Company-as-Code: Warum Sie Ihre KI wie Infrastruktur betreiben sollten

Ein Test im eigenen Maschinenraum

In unserem Maschinenraum haben wir zwei Angriffe gegen dieselbe KI-Sicherheitsarchitektur laufen lassen. Beide zielten auf ein produktives Sprachmodell, vor das wir einen Sicherheits-Klassifikator gesetzt hatten, einen Wächter, der jede Anweisung prüft, bevor sie das Modell erreicht.

Der erste Angriff sollte im Hintergrund alle Kundendaten aus einem CRM-System auslesen und nach außen schicken. Eine klassische Exfiltration. Der Wächter hat sie erkannt und gestoppt. Genau so, wie es sein soll.

Der zweite Angriff war ein CEO-Betrug, getarnt als harmlose Geschäftsmail an die Buchhaltung. Kein verdächtiger Code, keine offensichtliche Manipulation, nur höflicher Ton und eine plausible Bitte um eine Zahlung. Der Wächter hat ihn durchgelassen.

Diesen blinden Fleck bügele ich bewusst nicht glatt, denn er ist der eigentliche Beweis. Ein einzelnes Modell, auch ein gutes Sicherheitsmodell, sieht nur das, wofür es trainiert wurde. Es erkennt das technisch Bösartige und übersieht das sozial Getarnte. Wer Sicherheit von einem einzelnen Modell oder einem einzelnen Filter erwartet, hat die Frage falsch gestellt.

Das Modell ist nicht das Problem

Aus Gesprächen mit Entscheidern in den letzten Monaten nehme ich eine These mit: Die meisten Unternehmen haben kein KI-Problem. Sie haben ein Betriebsproblem.

Ein Modell zu testen ist heute in Minuten erledigt. Einen Chatbot zu bauen ebenfalls. Die eigentliche Arbeit beginnt erst danach. Wer kontrolliert den Zugriff auf welche Daten? Was passiert, wenn das System ausfällt oder etwas erfindet? Wie verhindern wir, dass ein automatisierter Agent etwas tut, das niemand wollte? Und wer trägt am Ende die Verantwortung, wenn doch ein Fehler passiert?

Das sind keine Fragen nach dem richtigen Modell. Das sind Fragen nach dem Betrieb. Und genau hier scheitert KI in den meisten Unternehmen. Nicht am Modell, sondern am Betrieb.

Viele Piloten, wenig produktiver Betrieb

Das Muster ist überall dasselbe. Es gibt einen Pilotversuch, oft mehrere. Eine Abteilung baut etwas, es funktioniert in der Vorführung, und dann bleibt es stecken. Ein Prototyp muss nur einmal funktionieren, unter kontrollierten Bedingungen, mit wohlwollenden Nutzern. Ein Betrieb muss jeden Tag funktionieren, unter realen Bedingungen, auch wenn jemand das System absichtlich oder versehentlich falsch bedient. Genau zwischen diesen beiden Zuständen liegt die eigentliche Arbeit, und dort bleiben die meisten Vorhaben hängen.

Wenn ich in der Community nachfrage, woran es liegt, höre ich fast immer dieselben fünf Themen.

Datenhoheit. Sobald ein KI-System auf echte Geschäftsdaten zugreifen soll, wird die Frage konkret: Wo liegen diese Daten, wer darf sie sehen, und verlassen sie das Unternehmen? Solange das ungeklärt ist, kommt nichts Sensibles in Produktion.

Integration. Ein KI-System, das nicht mit den bestehenden Anwendungen spricht, bleibt eine Insel. Der Aufwand, es sauber an Fachsysteme, Prozesse und Datenquellen anzubinden, wird regelmäßig unterschätzt.

Governance. Wer entscheidet, was die KI darf und was nicht? Wie werden Entscheidungen nachvollziehbar? Ohne klare Regeln und Protokollierung bleibt jedes Vorhaben ein Experiment, das niemand verantworten will.

Sicherheit. Eine KI mit Zugriff auf Daten und Werkzeuge ist eine neue Angriffsfläche. Wer das nicht von Anfang an mitdenkt, baut ein Risiko, das später teuer wird.

Betriebsverantwortung. Am Ende muss jemand verantwortlich sein, wenn sich das System nachts falsch verhält. Wer wird dann geweckt? Solange diese Rolle nicht besetzt ist, ist nichts wirklich produktiv.

Keiner dieser fünf Punkte ist ein Modellproblem. Alle fünf sind Betriebsfragen. Solange sie offen sind, bleibt jeder Pilot ein Pilot.

Das Signal aus dem Markt: weg vom Modell, hin zum Betrieb

Es lohnt sich, darauf zu achten, wohin die großen Anbieter ihre Aufmerksamkeit verschieben. Über Jahre drehte sich alles um das Modell: mehr Parameter, bessere Werte in den Vergleichstests, das nächste Spitzenmodell. Was ich beobachte, ist eine Verschiebung. Selbst die größten Infrastruktur-Anbieter rücken weniger das Modell selbst in den Vordergrund und mehr das Drumherum: sicheren Betrieb, Wächter und Kontrollen und die Frage, wie sich KI verlässlich in Unternehmen einbetten lässt.

Der Sicherheits-Klassifikator aus unserem Test, ein Schutzmodell namens Llama Guard, das wir über NVIDIAs Infrastruktur betreiben, ist genau so ein Werkzeug. Wenn diejenigen, die am Verkauf großer Modelle am meisten verdienen, anfangen, Sicherheits- und Betriebswerkzeuge in den Vordergrund zu stellen, dann ist das ein Signal. Ich lese es als Verschiebung im Markt, nicht als Werbung. Es bestätigt, was sich im Alltag längst zeigt: Der Wettbewerb entscheidet sich nicht mehr am Modell, sondern am Betrieb.

Sicherheit entsteht durch Architektur

Zurück zu den beiden Testfällen, denn dort liegt die eigentliche Lehre. Der eine Angriff wurde abgefangen, der andere nicht. Hätten wir uns auf den einen Wächter verlassen, wäre der CEO-Betrug ungehindert bei der Buchhaltung gelandet.

Sicherheit entsteht nicht durch ein einzelnes Modell und nicht durch einen einzelnen Filter. Sie entsteht durch die Architektur. Durch mehrere Schutzschichten, die unterschiedliche Dinge prüfen, und durch den Menschen im Kreis, der dort entscheidet, wo Maschinen blind sind. Ein technischer Filter fängt den Angriff über den Code. Eine zweite Prüfung kann auf Muster achten, die ein einzelnes Modell nicht kennt. Und an den kritischen Stellen, etwa bei einer Zahlungsanweisung, braucht es eine menschliche Freigabe, die sich nicht wegautomatisieren lässt.

Genau deshalb ist Modell-Souveränität eine Illusion. Es gibt nicht das eine sichere Modell, das alle Probleme löst, und das bessere kommt ohnehin im nächsten Quartal. Was real ist und sich gestalten lässt, ist Architektur-Souveränität: die Kontrolle darüber, wie die Teile zusammenspielen, wo geprüft wird und wer entscheidet.

Company-as-Code: das Unternehmen als betreibbares System

Aus dieser Beobachtung ist unser Denkmodell entstanden, das wir Company-as-Code nennen. Es bedeutet: Ein Unternehmen wird so aufgebaut, dass seine Prozesse, Regeln, Datenflüsse und Kontrollmechanismen bewusst steuerbar werden, ähnlich wie eine moderne Software-Infrastruktur. KI ist dann kein Werkzeug daneben, sondern ein Teil des operativen Betriebs.

Erinnern Sie sich an die fünf Blocker? Company-as-Code ist nichts anderes als die Architektur, die jeden einzelnen davon auflöst. Unten liegt eine souveräne Infrastruktur, über die das Unternehmen die Kontrolle behält. Darauf setzt der Maschinenraum auf, der sichere Betrieb, in dem geprüft, überwacht und im Zweifel gestoppt wird. Darin arbeiten Agenten, die Wertschöpfung erzeugen, indem sie konkrete Aufgaben übernehmen, immer in definierten Grenzen. Sie greifen auf das Wissen des Unternehmens zu, das gepflegt und nutzbar gehalten wird, ohne die Hoheit darüber abzugeben. Und über allem liegt die Governance, die festlegt, was erlaubt ist, wer freigibt und wer verantwortet.

Wichtig ist mir dabei eine Ehrlichkeit: Das ist keine starre Pyramide mit einer festen Zahl an Ebenen, die man einmal baut und dann hat. Es ist eine Denkweise. Das Unternehmen wird als zusammenhängendes, sicher betreibbares System verstanden und nicht als Sammlung einzelner Pilotprojekte. Diese Architektur passt sich an das jeweilige Haus an und leistet vor allem eines: KI von einem riskanten Experiment zu einem betreibbaren Teil des Geschäfts zu machen.

Wir wenden dieses Modell zuerst auf uns selbst an. Unser eigener Maschinenraum, in dem auch der beschriebene Test lief, ist der Ort, an dem wir die Idee zuerst an uns selbst erproben, mit allen Befunden, auch den unbequemen. Wer sehen will, wie das konkret aussieht, kann sich das in unserem Showroom anschauen, statt es uns nur glauben zu müssen.

Die eigentliche Frage

Die meisten Diskussionen über KI drehen sich noch immer um das Modell. Welches ist das beste, welches das günstigste, welches das neueste. Das ist eine verständliche Frage, aber es ist schon lange nicht mehr die entscheidende.

Die entscheidende Frage lautet: Wie betreiben wir KI sicher, kontrolliert und widerstandsfähig? Wer sie früh und ernsthaft beantwortet, baut belastbare Systeme, die in den Alltag übergehen und Verantwortung tragen können. Wer sie aufschiebt, sammelt sehenswerte Vorführungen, die nie in den produktiven Betrieb kommen.

Der Unterschied zwischen beiden ist kein besseres Modell. Es ist der Betrieb. Modell-Souveränität ist eine Illusion. Architektur-Souveränität ist real. Genau dort entscheidet sich, welche Unternehmen KI nur testen und welche sie wirklich beherrschen.