KI und Engineering: Innovation ohne Cybersecurity-Risiko

Zusammenfasssung

Innovation vorantreiben, ohne die Cybersicherheit zu beeinträchtigen

Künstliche Intelligenz entwickelt sich rasch zu einem Standardwerkzeug im Engineering – ähnlich wie Versionsverwaltung, automatisierte Tests und Continuous Integration (CI). Bei IMT setzen wir KI ein, um Ingenieurinnen und Ingenieuren dabei zu helfen, Informationen zu finden, komplexe Systeme zu verstehen, Dokumentationen vorzubereiten, Entwurfsalternativen zu untersuchen und repetitive Arbeiten zu reduzieren. Dadurch können unsere Fachspezialistinnen und Fachspezialisten mehr Zeit für jene technischen Entscheidungen aufwenden, die Erfahrung, Kreativität und fundiertes Urteilsvermögen erfordern. Für unsere Kunden bedeutet dies eine kürzere Time-to-Market, geringere Entwicklungskosten und prägnantere Dokumentation.

Der Nutzen von KI bringt jedoch neue Verantwortlichkeiten mit sich. Engineering-Organisationen arbeiten mit vertraulichen Daten wie Quellcode, Produktdesigns, Kundenanforderungen, Risikoanalysen und geistigem Eigentum von Kunden. Solche Informationen können nicht einfach an einen beliebigen Onlinedienst übermittelt werden. Zudem können KI-generierte Antworten unvollständig oder falsch sein, selbst wenn sie überzeugend wirken. Neue KI-Werkzeuge können übermässige Zugriffsrechte auf Unternehmenssysteme und Daten erhalten, während nicht freigegebene Anwendungen und Plugins, die von Entwicklern verwendet werden, Sicherheitslücken ausserhalb der Sichtbarkeit der Organisation schaffen können.

Die entscheidende Frage lautet daher nicht mehr, ob Mitarbeitende KI verwenden dürfen. Die sinnvollere Frage ist:

Bei IMT haben wir diese Frage beantwortet, indem wir leicht zugängliche KI-Dienste mit klarer Governance, kontrolliertem Zugriff, menschlicher Überprüfung und technischen Schutzmassnahmen zu einer internen KI-Plattform kombiniert haben. Diese Plattform kann für alle unsere Kundenprojekte ebenso wie für interne IMT-Abläufe verwendet werden. So können sich unsere mehr als 100 Mitarbeitenden auf eine robuste und sichere KI-Unterstützung verlassen, von der auch unsere Kunden profitieren.

KI unterstützt unsere Ingenieurinnen und Ingenieure, ersetzt aber nicht ihre Verantwortung. Sensible Informationen werden gemäss ihrer Klassifizierung behandelt und ausschliesslich durch KI-Modelle auf unserer eigenen Hardware verarbeitet. Alle eingesetzten Modelle und Werkzeuge müssen unsere interne Freigabe durchlaufen. Berechtigungen werden auf das begrenzt, was eine Anwendung tatsächlich benötigt, und wichtige Engineering-Entscheidungen bleiben qualifizierten Fachpersonen vorbehalten.

Dieser Ansatz ermöglicht es uns, die Vorteile von KI zu nutzen und gleichzeitig geistiges Eigentum, Kundeninformationen, höchste Qualitätsstandards und Vertrauen zu schützen.

Stellen Sie sich eine Softwareentwicklerin oder einen Softwareentwickler vor, die bzw. der mit der Arbeit an einer unbekannten Komponente beginnt. Bevor das eigentliche Problem gelöst werden kann, gehen möglicherweise mehrere Stunden für die Suche in der Dokumentation, das Lesen bestehenden Codes, den Vergleich früherer Implementierungen und die Vorbereitung routinemässiger Teststrukturen verloren. Ein grosser Teil dieser Arbeit ist notwendig, nutzt die Fachkompetenz der Person aber nicht immer optimal.

KI kann diese Vorbereitungszeit verkürzen. Sie kann ein Modul zusammenfassen, das Zusammenspiel verschiedener Komponenten erklären, relevante Dokumentation identifizieren oder einen ersten Lösungsentwurf erstellen. Anschliessend kann sich die verantwortliche Person darauf konzentrieren, ob die vorgeschlagene Lösung wie beabsichtigt funktioniert, sicher, wartbar und für das Produkt geeignet ist.

Das ist der zentrale Grund, weshalb wir KI bei IMT einsetzen. Wir betrachten sie nicht als Ersatz für Ingenieurinnen und Ingenieure, sondern als Assistenten, der Reibungsverluste in der Engineering-Arbeit reduziert.

Vom Automatisieren zum Engineering-Assistenten

Traditionelle Automatisierung ist deterministisch. Ein Werkzeug folgt einer vordefinierten Abfolge und erzeugt ein erwartetes Ergebnis. KI funktioniert anders. Sie kann eine Frage interpretieren, grosse Informationsmengen berücksichtigen und eine Antwort vorschlagen, selbst wenn die Aufgabe nicht als fest definierter Prozess beschrieben wurde.

Dadurch wird KI in Bereichen nützlich, die sich bisher nur schwer automatisieren liessen. Sie kann dabei helfen, eine unbekannte Codebasis zu verstehen, Anforderungen zu vergleichen, Annahmen zu hinterfragen oder eine Bedrohungsanalyse zu beginnen. Besonders wertvoll ist sie dann, wenn das eigentliche Hindernis nicht in der Ausführung eines bekannten Verfahrens liegt, sondern darin, Informationen zu finden, zu strukturieren oder zu interpretieren.

Gleichzeitig ist genau diese Flexibilität der Grund, weshalb KI sorgfältig überwacht werden muss. Ein KI-generierter Vorschlag ist nicht automatisch korrekt, nur weil er sprachlich überzeugend präsentiert wird. Das Ergebnis muss als Ausgangspunkt für eine professionelle Überprüfung betrachtet werden.

Wie wir KI bei IMT einsetzen
Im Software Engineering kann KI Quellcode erzeugen, Legacy-Implementierungen erklären, Refactorings vorschlagen, Unit-Tests vorbereiten und Code-Reviews unterstützen. Beispielsweise kann eine Entwicklerin oder ein Entwickler die KI auffordern, den Code für einen Parser zu analysieren und Testfälle zu identifizieren, die besondere Aufmerksamkeit verdienen.

Das erste Ergebnis ist nur selten das Ende der Arbeit. Die verantwortliche Person prüft, ob die Tests das beabsichtigte Verhalten abbilden, ergänzt fehlende Fälle und führt sie in der etablierten Entwicklungsumgebung aus. Selbst wenn KI den ersten Entwurf erstellt hat, bleiben die üblichen Entwicklungsstandards wie Codierrichtlinien, Peer Reviews und Code-Metriken unverändert bestehen.

Im Systems Engineering hilft KI dabei, Anforderungen zu präzisieren, Schnittstellen zu vergleichen, Inkonsistenzen zu erkennen und Architekturvarianten zu untersuchen. Sie kann auch frühe Diskussionen unterstützen, indem sie mögliche Fehlermodi vorschlägt oder Fragen aufwirft, die das Team noch nicht berücksichtigt hat.

Dadurch wird KI nicht zum Systemarchitekten. Sie liefert vielmehr eine nützliche zweite Perspektive. Ein Vorschlag, der früher mit einem leeren Blatt begonnen hätte, kann stattdessen mit einer Auswahl möglicher Ideen starten, die erfahrene Ingenieurinnen und Ingenieure bewerten und verbessern.

Auch das Cybersecurity Engineering profitiert auf ähnliche Weise. KI kann Threat-Modeling-Workshops unterstützen, mögliche Angriffspfade vorschlagen, schützenswerte Assets identifizieren und potenzielle Gegenmassnahmen vorschlagen. Bei einer STRIDE-Analyse kann sie dem Team beispielsweise helfen, eine erste Liste von Bedrohungen für die einzelnen Systemteile vorzubereiten.

Das entscheidende Wort lautet „erste“. KI kann die Diskussion verbreitern und die Wahrscheinlichkeit reduzieren, dass ein Thema übersehen wird. Die Sicherheitsbewertung muss jedoch weiterhin das tatsächliche Produkt, dessen Umgebung und die vorgesehene Verwendung widerspiegeln.

Dokumentation ist ein weiterer praktischer Anwendungsbereich. Engineering-Teams erstellen Designbeschreibungen, Verifikationsprotokolle, Risikomanagement-Unterlagen, Schnittstellendokumentation, Release Notes und viele weitere Dokumente. KI kann helfen, diese Texte zu strukturieren, ihre Verständlichkeit zu verbessern und Engineering-Notizen in einen konsistenteren ersten Entwurf zu überführen.

Dies bringt einen erheblichen Produktivitätsgewinn, insbesondere wenn qualifizierte Fachpersonen weniger Zeit mit Formatkorrekturen oder dem Umschreiben ähnlicher Passagen verbringen. Formale Dokumente müssen dennoch weiterhin von den verantwortlichen Personen geprüft und freigegeben werden. KI kann beim Verfassen eines Dokuments unterstützen; sie kann dessen technische oder regulatorische Bedeutung nicht freigeben.

Beobachtete Vorteile
Die wichtigsten Verbesserungen beschränken sich nicht auf eine schnellere Text- oder Codegenerierung. KI reduziert die Zeit, die zum Auffinden und Verstehen von Informationen benötigt wird. Sie kann das Onboarding neuer Teammitglieder unterstützen, vorhandenes Wissen leichter zugänglich machen und Ingenieurinnen und Ingenieuren helfen, mit weniger Unterbrechung zwischen unbekannten Themen zu wechseln.

Sie verbessert zudem den Ausgangspunkt vieler Engineering-Aktivitäten. Ein erster Entwurf, eine Fragenliste oder ein vorgeschlagener Satz von Tests gibt einem Team etwas Konkretes zur Überprüfung. Dies führt häufig zu fokussierten Diskussionen und vollständigeren Ergebnissen.

KI kann auch Kontextwechsel reduzieren. Statt zwischen zahlreichen Werkzeugen, Dokumenten und Suchergebnissen zu wechseln, kann eine Ingenieurin oder ein Ingenieur einen freigegebenen Assistenten nutzen, um relevante Informationen zusammenzuführen. Die eingesparte Zeit kann in Designentscheidungen, Risikoanalysen, Tests und Problemlösung investiert werden.

Das Grundprinzip hinter all diesen Anwendungen ist einfach:

Die Verantwortung für das Ergebnis bleibt bei der Ingenieurin bzw. beim Ingenieur, und deren Fachkompetenz bestimmt Qualität, Innovation und Einfallsreichtum des Resultats.

Cybersicherheit muss sich mit der Einführung von KI weiterentwickeln

Jede nützliche Technologie führt neue Risiken ein. KI bildet dabei keine Ausnahme. Ungewöhnlich an der aktuellen Entwicklung ist die Kombination aus Zugriff, Autonomie und Geschwindigkeit.

KI-Systeme entwickeln sich zunehmend über isolierte Chat-Anwendungen hinaus. Sie können auf grosse Teile der Informationslandschaft einer Organisation zugreifen: Quellcode-Repositorien, Dokumentationsplattformen, Issue-Tracker, interne Datenbanken und Cloud-Dienste. Über Plugins, APIs und agentische Schnittstellen können sie unter Umständen nicht nur Informationen lesen, sondern auf dieser Grundlage auch Aktionen ausführen. Ein Sicherheitsversagen in einem solchen System kann deshalb einen deutlich grösseren Schadensradius haben als eine falsche Antwort in einem Chatbot.

Die Risiken beschränken sich nicht auf Vorgänge innerhalb der Organisation. Dieselbe Technologie steht auch Angreifern zur Verfügung. KI kann Aufklärung, Social Engineering, Schwachstellenanalyse und die Anpassung von Angriffen beschleunigen. Verteidiger müssen daher gleichzeitig eine neue Klasse von Systemen absichern und mit Gegnern umgehen, deren Fähigkeiten sich ebenfalls weiterentwickeln.

Gleichzeitig entwickelt sich die Technologie selbst mit aussergewöhnlicher Geschwindigkeit. Neue Modelle, Werkzeuge, Integrationen und Angriffstechniken erscheinen laufend. Organisationen können sich nicht auf Sicherheitsprozesse verlassen, die für Technologien ausgelegt wurden, die sich nur alle paar Jahre verändern. Sie benötigen Mechanismen, mit denen sie neue Fähigkeiten bewerten, fundierte Entscheidungen treffen und schnell auf neu auftretende Risiken reagieren können.

Das bedeutet nicht, dass ein Verbot von KI langfristig eine wirksame Antwort wäre. Mitarbeitende, die die Vorteile von KI bereits erlebt haben, werden nach Möglichkeiten suchen, sie einzusetzen. Wenn die Organisation keine praktikable Lösung bereitstellt, kann dies über persönliche Konten und Werkzeuge geschehen, die das Unternehmen nicht steuern kann.

Sicherheit muss daher eine verantwortungsvolle Nutzung ermöglichen, statt die Einführung verhindern zu wollen. Ziel ist es, den freigegebenen Weg sicherer, einfacher und nützlicher zu machen als unkontrollierte Alternativen.

Der folgende Abschnitt untersucht fünf zentrale Cybersecurity-Risiken, die durch KI neu entstehen oder verstärkt werden, und zeigt, wie wir ihnen bei IMT begegnen.

Die Handlung dauert nur wenige Sekunden, doch die Informationen haben nun die kontrollierte Umgebung der Organisation verlassen. Abhängig vom Dienst, seiner Konfiguration und den geltenden Vereinbarungen hat das Unternehmen möglicherweise nur begrenzte Kontrolle darüber, wo die Daten verarbeitet werden, wie lange sie gespeichert bleiben und wer darauf zugreifen kann.

Das Risiko beschränkt sich nicht auf offensichtlich geheime Informationen. Schon ein kleines Codefragment kann geistiges Eigentum offenlegen. Eine Anforderung kann vertrauliche Kundeninformationen enthalten. Eine Logdatei kann personenbezogene Daten, Systemadressen oder Zugangsdaten enthalten. Selbst eine scheinbar harmlose Frage kann in Kombination mit anderen Informationen wichtige Details preisgeben.

Dies kann zu Verstössen gegen vertragliche Verpflichtungen, Kundenvertraulichkeit, den Schutz geistigen Eigentums oder regulatorische Anforderungen führen.

IMT-Lösung

Bei IMT begegnen wir diesem Risiko durch kontrollierten Zugriff auf freigegebene KI-Dienste. Eine zentrale KI-Plattform stellt Modelle bereit, die für den professionellen Einsatz bewertet wurden. Die Datenklassifizierung bestimmt zusammen mit einer strikten KI-Governance, welche Informationen von welchem Modelltyp verarbeitet werden dürfen. Abhängig von der Sensitivität der Aufgabe können Ingenieurinnen und Ingenieure lokale Modelle, kontrollierte Private-Cloud-Dienste oder freigegebene externe Modelle verwenden.

Vertragliche Schutzmassnahmen, Sensibilisierung der Anwenderinnen und Anwender sowie klare Regeln ergänzen die technischen Kontrollen. Mitarbeitende müssen nicht nur wissen, welche Werkzeuge verfügbar sind, sondern auch, welche Informationen für welches Werkzeug geeignet sind.

Die erste Frage, die jede Organisation vor der Einführung von KI beantworten sollte, ist daher einfach:

Die Herausforderung besteht nicht einfach darin, dass KI Fehler macht. Menschen und herkömmliche Softwarewerkzeuge machen ebenfalls Fehler. Die besondere Gefahr liegt darin, dass ein KI-System falsche Informationen selbstbewusst und schlüssig präsentieren kann. Eine plausible Antwort kann eine erste Prüfung bestehen, insbesondere wenn die prüfende Person mit dem Thema nicht vertraut ist.

In einem Entwicklungsprojekt für ein Medizinprodukt kann bereits ein scheinbar kleiner Fehler weitreichende Folgen haben. Fehlerhafter Code kann das Produktverhalten oder sogar die Patientensicherheit beeinflussen. Ein unvollständiger Test kann ein falsches Gefühl von Testabdeckung vermitteln. Eine irreführende Interpretation einer Norm kann Projektdokumentation oder Planung beeinflussen. Solche unentdeckten falschen oder unvollständigen Antworten können den Projekterfolg unmittelbar beeinträchtigen und unnötig Zeit und Geld kosten.

IMT-Lösung

Aus diesem Grund behandeln wir KI-Ausgaben als Vorschlag und nicht als Entscheidung. Code muss den üblichen menschlichen Review- und Testprozess durchlaufen. Engineering-Standards gelten weiterhin. Architekturentscheidungen benötigen die Freigabe der verantwortlichen Fachpersonen, und formale Dokumentation unterliegt weiterhin den etablierten Prüfungen.

Der erforderliche Umfang der Verifikation hängt von den Folgen eines Fehlers ab. Der Entwurf einer Sitzungszusammenfassung benötigt nicht dieselben Kontrollen wie sicherheitsrelevanter Quellcode oder eine Cybersecurity-Risikobewertung. Je wichtiger das Ergebnis, desto intensiver muss die Prüfung sein.

Ein hilfreiches Denkmodell ist, KI wie eine schnelle und sachkundige Junior-Fachkraft zu behandeln. Sie kann wertvolle Ideen beitragen und umfangreiche Arbeiten erledigen, ihre Ergebnisse dürfen jedoch nicht allein aufgrund einer selbstbewussten Darstellung oder professionellen Präsentation akzeptiert werden.

Dieses Verhalten entsteht nicht immer aus Nachlässigkeit. Häufig tritt es auf, wenn Mitarbeitende einen legitimen Bedarf haben, die freigegebene Lösung jedoch schwer zugänglich, langsam oder für ihre Arbeit zu stark eingeschränkt ist.

Eine Richtlinie, die lediglich sagt „KI nicht verwenden“, beseitigt den Bedarf nicht. Sie verlagert die Nutzung aus dem Blickfeld der Organisation. Sicherheitsteams können dann nicht feststellen, welche Informationen geteilt werden, welche Anbieter beteiligt sind oder ob vertragliche und technische Schutzmassnahmen vorhanden sind.

IMT-Lösung

Unsere Antwort besteht darin, eine freigegebene Alternative bereitzustellen, die tatsächlich nützlich ist. Ingenieurinnen und Ingenieure können über eine zentrale, kontrollierte Plattform mit ihrer normalen Unternehmensidentität auf geeignete Modelle zugreifen. Die Plattform lässt sich in etablierte Arbeitsabläufe und Entwicklerwerkzeuge integrieren, während Richtlinien und Logging konsistent angewendet werden.

Es kann ebenfalls wichtig sein, mehr als ein freigegebenes Modell anzubieten. Unterschiedliche Modelle haben unterschiedliche Stärken, und eine einzelne Option deckt möglicherweise nicht jeden legitimen Engineering-Bedarf ab. Eine kontrollierte Auswahl reduziert den Anreiz, auf nicht freigegebene Alternativen auszuweichen.

Die praktische Erkenntnis lautet: Benutzerfreundlichkeit ist Teil der Sicherheit. Wenn die sichere Option unnötige Hindernisse schafft, suchen Menschen nach einer Abkürzung.

Diese Fähigkeiten erhöhen den Nutzen von KI, vergrössern jedoch auch die Auswirkungen eines kompromittierten oder falsch instruierten Werkzeugs.

Stellen Sie sich einen KI-Agenten vor, der mit einem einzigen langlebigen technischen Schlüssel auf Quellcode-Repositories, das Unternehmens-Wiki, den Issue-Tracker, Produktgeheimnisse und Produktionssysteme zugreift. Wird dieser Schlüssel offengelegt oder führt der Agent eine unbeabsichtigte Aktion aus, reichen die Folgen weit über die ursprüngliche Aufgabe hinaus.

KI-Werkzeuge sollten deshalb eher wie Benutzer als wie Softwarekomponenten behandelt werden. Sie benötigen klar definierte Verantwortlichkeiten, kontrollierte Authentisierung, begrenzte Berechtigungen und nachvollziehbare Aktionen. Zugriff sollte für einen bestimmten Zweck erteilt werden – nicht einfach, weil ein KI-Werkzeug ihn irgendwann benötigen könnte.

IMT-Lösung

Bei IMT bevorzugen wir identitätsbasierte Authentisierung und kurzlebige Zugangsdaten gegenüber gemeinsam genutzten, permanenten Schlüsseln. Die Autorisierung wird zentral verwaltet, und Berechtigungen folgen dem Minimalprinzip (Least Privilege). Wenn eine Aktion erhebliche Auswirkungen haben könnte, ist vor ihrer Ausführung eine menschliche Freigabe erforderlich. Durch Logging lässt sich nachvollziehen, welcher Benutzer, Agent und Dienst eine Aktion ausgeführt hat.

Ein Assistent, der Code erklären soll, benötigt möglicherweise Lesezugriff auf ein einzelnes Repository. Er benötigt dadurch nicht automatisch Zugriff auf Produktionssysteme, Geheimnisse, Finanzinformationen oder jedes Kundenprojekt.

Ein Team könnte ein Open-Source-Modell herunterladen, weil es in einer Demonstration gute Ergebnisse erzielt. Eine Mitarbeiterin oder ein Mitarbeiter könnte ein Plugin installieren, das eine Verbindung zwischen dem Assistenten und einem internen Werkzeug verspricht. Eine neue Integration kann Zugriff auf Engineering-Daten verlangen, ohne ihr Sicherheitsverhalten transparent zu machen.

Die Komponente kann verwundbare Abhängigkeiten, schädliche Funktionalität, unklare Lizenzbedingungen oder unsichere Standardeinstellungen enthalten. Eine kompromittierte Integration kann zudem zu einem indirekten Zugangspfad zu sensiblen Unternehmensinformationen werden.

IMT-Lösung

Wir steuern dieses Risiko, indem wir KI-Komponenten genauso diszipliniert behandeln wie andere Drittanbieter-Software. Modelle, Plugins und Tool-Integrationen durchlaufen einen Freigabeprozess, bevor sie verfügbar gemacht werden. Relevante Komponenten werden auf Schwachstellen und Lizenzrisiken geprüft. Freigegebene Werkzeuge werden in einem zentralen Katalog gepflegt, während der Nutzung überwacht und bei Bedarf aktualisiert oder entfernt.

Zur Modell-Governance gehört auch Lifecycle-Management. Ein Modell, das heute geeignet ist, kann später veraltet, nicht mehr unterstützt oder für einen bestimmten Anwendungsfall ungeeignet sein. Änderungen an Anbieterbedingungen, Hosting-Modellen, Sicherheitsbefunden oder am Modellverhalten können eine erneute Bewertung erforderlich machen.

Ziel ist nicht, Experimente zu verhindern. Es geht darum, kontrollierte Evaluation von uneingeschränkter produktiver Nutzung zu trennen.

Die fünf Risiken unterscheiden sich, doch die dahinterliegenden Kontrollen bilden einen zusammenhängenden Ansatz.

Security by Design bedeutet, Datenschutz, Identität, Zugriff, Monitoring und menschliche Verantwortung von Anfang an mitzudenken. Diese Elemente lassen sich nur schwer konsistent nachrüsten, wenn viele Teams bereits unterschiedliche Werkzeuge eingeführt haben.

Eine zentrale KI-Governance stellt einen gemeinsamen Satz freigegebener Dienste und Regeln bereit. Sie gibt der Organisation Transparenz und ermöglicht Ingenieurinnen und Ingenieuren zugleich, mit Modellen zu arbeiten, die zu ihren Aufgaben passen.

Identitätsbasierter Zugriff verknüpft die KI-Nutzung mit bekannten Benutzerinnen, Benutzern und Diensten. Dadurch wird anonymer Zugriff vermieden und die Abhängigkeit von gemeinsam genutzten technischen Schlüsseln reduziert.

Das Minimalprinzip begrenzt anschliessend jede Person, Anwendung und jeden Agenten auf die für die jeweilige Arbeit erforderlichen Ressourcen.

Menschliche Kontrolle bleibt unverzichtbar. KI kann vorbereiten, empfehlen und unterstützen, doch Entscheidungen mit erheblichen technischen, sicherheitsbezogenen oder regulatorischen Konsequenzen werden von Menschen freigegeben.

Monitoring und Auditierbarkeit vervollständigen das Bild. Die Organisation muss nachvollziehen können, welche Werkzeuge verwendet werden, auf welche Systeme sie zugreifen und ob ihr Verhalten weiterhin den Richtlinien entspricht. Monitoring sollte sowohl Sicherheitsuntersuchungen als auch die kontinuierliche Verbesserung der KI-Plattform unterstützen.

Schliesslich muss das Modell zu den Daten passen. Nicht jede Aufgabe benötigt das leistungsfähigste externe Modell, und nicht jede Art von Information sollte in derselben Umgebung verarbeitet werden. Für hochsensible Daten kann ein lokales Modell geeignet sein. Ein Private-Cloud-Modell kann einen Ausgleich zwischen Leistungsfähigkeit und Kontrolle bieten. Ein freigegebenes Frontier-Modell kann sinnvoll sein, wenn fortgeschrittenes Reasoning erforderlich ist und die Informationen unter den vereinbarten Bedingungen verarbeitet werden dürfen.

Die Wahl sollte bewusst und nicht zufällig erfolgen.

Diese Zuordnung ist wichtig, weil die Prinzipien keine abstrakten Sicherheitsschlagwörter sind. Jedes davon adressiert ein praktisches Problem, dem Engineering-Teams begegnen, wenn KI Teil der täglichen Arbeit wird.

Die Einführung von KI ist nicht einfach eine Entscheidung der IT-Abteilung. Sie beeinflusst Engineering-Produktivität, Umgang mit Informationen, Softwareentwicklung, Cybersicherheit, Qualitätsprozesse und organisatorisches Wissen. Deshalb braucht sie fachliche Verantwortung und klar definierte Zuständigkeiten.

Wir haben zudem gelernt, dass sichere KI einfach nutzbar sein muss. Richtlinien allein können nicht mit Werkzeugen konkurrieren, die Mitarbeitende innerhalb weniger Sekunden öffnen können. Organisationen müssen einen praktikablen Dienst bereitstellen, dessen Grenzen erklären und ihn anhand realer Bedürfnisse der Anwenderinnen und Anwender verbessern.

Produktivität und Sicherheit sind keine Gegensätze. Eine gut konzipierte Plattform kann beides verbessern. Zentraler Zugriff macht KI für Mitarbeitende einfacher nutzbar und verschafft dem Unternehmen zugleich bessere Kontrolle über Daten, Identitäten, Berechtigungen und freigegebene Komponenten.

Technologie ist allerdings nur ein Teil der Lösung. Mitarbeitende benötigen klare Leitlinien und relevante Schulungen. Führungskräfte müssen verstehen, welche Anwendungsfälle angemessen sind. Engineering-Teams müssen ihre etablierten Review- und Testverfahren beibehalten. Einkauf, Rechtsabteilung, Qualität und Security müssen einbezogen werden, wenn Anbieter und Vereinbarungen zur Datenverarbeitung bewertet werden.

Die wirksamste Kontrolle ist häufig keine zusätzliche technische Einschränkung. Es ist vielmehr eine Arbeitsumgebung, in der sicheres Verhalten zugleich das bequemste und nützlichste Verhalten ist.

KI entwickelt sich zu einem weiteren Standardwerkzeug im Engineering und folgt damit dem Weg von Compilern, Versionsverwaltungssystemen, Computer-Aided Design (CAD), automatisierten Tests und Continuous Delivery (CD). Sie kann Ingenieurinnen und Ingenieuren helfen, komplexe Systeme zu verstehen, Dokumentation zu verbessern, Risiken zu untersuchen und weniger Zeit für repetitive Aufgaben aufzuwenden.

Ihre Grenzen und Sicherheitsauswirkungen dürfen nicht ignoriert werden. Sensible Informationen können die Organisation verlassen. Falsche Antworten können autoritativ wirken. Nicht freigegebene Werkzeuge können blinde Flecken erzeugen. KI-Agenten können übermässige Berechtigungen erhalten, und neue Modelle oder Plugins können Risiken in der Lieferkette einführen.

Diese Herausforderungen sind beherrschbar, wenn KI bewusst eingeführt wird. Datenklassifizierung, freigegebene Modelle, identitätsbasierter Zugriff, Minimalprinzip, menschliche Überprüfung und kontinuierliches Monitoring bilden eine praktikable Grundlage für eine sichere Nutzung.

Die Organisationen, die am stärksten profitieren, werden nicht zwangsläufig diejenigen sein, die KI zuerst einführen. Es werden diejenigen sein, die KI durchdacht in ihre Engineering-Prozesse integrieren.

Unser Ziel bei IMT ist es, Ingenieurinnen und Ingenieuren nützliche KI-Fähigkeiten zur Verfügung zu stellen und gleichzeitig die Standards einzuhalten, die unsere Kunden und regulierten Projekte erfordern. Das bedeutet, KI die Arbeit beschleunigen zu lassen, ohne dass sie Verantwortlichkeiten umgehen kann.

So eingesetzt stärkt KI das Engineering, statt seine Kontrollmechanismen zu schwächen. Sie hilft Menschen, effektiver zu arbeiten, und schützt gleichzeitig geistiges Eigentum, Kundeninformationen, Produktqualität und das Vertrauen, auf dem erfolgreiches Engineering beruht.