Was ist AI Usage Control?
In jeder Organisation nutzen Menschen heute KI-Werkzeuge, die niemand beschafft hat. AI Usage Control — auf Deutsch KI-Nutzungskontrolle — ist die Disziplin, diese Nutzung zu steuern: zu wissen, welche Werkzeuge im Einsatz sind, zu entscheiden, welche Daten sie erreichen dürfen, diese Entscheidung im Moment der Anfrage durchzusetzen und hinterher belegen zu können, was geschehen ist.
Auch: AIUC · KI-Nutzungskontrolle · KI-Nutzungs-Governance · Shadow-AI-Kontrolle
AI Usage Control (AIUC) ist die Gesamtheit der Kontrollen dafür, wie die Mitarbeitenden einer Organisation KI-Systeme nutzen, die der Organisation nicht gehören: erkennen, welche Werkzeuge im Einsatz sind, bewerten, was jedes davon mit den Daten tut, per Richtlinie entscheiden, was sie erreichen darf, diese Entscheidung inline zur Laufzeit durchsetzen und das Ergebnis prüffest protokollieren.
Herkunft des Begriffs
AI Usage Control ist der Name, auf den sich Analysten- und Anbietermarkt für dieses Problem geeinigt haben. Gemeint ist eine Lösung zur Steuerung der Nutzung von Drittanbieter-KI durch Mitarbeitende, mindestens mit Discovery und Inventar, Risikoanalyse, richtlinienbasierten Kontrollen, Laufzeitschutz und Incident Response. Die meisten Produkte mit diesem Etikett werden als Cloud-Dienst ausgeliefert und über Logs, APIs und lokale Agents in die bestehende Sicherheitsinfrastruktur eingebunden. Die Definition auf dieser Seite ist unsere eigene — geschrieben, um einem Käufer zu nützen, nicht um zu einem bestimmten Anbieter zu passen.
Diese Seite ist eine unabhängige Referenz zur Kategorie, verfasst und gepflegt von der AI-Z Group, dem Unternehmen hinter BRANE. Sie steht in keiner Verbindung zu einem Analystenhaus, stammt nicht von einem Analystenhaus, ist von keinem freigegeben und gibt keine Analysten-Research wieder.
Sieben Fähigkeiten in jeder Bewertung
Wie ein Anbieter sich selbst nennt, ist zweitrangig — eine Bewertung von KI-Nutzungskontrolle läuft auf sieben Fragen hinaus. Die ersten drei betreffen das Wissen, die mittleren beiden das Handeln, die letzten beiden den Nachweis.
01
Discovery & Inventar
Welche KI-Werkzeuge sind tatsächlich im Einsatz?
Erfassen, welche KI-Anwendungen, Modelle und Agenten an die Daten der Organisation gelangen — einschließlich derer, die niemand freigegeben hat, und derer, die über Privataccounts laufen.
02
Risikobewertung
Was tut jedes Werkzeug mit den Daten?
Jedes Ziel bewerten nach Datenverarbeitung, Aufbewahrung, Trainingsnutzung, Jurisdiktion und bekannten Schwachstellen — und die riskanten Muster erkennen: Privataccounts, Jailbreak-Versuche, ungeprüfte Plug-ins.
03
Richtlinienverwaltung
Wer darf was — mit welchen Daten?
Die Nutzungsentscheidung als durchsetzbare Richtlinie je Nutzer, Abteilung und Anwendung ausdrücken — und sie in die vorhandenen Kontrollen einbinden statt daneben zu stellen.
04
Datenschutz im Prompt
Lässt sich der sensible Teil stoppen, ohne die Arbeit zu stoppen?
Vertrauliche Inhalte in Freitext-Prompts und Anhängen erkennen und in Echtzeit schwärzen, tokenisieren, blockieren oder verändern. Ein Alles-oder-nichts-Block ist die grobe Variante; den Prompt nutzbar zu halten und trotzdem das Geheimnis zu entfernen, ist der schwierige Teil.
05
Laufzeitschutz
Was passiert während der laufenden Interaktion?
Nicht nur prüfen, was hinausgeht, sondern auch, was zurückkommt: Prompt-Injection, schädliche Artefakte, unsicherer Code und die Aktionen, die ein autonomer Agent über seine Werkzeuge ausführt.
06
Administration & Alarmierung
Wer erfährt davon — und wie schnell?
Eine Konsole für Untersuchung und Reporting und — der am häufigsten fehlende Teil — ein Alarmweg, der das Security-Team dort erreicht, wo es ohnehin arbeitet: SIEM, Webhook, Ticket.
07
Interaktionsprotokoll
Können Sie belegen, was hinausging und was zurückkam?
Ein dauerhaftes, manipulationssicheres Protokoll der KI-Interaktionen. Offen ist die Frage, wie viel Inhalt es enthält: Aufsicht und Revision wollen Belege, Betriebsrat und der Grundsatz der Datenminimierung ziehen in die andere Richtung.
Fünf Orte, an denen die Kontrolle sitzen kann
Nutzungskontrolle definiert sich darüber, wo sie eingreift. Jeder Punkt sieht etwas, das die anderen nicht sehen — und übersieht etwas anderes. Deshalb kombinieren reale Installationen meist zwei davon.
- Browser-ErweiterungAm Tab
- Sieht das Einfügen in einen Web-Chat, auch bei Diensten, die nie eine Unternehmens-API berühren. Blind für Desktop-Anwendungen und alles außerhalb des verwalteten Browsers.
- Forward Proxy / Secure Web GatewayAm Netzwerkausgang
- Sieht den gesamten ausgehenden Verkehr und kann eine Domain vollständig sperren. Sieht Bytes, keine Bedeutung — die harmlose Frage ist für ihn dasselbe wie der Vertrag.
- MCP-GatewayAn der Werkzeuggrenze des Agenten
- Der Engpass für autonome Agenten: welche Werkzeuge aufgerufen werden dürfen, mit welchen Argumenten, und was das Ergebnis enthalten darf.
- Endpoint-AgentAuf dem Gerät
- Wirkt auch außerhalb des Netzes und deckt native Anwendungen ab. Kostet eine Installation auf jedem verwalteten Rechner.
- API- & Log-AnbindungIm Nachhinein
- Holt die Nutzung von freigegebenen Anbietern ab. Vollständig und günstig für die Werkzeuge, die man kennt — und strukturell nachgelagert, also berichtend statt verhindernd.
Die Souveränitätslücke im Anbieterfeld
Wer in dieser Kategorie tatsächlich baut, lässt sich schwer übersehen: Die etablierten Anbieter haben ihren Sitz fast ausnahmslos in den USA und in Israel. Für eine deutsche oder europäische Organisation ist die Folge konkret. Die Schicht, die entscheidet, was mit den Daten ihrer Mitarbeitenden geschehen darf, wird standardmäßig aus einer anderen Jurisdiktion betrieben — eine Kontrollinstanz außerhalb genau des Perimeters, den sie schützen soll. Ein eigenartiger Ort für die eine Kontrolle, deren ganze Aufgabe es ist, Daten drinzuhalten.
Öffentlich mit Sitz in den USA oder Israel: Cloudflare, Palo Alto Networks, Akamai, CrowdStrike, Zscaler, Netskope, Proofpoint, SentinelOne, Check Point, Cato Networks, WitnessAI, Lasso Security, Noma Security, Zenity. Ein Anbieter mit Sitz in Deutschland ist uns in dieser Kategorie nicht bekannt, und innerhalb der EU nur sehr wenige.
Unternehmenssitze nach eigenen öffentlichen Angaben, geprüft September 2026. Eine Beobachtung zum etablierten Feld, keine Erhebung des gesamten Markts.
Kontrolle ist die halbe Antwort
AI Usage Control steuert in der Definition der Kategorie den Verkehr zu Drittanbieter-KI. Sie setzt voraus, dass das Modell woanders steht und die Aufgabe der Organisation darin besteht, zu entscheiden, was es erreicht. Für die meisten Werkzeuge und die meisten Prompts trägt diese Annahme.
Sie trägt nicht mehr an dem Punkt, an dem Daten unter keiner Schwärzung mehr das Haus verlassen dürfen — Patientenakten, nicht eingereichte Patente, eine laufende M&A-Akte. Dort funktioniert nur eine Kontrolle vollständig: den Prompt gar nicht erst hinauszusenden, also das Modell auf eigener Hardware zu betreiben, damit die Interaktion nie zum Datenabfluss wird.
Das ist der Unterschied zwischen der Steuerung der KI-Nutzung und der Steuerung der KI-Interaktion selbst. Eine vollständige Antwort tut beides: ersetzen, wo die Daten nicht hinausdürfen, kontrollieren und schwärzen, wo sie es dürfen — und in beiden Fällen protokollieren.
Häufig gestellte Fragen
- Ist AI Usage Control dasselbe wie eine KI-Firewall?
- Nein. Mit „KI-Firewall“ oder „LLM-Firewall“ ist meist eingehender Schutz gemeint: Prompt-Injection, Jailbreaks und Missbrauch gegen eine KI-Anwendung abwehren, die Sie selbst betreiben. AI Usage Control blickt in die andere Richtung — sie steuert, was Ihre eigenen Mitarbeitenden an KI-Systeme senden, die Sie nicht betreiben. Beides ergänzt sich, keines ersetzt das andere.
- Worin unterscheidet sich AI Usage Control von DLP?
- Klassisches Data Loss Prevention prüft Dateien, Anhänge und E-Mails mit Mustern, Regex und Fingerprints. Ein Prompt ist Freitext, in dem die sensible Entität und die legitime Anfrage verschränkt sind, gesendet an ein System, das antwortet. DLP kann den Kanal sperren, aber es kann den Prompt nicht lesen, nicht einen Teil davon schwärzen und den Rest nutzbar lassen und nicht darüber entscheiden, welches Modell ihn erhalten soll. KI-Nutzungskontrolle ist die KI-förmige Kontrolle für einen Abflussweg, für den DLP nie gebaut wurde.
- Muss AI Usage Control aus der Cloud kommen?
- Die Kategorie wird überwiegend als Cloud-Dienst ausgeliefert, weil die meisten Anbieter sie auf vorhandener SaaS-Sicherheitsinfrastruktur aufgebaut haben. Eine Anforderung des Problems ist das nicht. Jede Fähigkeit — Discovery, Richtlinien, Schwärzung, Laufzeitprüfung, Interaktionsprotokoll — lässt sich auf Hardware umsetzen, die der Organisation gehört. Für regulierte Daten ist das oft die einzige Variante, die durch die Prüfung kommt.
- Was deckt AI Usage Control ab, das ein AI Gateway nicht abdeckt?
- Ein AI Gateway routet und misst API-Verkehr zu Modellen: eine Frage von Durchsatz, Verfügbarkeit und Kosten. KI-Nutzungskontrolle ist eine Governance-Entscheidung über den Inhalt jeder Anfrage — was sie enthält, ob sie hinaus darf, in welcher Form, und welches Protokoll bleibt. Ein Gateway kann der Durchsetzungspunkt für Nutzungskontrolle sein; Routing allein ist noch keine Kontrolle.
- Gibt es eine europäische Umsetzung?
- BRANE, entwickelt von der AI-Z Group in Deutschland, setzt diese Fähigkeiten als AI Interaction Firewall um und läuft vollständig auf der eigenen Hardware des Kunden — Prompts werden inline klassifiziert und geschwärzt, per Richtlinie zwischen lokalem Modell und freigegebenen Cloud-Modellen geroutet, und jede Interaktion wird manipulationssicher protokolliert.
Eine Nutzungskontrolle, die innerhalb Ihres Perimeters läuft
BRANE ist die Referenzimplementierung der AI Interaction Firewall: jeden Prompt klassifizieren, schützen, routen und auditieren — auf lokaler, Cloud- oder hybrider Infrastruktur, auf Ihrer eigenen Hardware.