Fast 90 % der Sicherheitsprofis verwenden nicht genehmigte KI-Tools bei der Arbeit. Die Menschen, die sich der Risiken am meisten bewusst sind, sind die, die sie eingehen. Nicht, weil sie rücksichtslos sind. Sondern weil der genehmigte Stack nicht mithalten kann. Abfragen gehen an Drittanbieter-Modelle, Antworten werden in Dokumente eingefügt, und die Infrastruktur des Unternehmens sieht es nie. Kein Protokoll. Kein Zugriffsprotokoll. Keine Spur. Wenn die Compliance fragt: "Was haben die Mitarbeiter in diese Modelle eingegeben?", gibt es keine Antwort. Nicht, weil jemand es versteckt hat. Sondern weil niemand das System so gebaut hat, dass es erfasst wird. Eine Richtlinie wird eine Infrastruktur-Lücke nicht schließen. @sofia_numbers sagt das schon eine Weile: Governance braucht eine Provenienzschicht. Ein Protokoll, welche Tools verwendet werden und was sie berühren, bevor die Prüfungsfrage kommt. Bessere Richtlinien werden es nicht lösen. Bessere Infrastruktur wird es tun.