden, fertig ist die Lösung. Doch je leistungsfähiger eine KI-getriebene Applikation werden soll, desto stärker muss sie in die Unternehmensrealität eintauchen – in Kundendaten, E-Mails, Dokumente, Fachanwendungen und bestehende Workflows.

Das wiederum führt automatisch zu der immer gleichen Grundsatzfrage: Welche Daten bekommt die KI überhaupt zu sehen und was passiert anschließend mit ihnen? Genau hier wird aus einer Technologieentscheidung eine Governance-Diskussion, für die einige grundlegende Leitplanken erforderlich sind.

Die erste Leitplanke heißt Datenminimierung.

Ein Servicemitarbeiter darf beispielsweise Kundendaten sehen. Daraus folgt jedoch nicht automatisch, dass er auch sämtliche Informationen zum Kundenkonto benötigt. Wenn nun eine KI einen Servicefall bearbeitet, sollte dasselbe Prinzip für sie gelten: Sie bekommt die Daten, die für diesen konkreten Vorgang erforderlich sind, und nicht einfach den kompletten Kundendatensatz, nur weil die Schnittstelle es technisch hergibt. Entscheidend ist also: Welche Informationen sind für den konkreten Vorgang erforderlich? Wer darf sie nutzen und zu welchem Zweck? Diese Fragen lassen sich nicht an die KI delegieren. Sie müssen organisatorisch und fachlich geklärt sein, bevor automatisiert wird.

Gerade im Enterprise-Umfeld geht es nicht um eine einzelne Lösung, die einem Mitarbeitenden morgens drei Klicks erspart. Hier entstehen keine isolierten kleinen Helfer, sondern Ende-zu-Ende-Prozesse, in denen mehrere Systeme, Rollen, Datenklassen und Entscheidungen zusammenspielen. Wer zuerst baut und erst anschließend über Governance nachdenkt, automatisiert im Zweifel vor allem die eigenen unklaren Prozesse.

Die zweite Leitplanke ist Nachvollziehbarkeit.

Ein Logfile allein macht einen KI-Prozess noch nicht auditierbar. Denn es ist nicht nur relevant, dass Daten verarbeitet wurden, sondern auch welche Daten, warum und welche Aktion daraus folgte. Besonders kritisch wird das, wenn die KI nicht nur Inhalte erzeugt, sondern auch Entscheidungen vorbereitet oder Prozesse auslöst. Deshalb sollte die KI-Einschätzung von der Geschäftslogik getrennt bleiben. Ein Modell kann beispielsweise zuverlässig erkennen, dass eine Ampel grün ist. Ob ein Fahrzeug deshalb tatsächlich fahren darf, sollte aber nicht zwingend in derselben Blackbox entschieden werden.

Diese Trennung ist aus Compliance-Sicht relevant, denn sie schafft etwas, das bei KI besonders wertvoll ist: nachvollziehbare Entscheidungen. Wenn niemand mehr erklären kann, warum ein bestimmter Datensatz verarbeitet oder eine bestimmte Aktion ausgelöst wurde, wird Datenschutz schnell zur Rückschau auf einen Unfall.

Die dritte Leitplanke betrifft den Faktor Mensch.

Wenn jeder Mitarbeitende eigene KI-Automatisierungen bauen kann, entsteht eine neue Form der Schatten-IT. Das liegt nicht unbedingt daran, dass Mitarbeitende Regeln bewusst ignorieren, sondern daran, dass moderne Tools die Umsetzung extrem einfach machen. Der eine liest E-Mails mit Tool A aus, der nächste nutzt Tool B, ein Dritter lässt daraus einen Workflow entstehen. Alle sind produktiver, zumindest theoretisch. Allerdings verarbeiten sie höchstwahrscheinlich dieselben Unternehmensdaten nach unterschiedlichen Regeln.

Verbotslisten reichen deshalb nicht aus. Unternehmen brauchen klare Vorgaben, Schulungen und vor allem sichere Alternativen. Wer nur erklärt, was verboten ist, aber nicht, was erlaubt ist und warum bestimmte Daten geschützt werden müssen, fördert Umgehungsstrategien statt Sicherheit.

Und jetzt?

Die Antwort auf diese Risiken darf nicht lauten, Low-Code oder KI-Coding auszubremsen. Im Gegenteil: Unternehmen brauchen die Geschwindigkeit – aber im Rahmen einer belastbaren Prozessarchitektur. Feingranulare Zugriffsrechte, eine saubere Klassifizierung, transparente Datenflüsse, Auditierbarkeit und klar definierte Business-Regeln sind keine überflüssige Bürokratie, sondern die Voraussetzung für eine wirklich intelligente Automatisierung. Der BfDI-Bericht sollte dabei als Warnsignal verstanden werden: Wenn selbst bei grundlegenden Fragen zum Umgang mit personenbezogenen Daten noch erhebliche Unsicherheiten bestehen, können Unternehmen es sich nicht leisten, Governance erst dann nachzurüsten, wenn die KI bereits tief in ihre Prozesse vorgedrungen ist. Wer Low-Code und KI-Coding sicher skalieren will, muss von Anfang an kontrollieren, welche Daten wohin fließen.

foto ki magnific

FAQ: KI-Coding, Low-Code und Governance

Warum wird KI-Coding schnell zum Governance-Thema?
Weil KI-gestützte Anwendungen häufig auf mehrere Systeme, Rollen und Datenklassen zugreifen. Damit betreffen Architekturentscheidungen zugleich Datenschutz, Informationssicherheit, Verantwortlichkeit und Prozesskontrolle.
Was bedeutet Datenminimierung konkret?
Nach Art. 5 DSGVO müssen personenbezogene Daten dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sein. Für KI-Anwendungen heißt das: Zugriff nur auf die für den jeweiligen Vorgang erforderlichen Datenfelder und nur für einen eindeutig festgelegten Zweck. [1]
Reicht es, personenbezogene Daten vor der KI-Nutzung zu anonymisieren?
Nein, nicht pauschal. Der BfDI-Konsultationsbericht dokumentiert unterschiedliche Einschätzungen dazu, wann ein KI-Modell als anonym gelten kann. Entscheidend ist eine kontext- und risikobezogene Prüfung realistischer Identifizierungs- und Extraktionsmöglichkeiten. [2]
Wie lassen sich Betroffenenrechte bei KI-Modellen umsetzen?
Der BfDI-Bericht nennt für das Auskunftsrecht unter anderem die Auflistung einschlägiger Trainingsdaten, sofern diese vorhanden sind. Bei memorisierten Daten werden Maßnahmen auf Systemebene diskutiert, weil Machine Unlearning laut Bericht noch nicht einwandfrei einsetzbar ist. [2]
Was macht einen KI-Prozess auditierbar?
Ein belastbarer Audit-Trail hält nicht nur technische Ereignisse fest, sondern dokumentiert Datenquelle, Verarbeitungszweck, Modell- oder Regelversion, Ergebnis, ausgelöste Aktion, menschliche Freigabe und Verantwortlichkeit.
Welche Rolle spielt der EU AI Act?
Der EU AI Act verfolgt einen risikobasierten Ansatz und verteilt Pflichten auf Anbieter und Betreiber. Für bestimmte Systeme gelten unter anderem Transparenzpflichten; die Leitlinien der EU-Kommission zu Art. 50 erläutern deren Anwendung seit dem 2. August 2026. [3]
Wann müssen Menschen über KI-Nutzung informiert werden?
Art. 50 des EU AI Act sieht für bestimmte direkt interagierende KI-Systeme und bestimmte KI-generierte oder manipulierte Inhalte Informations- beziehungsweise Kennzeichnungspflichten vor. Welche Pflicht greift, hängt von Rolle, Systemtyp und Nutzungskontext ab. [3]
Welche Sicherheitsrisiken entstehen bei generativer KI?
Das BSI nennt neue und verstärkte IT-Sicherheitsrisiken rund um generative Modelle und empfiehlt, deren Einsatz als Grundlage einer systematischen Risikoanalyse zu betrachten. Dazu gehören Risiken bei Integration, Betrieb, Datenabfluss und gezielten Angriffen. [4]
Wie lässt sich Schatten-KI praktisch eindämmen?
Mit einem zugänglichen, freigegebenen Werkzeugangebot, klaren Datenklassen, verbindlichen Freigabewegen, Rollenrechten, Schulungen sowie Protokollierung. Bloße Verbote lösen den Produktivitätsbedarf nicht und verlagern Nutzung häufig in unkontrollierte Kanäle.
Was sollte das Management als Nächstes entscheiden?
Priorität haben ein Inventar aller KI-Anwendungsfälle und Schnittstellen, eindeutige Verantwortliche, risikobasierte Freigabekriterien, minimale Berechtigungen, verbindliche Kontrollpunkte und messbare Exit-Kriterien für Piloten. So wird Geschwindigkeit an überprüfbare Leitplanken gekoppelt.

Quellen

[1] https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de

[2] https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Konsultationsverfahren/4_KI-Modelle-pbD/Bericht-Konsultation-KI.html?nn=511482

[3] https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-transparency-obligations

[4] https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/KI/Generative_AI_Models.html

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

295 Artikel zu „KI Coding“

Business Process Management | Digitalisierung | Künstliche Intelligenz | News | Strategien

KI-Strategie: Warum Vibe-Coding bei Java keine gute Idee ist

3. Juli 2026

Vibe Coding versprach die Demokratisierung der Softwareentwicklung. Für Prototypen mag das stimmen. Für Java-Systeme, die Banken, Krankenhäuser oder Behörden am Laufen halten, gilt das nicht. IT-Entscheider müssen das Fundament ihrer Unternehmens-IT schützen. Ein Kommentar von Simon Ritter*, Deputy CTO bei Azul Der Hype um Vibe Coding flaut ab – und die Schadensbilanz wird langsam…