Compliance-Rahmenwerke wurden nicht mit Blick auf agentische KI geschrieben. Die DSGVO wurde verfasst, bevor autonome KI-Systeme ein Mainstream-Thema in Unternehmen waren. Die Trust-Service-Kriterien von SOC 2 wurden entwickelt, um statische Infrastruktur zu bewerten, nicht selbststeuernde Softwareagenten. ISO 27001-Kontrollen gehen von menschlich initiierten Datenverarbeitungen aus, nicht von KI-Systemen, die asynchron unter menschlichen Zielvorgaben operieren.
Das bedeutet nicht, dass diese Rahmenwerke für agentische KI nicht gelten. Sie gelten - aber ihre Anwendung auf Agenten schafft spezifische Compliance-Lücken, die Organisationen proaktiv adressieren müssen. Dieser Beitrag identifiziert die wichtigsten Lücken unter jedem Rahmenwerk und bietet konkrete Lösungswege.
DSGVO und agentische KI
Lücke 1: Rechtmäßige Grundlage für agenteninitiierte Verarbeitung
Die DSGVO verlangt eine rechtmäßige Grundlage für jede Verarbeitungstätigkeit mit personenbezogenen Daten. Menschlich initiierte Verarbeitung wird typischerweise durch eine Kombination aus berechtigtem Interesse, Vertragserfüllung und Einwilligung abgedeckt. Wenn jedoch ein KI-Agent - der auf ein breites Ziel wie „Analyse von Kundenverhaltensmustern“ arbeitet - autonom entscheidet, personenbezogene Daten im Rahmen seiner Verarbeitung zu nutzen, stellt sich die Frage: Wer hat diese spezifische Verarbeitung autorisiert?
Die Antwort ist oft unklar. Der Benutzer, der den Agenten bereitgestellt hat, hat dem Agenten erlaubt, ein Ziel zu erreichen, nicht jede einzelne Datenverarbeitungsschritt. Wenn der Ansatz des Agenten zur Zielerreichung personenbezogene Daten auf eine Weise verarbeitet, die der Benutzer nicht explizit erwartet hat, besteht ein berechtigter Zweifel, dass die rechtmäßige Grundlage für diese spezifische Verarbeitung klar gilt.
Lösung: Definieren Sie den Umfang des Zugriffs auf personenbezogene Daten für jede Agentenbereitstellung bereits in der Genehmigungsphase. Die Dokumentation der rechtmäßigen Grundlage sollte nicht nur festhalten, dass der Agent Daten verarbeiten darf, sondern welche Datenkategorien, zu welchem Zweck und auf welcher rechtlichen Grundlage. Dies beschränkt den Datenzugriff des Agenten auf das, was durch die dokumentierte rechtmäßige Grundlage abgedeckt ist.
Lücke 2: Datenresidenz und grenzüberschreitende Übermittlung
Die DSGVO beschränkt die Übermittlung personenbezogener Daten in Länder außerhalb des EWR, sofern kein angemessener Schutz besteht. KI-Agenten schaffen neue grenzüberschreitende Übertragungsvektoren, die leicht übersehen werden: LLM-API-Aufrufe, die personenbezogene Daten in Prompts enthalten, MCP-Server außerhalb des EWR, die personenbezogene Daten verarbeiten, Agenten-Orchestrierungsinfrastruktur in US-Cloud-Regionen.
Wenn personenbezogene Daten in einem Prompt an eine LLM-API gesendet werden, werden diese Daten an den Standort des API-Endpunkts übertragen. Befindet sich der Endpunkt in den USA und es liegen keine Standardvertragsklauseln vor, ist dies ein Verstoß gegen die DSGVO-Grenzüberschreitungsregeln. Die meisten Unternehmens-KI-Bereitstellungen haben die Datenflüsse im Agentenbetrieb nicht vollständig auf ihre grenzüberschreitenden Übermittlungspflichten abgebildet.
Lösung: Kartieren Sie jeden Datenfluss im Agentenbetrieb auf seinen physischen Übertragungsweg. Beziehen Sie LLM-API-Endpunkte in Ihre Datenübermittlungskartierung ein. Stellen Sie sicher, dass Standardvertragsklauseln oder gleichwertige Mechanismen für jede Übermittlung von EU-Personendaten an Drittland-Endpunkte vorhanden sind. Erwägen Sie Datenresidenzkontrollen auf der Agenten-Gateway-Ebene, die personenbezogene Daten aus Prompts filtern, die an nicht konforme Endpunkte gesendet werden.
Lücke 3: Automatisierte Entscheidungsfindung gemäß Artikel 22
Artikel 22 der DSGVO beschränkt vollautomatisierte Entscheidungen, die rechtliche oder ähnlich erhebliche Wirkungen haben. Da Agenten für Anwendungsfälle wie Kreditprüfung, Einstellungsscreening, Bonitätsbewertung und Inhaltsmoderation eingesetzt werden, wird die Anwendbarkeit von Artikel 22 real. Organisationen müssen bestimmen, ob Agentenentscheidungen in diesen Kontexten als „vollautomatisierte“ Verarbeitung gelten, die menschliche Aufsicht dokumentieren und die erforderlichen Informationen für Betroffene bereitstellen.
SOC 2 und agentische KI
Lücke 1: Logische Zugriffskontrollen (CC6.1)
SOC 2 CC6.1 verlangt, dass logischer Zugriff auf autorisierte Personen beschränkt ist. Agenten stellen hier eine Herausforderung dar, da sie oft unter Benutzeranmeldeinformationen operieren und die Grenze zwischen „Benutzerzugriff“ und „Agentenzugriff“ verwischen. Wenn ein Agent Aktionen mit OAuth-Tokens eines Benutzers ausführt, wird der Zugriff in den Protokollen dem Benutzer zugeschrieben - die Entscheidungen wurden jedoch vom Agenten getroffen.
Prüfer, die SOC 2-Kontrollen überprüfen, fragen zunehmend: Wie stellen Sie sicher, dass KI-Agenten nicht verwendet werden, um beabsichtigte Zugriffsbeschränkungen zu umgehen? Wenn ein Benutzer nicht direkt auf eine Datenbank zugreifen kann, aber einen Agenten einsetzen kann, der dies kann - weil der Agent ein Dienstkonto mit erweiterten Berechtigungen nutzt - besteht eine Lücke in der logischen Zugriffskontrolle.
Abhilfe: Stellen Sie sicher, dass Agentenidentitäten in Ihrer Zugriffskontrollarchitektur von Benutzeridentitäten getrennt sind. Dienstkonten von Agenten sollten nur die Berechtigungen erhalten, die für den genehmigten Anwendungsfall des Agenten unbedingt erforderlich sind. Beziehen Sie Agentenidentitäten in Benutzerzugriffsprüfungen ein.
Lücke 2: Integrität der Prüfpfade (CC7.2)
SOC 2 CC7.2 verlangt von der Organisation, Sicherheitsereignisse durch Analyse der Prüfpfade zu erkennen und zu behandeln. Agenten, die unter Benutzeranmeldedaten arbeiten, erzeugen Prüfprotokolle, die dem Benutzer und nicht dem Agenten zugeordnet sind - was es erschwert, nachzuvollziehen, welche Aktionen vom Agenten und welche vom menschlichen Benutzer ausgeführt wurden.
Dieses Zuordnungsproblem ist nicht nur ein Sicherheitsproblem, sondern auch ein SOC 2-Auditproblem. Wenn ein Prüfer fragt: „Wer hat diesen Datensatz am 15. März abgerufen?“, ist die Antwort „der KI-Agent des Benutzers, nicht der Benutzer direkt“ ein bedeutender Befund, wenn die Prüfprotokolle nicht zwischen beiden unterscheiden können.
Abhilfe: Implementieren Sie agentenspezifische Protokollierung, die Agentenidentität, den Benutzerkontext, unter dem der Agent operierte, sowie die spezifischen genutzten Werkzeuge und Daten erfasst. Dieses ergänzende Protokoll sollte mit den Standardprüfprotokollen korrelieren, um das vollständige Bild für die Einhaltung von CC7.2 zu liefern.
Lücke 3: Änderungsmanagement (CC8.1)
SOC 2 CC8.1 verlangt, dass Änderungen an Infrastruktur und Anwendungen durch einen autorisierten Änderungsmanagementprozess laufen. KI-Agenten, die Code, Konfiguration oder Infrastruktur ändern können - häufig bei Entwickler-orientierten Agentenbereitstellungen - stellen ein Risiko für die Umgehung des Änderungsmanagements dar. Führt ein Agent im Auftrag eines Benutzers eine Codeänderung aus, ist das eine Änderung am Informationssystem. Wird diese Änderung durch Ihren Änderungsmanagementprozess geleitet?
ISO 27001 und Agentische KI
Lücke 1: Asset Management (A.8)
ISO 27001 Anhang A.8 verlangt die Identifikation und Verwaltung von Informationswerten. KI-Agenten sind Informationswerte - sie verarbeiten Daten, führen Aktionen auf organisatorischen Systemen aus und stellen eine Angriffsfläche dar. Die meisten Asset-Inventare von Organisationen enthalten keine eingesetzten KI-Agenten. Dies ist eine direkte ISO 27001-Compliance-Lücke.
Abhilfe: Fügen Sie KI-Agenten-Bereitstellungen in Ihr Informationswertregister ein. Dokumentieren Sie für jeden Agenten: Klassifizierung, Eigentümer, verarbeitete Daten, betroffene Systeme und anwendbare Risikobehandlung. Beziehen Sie Agenten-Assets in den Geltungsbereich Ihres ISMS ein.
Lücke 2: Lieferantenbeziehungen (A.15)
ISO 27001 A.15 verlangt, Sicherheitsanforderungen mit Lieferanten und Dienstleistern zu vereinbaren. KI-Modellanbieter (OpenAI, Anthropic, Google) und MCP-Serveranbieter sind Lieferanten im Sinne von A.15. Organisationen, die agentische KI einsetzen, sollten Lieferantenvereinbarungen haben, die folgende Punkte regeln: Datenverarbeitungsbedingungen, Unterauftragsverarbeiter-Beschränkungen, Meldung von Sicherheitsvorfällen und Prüfungsrechte.
Viele Organisationen haben grundlegende Datenverarbeitungsvereinbarungen mit KI-Anbietern, haben den agentischen Anwendungsfall jedoch nicht speziell adressiert - was die Datenverarbeitungsbeziehung wesentlich ändert (die Daten werden nun im Rahmen autonomer Agentenoperationen gesendet, nicht nur bei benutzerinitiierten Abfragen).
Lücke 3: Vorfallmanagement (A.16)
ISO 27001 A.16 verlangt eine strukturierte Fähigkeit zum Vorfallmanagement. Agentische KI-Vorfälle - ein Prompt-Injection-Angriff, ein Agent, der Daten über einen Tool-Aufruf exfiltriert, ein Agent, der unautorisierte zerstörerische Aktionen durchführt - sind eine neue Vorfallkategorie, die die meisten Vorfallreaktionspläne nicht abdecken.
Abhilfe: Aktualisieren Sie Ihr Vorfallklassifikationsschema, um agentische KI-spezifische Vorfalltypen einzubeziehen. Definieren Sie Eindämmungsverfahren (wie stoppen Sie einen laufenden Agenten mitten in der Aufgabe?), Untersuchungsverfahren (wie rekonstruieren Sie, was ein Agent getan hat?) und Kommunikationsverfahren (wann ist ein Agentenvorfall ein meldepflichtiger Verstoß?).
Ein praktischer Compliance-Fahrplan
Die oben genannten Compliance-Lücken können parallel zum Governance-Rahmenwerk aus unserem Beitrag zum Policy-Framework adressiert werden. Die kritischen Punkte:
- DSGVO: Kartieren Sie Agentendatenflüsse zu Übertragungspfaden, dokumentieren Sie die Rechtsgrundlage für jeden Agententyp, aktualisieren Sie den Artikel-22-Bewertungsprozess, um Agentenentscheidungen einzubeziehen.
- SOC 2: Implementieren Sie agentenspezifische Identitäten für Audit-Zuordnung, beziehen Sie Agenten in Zugriffsprüfungen ein, erweitern Sie das Änderungsmanagement auf agenteninitiierte Änderungen.
- ISO 27001: Fügen Sie Agenten dem Asset-Register hinzu, aktualisieren Sie Lieferantenvereinbarungen für agentische Anwendungsfälle, fügen Sie KI-Agenten-Vorfalltypen zu Vorfallplänen hinzu.
Compliance-Rahmenwerke werden sich in den nächsten 12-24 Monaten weiterentwickeln, um agentische KI expliziter zu adressieren - aktualisierte DSGVO-Leitlinien, überarbeitete SOC 2-Kriterien und ISO 27001:2026-Änderungen sind in Arbeit. Organisationen, die die Lücken jetzt schließen, sind gut positioniert, wenn diese Updates kommen, anstatt Kontrollen nachträglich in etablierte Abläufe einfügen zu müssen.
