Meet Neo, your AI-powered Co-GP.
Jede Software, die ein GP heute nutzt, wird mit KI ausgeliefert. Das Fundraising-CRM hat einen Schreibassistenten. Das Buchhaltungstool kategorisiert Transaktionen eigenständig. Das Investorenportal bietet an, LP-Updates zu entwerfen. Das meiste davon ist wirklich nützlich. Nur das Tempo der Einführung hat die offenen Fragen überholt — und diese Lücke schließt sich mit einem kurzen Gespräch mit jedem Anbieter.
Es sind genau diese Daten, die es lohnenswert machen, hier sorgfältig vorzugehen. Ein GP, der einen Fonds betreibt, hält einige der sensibelsten personenbezogenen Daten, die ein kleines Unternehmen je verarbeitet: Sozialversicherungsnummern und Steuer-IDs von Investoren, Bankkonto- und Bankleitzahlen, Finanzdaten akkreditierter Investoren, Kopien von Führerscheinen und Reisepässen aus KYC-Prüfungen sowie die vollständige Ausschüttungshistorie jeder Person, die dem GP ihr Kapital anvertraut hat. Wenn eine KI-Funktion auch nur einen Teil davon verarbeitet, können die Daten durch mehr Parteien fließen, als der Login-Bildschirm vermuten lässt — und der GP ist derjenige, der für diese Kette zur Rechenschaft gezogen wird.
Das Investment Management steht dem Bankwesen nahe genug, dass die Einsätze hier höher sind als in den meisten Branchen — und genau deshalb werden GPs, die KI jetzt gut einführen, zu den vertrauenswürdigen Akteuren in ihrer Vergleichsgruppe. Dieser Leitfaden zeigt, wie das gelingt: was zu tun ist, was zu vermeiden ist und welche konkreten Fragen Sie jedem Anbieter stellen sollten, dessen Produkt KI integriert hat.
Warum PII im Fondsbetrieb ein Sonderfall ist
Personenbezogene Daten (PII) sind alle Daten, die eine bestimmte Person identifizieren können, entweder für sich allein oder in Kombination mit anderen Daten. Im Fondskontext sind die offensichtlichen Posten Steuer-IDs, Bankdaten und behördlich ausgestellte Dokumente. Auch die weniger offensichtlichen Posten sind relevant: der Name eines Investors verknüpft mit seiner Kapitalzusage, eine E-Mail-Adresse verbunden mit einem Ausschüttungsplan oder eine Telefonnummer, die mit einer Kapitalabruf-Benachrichtigung verknüpft ist. All dies kann eine Person identifizieren und etwas Privates über ihre Finanzen offenbaren.
Drei Dinge machen diese Kategorie speziell für GPs sensibel.
Erstens sind die Daten konzentriert und von hohem Wert. Die Investorenliste eines einzelnen Fonds ist eine kompakte Datei mit genau den Informationen, die Identitätsdiebe und Betrüger am meisten begehren. In einem Zeichnungsdokument gibt es keine PII von geringem Wert.
Zweitens ist die Beziehung treuhänderischer Natur. LPs haben dem Investment bei einem GP zugestimmt, dem sie vertrauen — nicht dazu, dass ihre Steuer-ID von Diensten verarbeitet wird, von denen ihnen nichts gesagt wurde. Das Vertrauen ist auf beiden Seiten des Tisches das Kapital, und es zu schützen ist Teil der treuhänderischen Pflicht.
Drittens ist die regulatorische Angriffsfläche real, auch wenn sie sich fern anfühlt. Je nach Struktur des Fonds, den Investoren und den Rechtsräumen kann ein GP Verpflichtungen nach Datenschutzgesetzen wie dem GLBA in den Vereinigten Staaten, nach Landesgesetzen wie dem CCPA und nach der GDPR für europäische Investoren berühren. Fondsadministratoren führen häufig SOC 2-Prüfungen durch, gerade weil ihre Kunden Sicherheit bezüglich des Datenumgangs benötigen. KI-Funktionen sind von all dem nicht ausgenommen. Wenn ein Tool Investoren-PII an ein Modell sendet, unterliegt diese Übertragung denselben Regeln wie jede andere Datenverarbeitung.
Wie KI-Tools Ihre Daten tatsächlich verarbeiten, und warum das wichtig ist
Um ein Tool zu prüfen, hilft es zu wissen, was im Allgemeinen passiert, wenn eine KI-Funktion Daten verarbeitet. Es gibt einige Muster, und sie bergen sehr unterschiedliche Risiken.
Manche Tools senden Ihre Daten zur Verarbeitung an die API eines Drittanbieter-Modellanbieters und speichern sie weder noch trainieren sie damit. Das ist verbreitet und kann sicher durchgeführt werden, bedeutet aber, dass Ihre Investorendaten die Umgebung des Anbieters verlassen und zu einem anderen Unternehmen gelangen. Sie sollten wissen, wer dieses Unternehmen ist und was dessen Bedingungen besagen.
Manche Tools betreiben Modelle in ihrer eigenen Infrastruktur, sodass die Daten die Umgebung nie verlassen. Dies reduziert die Anzahl der beteiligten Parteien, legt aber mehr Gewicht auf die Sicherheitslage dieses einen Anbieters.
Seltener nutzen manche Tools Kundendaten, um ihre Modelle zu trainieren oder zu verbessern. Auf dieses Muster sollten Sie am sorgfältigsten achten, denn es kann bedeuten, dass Fragmente Ihrer Investorendaten Teil eines Modells werden, mit dem andere Kunden interagieren. Seriöse Enterprise-Anbieter schließen dies in der Regel vertraglich aus, doch Consumer-Tools und kostenlose Tools machen oft das Gegenteil, mit Bedingungen, die weitreichende Rechte zur Nutzung der eingereichten Inhalte gewähren.
Der Grund, warum diese Unterscheidung wichtig ist: Eine KI-Funktion ist selten in sich geschlossen. Sie ist meist eine Kette. Die Software des Anbieters ruft einen Modellanbieter auf, der möglicherweise auf einem Cloud-Host läuft, der seine eigenen Unterauftragsverarbeiter haben kann. Jedes Glied ist ein Punkt, an dem der Datenumgang von Bedeutung ist. Ein Tool zu prüfen bedeutet, die gesamte Kette zu verstehen, nicht nur das Logo auf dem Login-Bildschirm.
Was zu tun ist
Die gute Nachricht ist, dass die Prüfung unkompliziert ist, sobald Sie wissen, was Sie fragen müssen. Keiner dieser Schritte erfordert einen Sicherheitshintergrund — sie erfordern dieselbe operative Disziplin, die GPs bereits bei der Kreditgeber-Due-Diligence und der Auswahl der Fondsadministration anwenden.
Erfassen Sie, wo PII bereits fließt. Bevor Sie eine neue KI-Funktion bewerten, sollten Sie wissen, welche Ihrer aktuellen Tools bereits Investoren-PII berühren und wie. Die meisten GPs sind von der Antwort überrascht. Das CRM, das E-Signatur-Tool, das Buchhaltungssystem, das Bankportal und die Software des Steuerberaters halten alle Teile davon. Sie können nicht steuern, was Sie nicht erfasst haben.
Lesen Sie die Datenverarbeitungsbedingungen, insbesondere die KI-Klausel. Anbieter veröffentlichen zunehmend einen Auftragsverarbeitungsvertrag (DPA) und, separat, Bedingungen zu KI-Funktionen. Finden Sie den Satz, der besagt, ob Ihre Daten zum Training von Modellen verwendet werden. Wenn Sie diesen Satz nicht finden können, ist dieses Fehlen selbst eine Antwort, und Sie sollten den Anbieter direkt schriftlich fragen.
Fordern Sie die Liste der Unterauftragsverarbeiter an. Jeder seriöse B2B-Anbieter führt eine Liste der Dritten, mit denen er Daten teilt, einschließlich Modellanbietern und Cloud-Hosts. Fordern Sie sie an. Die Liste zeigt Ihnen, wer tatsächlich in der Kette ist, und ermöglicht es Ihnen zu prüfen, ob diese Parteien selbst seriös sind.
Verlangen Sie Datenminimierung. Die sicherste PII ist die PII, die die KI nie sieht. Bevorzugen Sie Tools, mit denen Sie steuern können, auf welche Daten eine Funktion zugreifen darf, die sensible Felder vor der Verarbeitung anonymisieren oder tokenisieren und die KI-Funktionen auf die Aufgabe beschränkt halten, statt ihnen pauschalen Zugriff auf Ihre gesamte Investorendatenbank zu gewähren.
Überprüfen Sie die Sicherheitsbasis. Für alles, was dem Bankwesen nahesteht, ist ein SOC 2 Type II-Bericht nahezu Grundvoraussetzung. Fordern Sie ihn an. Verschlüsselung während der Übertragung und im Ruhezustand sollte Standard sein. Bestätigen Sie für europäische Investoren, dass der Anbieter GDPR-Verpflichtungen unterstützen kann, einschließlich der Datenresidenz, falls relevant.
Behalten Sie bei allem, was Geld bewegt oder an Investoren geht, einen Menschen in der Schleife. Ein KI-Entwurf eines LP-Updates ist als Ausgangspunkt in Ordnung. Eine KI-initiierte Überweisung ist eine andere Risikokategorie. Je näher eine Funktion an Geldbewegungen oder externer Kommunikation ist, desto eher sollte eine Person prüfen, bevor etwas endgültig wird.
Halten Sie es gegenüber Ihren Investoren und in Ihren eigenen Richtlinien schriftlich fest. Aktualisieren Sie Ihre Datenschutzrichtlinie und Ihre LP-Kommunikation, um widerzuspiegeln, wie Sie KI tatsächlich nutzen und welche Schutzmaßnahmen bestehen. Investoren fragen zunehmend danach. Klar antworten zu können, ist ein Wettbewerbsvorteil beim Fundraising.
Was nicht zu tun ist
Fügen Sie keine Investoren-PII in universelle Consumer-KI-Tools ein. Der kostenlose Chatbot ist der häufigste Ort, an dem Investorendaten außerhalb vertraglich geregelter Systeme landen. Ein Zeichnungsdokument oder eine Ausschüttungstabelle in einen Consumer-Assistenten zu werfen, um es „aufzuräumen“, kann bedeuten, dass diese Daten unter Bedingungen gespeichert oder für das Training verwendet werden, die niemand gelesen hat. Halten Sie Investoren-PII innerhalb geprüfter, vertraglich geregelter Geschäftssysteme.
Nehmen Sie nicht an, dass ein Enterprise-Logo Enterprise-Datenbedingungen bedeutet. Ein bekannter Anbieter kann dennoch eine kostenlose oder niedrige Stufe mit großzügigen Datenbedingungen haben. Die Schutzmaßnahmen finden sich oft im kostenpflichtigen Tarif oder im ausgehandelten Vertrag. Bestätigen Sie, welche Bedingungen für den Tarif gelten, in dem Sie sich tatsächlich befinden.
Behandeln Sie „Wir nutzen KI“ nicht als Funktion zum Feiern, ohne zu fragen, wie. Ein Anbieter, der KI stark vermarktet, aber nicht erklären kann, wohin die Daten gehen, sagt Ihnen etwas. Die guten Anbieter finden diese Fragen leicht zu beantworten, weil sie die Arbeit bereits geleistet haben.
Lassen Sie keine Schatten-KI entstehen. Wenn einzelne Teammitglieder jeweils ihre eigenen KI-Tools ohne Prüfung einführen, landet der Fonds mit Investorendaten, die über Dienste verstreut sind, die niemand nachverfolgt. Entscheiden Sie als Organisation, welche Tools für welche Daten freigegeben sind.
Überrotieren Sie nicht ins Nichtstun. Das gegenteilige Versagen ist ebenfalls real. Jegliche KI abzulehnen, um die Datenfrage zu vermeiden, lässt einen GP langsamer und manueller dastehen als Mitbewerber, die sorgfältig eingeführt haben. Das Ziel ist eine gesteuerte Einführung, bei der die nützlichen Funktionen genutzt und die Daten zugleich geschützt werden.
Eine praktische Prüf-Checkliste für KI-integrierte Software
Wenn Sie ein Tool mit KI-Funktionen bewerten, arbeiten Sie diese Fragen mit dem Anbieter durch. Lassen Sie sich die Antworten schriftlich geben, wo es möglich ist.
- Auf welche Daten greift die KI-Funktion zu, und können wir ihren Umfang begrenzen?
- Werden unsere Daten an einen Drittanbieter-Modellanbieter gesendet, und falls ja, an wen?
- Werden unsere Daten jemals zum Training oder zur Verbesserung eines Modells verwendet? (Sie wollen ein klares Nein, im Vertrag.)
- Werden Daten nach der Verarbeitung gespeichert? Für wie lange, und können wir eine Löschung verlangen?
- Wer sind Ihre Unterauftragsverarbeiter, und können wir die aktuelle Liste einsehen?
- Verfügen Sie über einen SOC 2 Type II-Bericht, und können wir ihn einsehen?
- Werden Daten während der Übertragung und im Ruhezustand verschlüsselt?
- Können Sie GDPR- und Datenresidenz-Anforderungen für unsere europäischen Investoren unterstützen?
- Was geschieht mit unseren Daten, wenn wir kündigen? Wie werden sie zurückgegeben oder vernichtet?
- Gibt es einen Schritt zur menschlichen Prüfung für jede KI-Aktion, die Geld bewegt oder Investoren kontaktiert?
Ein Anbieter, der diese Fragen bereitwillig beantwortet, ist einer, dem Sie wahrscheinlich Investorendaten anvertrauen können. Ein Anbieter, der ausweicht, verzögert oder die Fragen als ungewöhnlich behandelt, zeigt Ihnen die Antwort in anderer Form.
Wie sich das im Investment Management und in der Fondsadministration auswirkt
Der Grund, warum diese Fragen im Fondsbetrieb stärker ins Gewicht fallen als etwa bei einem Marketing-Tool, ist, dass die Daten und das Geld in denselben Systemen liegen. Eine KI-Funktion, die irgendwo im Stack hinzugefügt wird, erbt die Datenexposition dieser gesamten Anordnung.
Die meisten Sponsor-Tech-Stacks bestehen aus vier bis sechs unverbundenen Anbietern — Fundraising an einem Ort, Banking an einem anderen, Ausschüttungen in einer Tabelle, Investorendaten in einem CRM. Jede Verbindung zwischen diesen Systemen ist eine Übergabe, bei der PII bewegt wird, und jede Übergabe ist etwas, das gesteuert werden muss. Die GPs, mit denen wir auf Covercy One arbeiten, betreiben Fundraising, Investorendaten, Banking und Ausschüttungen auf einer einzigen Plattform, auf der Banking und Zahlungen nativ sind statt nachträglich angebaut. Weniger Systeme, die Investoren-PII halten, bedeuten weniger Anbieter zu prüfen, weniger Listen von Unterauftragsverarbeitern zu verfolgen und weniger Ketten von Parteien zu verantworten. Es macht die Notwendigkeit nicht überflüssig, die Fragen aus diesem Beitrag zu stellen — es reduziert die Anzahl der Anbieter, denen Sie sie stellen müssen.
Dasselbe Prinzip prägt, wie wir KI in die Plattform eingebaut haben. Neo, der KI-Co-GP innerhalb von Covercy One, läuft in derselben gesteuerten Umgebung, die die Daten bereits hält — unter denselben SOC 2-Kontrollen, derselben Verschlüsselung, denselben Berechtigungen. Neo kann nur sehen, was der aufrufende Nutzer sehen kann. Die Kette der Parteien wird nicht länger, wenn Sie KI einschalten. Das ist die Messlatte, die jede KI-Funktion im Fondsbetrieb unserer Ansicht nach erfüllen sollte.
KI im Fondsbetrieb lohnt sich, und die Firmen, die sie sorgfältig einführen, werden sich schneller bewegen als jene, die sie entweder ignorieren oder leichtfertig einsetzen. Der entscheidende Faktor ist, ob der GP Investorendaten als die treuhänderische Verantwortung behandelt, die sie sind, und dem Anbieter die Fragen stellt, die diese Verantwortung verlangt. Die Tools, die Ihre Investorendaten verdienen, werden gute Antworten parat haben.
