Lernen Sie Neo kennen, Ihren KI-gestützten Co-GP.
Jede Software, die ein GP heute nutzt, wird mit KI ausgeliefert. Das Fundraising-CRM hat einen Schreibassistenten. Das Buchhaltungstool kategorisiert Transaktionen eigenständig. Das Investorenportal bietet an, LP-Updates zu entwerfen. Das meiste davon ist wirklich nützlich. Nur hat das Tempo der Einführung die offenen Fragen überholt — und diese Lücke schließt sich mit einem kurzen Gespräch mit jedem einzelnen Anbieter.
Es sind genau diese Daten, die sorgfältiges Vorgehen lohnenswert machen. Ein GP, der einen Fonds betreibt, hält einige der sensibelsten personenbezogenen Daten, die ein kleines Unternehmen je verarbeitet: Sozialversicherungsnummern und Steuer-IDs von Investoren, Bankkonto- und Bankleitzahlen, Finanzdaten akkreditierter Investoren, Kopien von Führerscheinen und Reisepässen aus KYC-Prüfungen sowie die vollständige Ausschüttungshistorie jeder Person, die dem GP ihr Kapital anvertraut hat. Verarbeitet eine KI-Funktion auch nur einen Teil davon, können die Daten durch mehr Parteien fließen, als der Login-Bildschirm vermuten lässt — und der GP ist derjenige, der für diese Kette zur Rechenschaft gezogen wird.
Das Investment Management steht dem Bankwesen nahe genug, dass hier mehr auf dem Spiel steht als in den meisten Branchen — und genau deshalb werden GPs, die KI jetzt richtig einführen, zu den vertrauenswürdigen Akteuren in ihrer Vergleichsgruppe. Dieser Leitfaden zeigt, wie das gelingt: was zu tun ist, was zu vermeiden ist und welche konkreten Fragen Sie jedem Anbieter stellen sollten, dessen Produkt KI integriert hat.
Warum PII im Fondsbetrieb ein Sonderfall ist
Personenbezogene Daten (PII) sind alle Daten, die eine bestimmte Person identifizieren können — entweder für sich allein oder in Kombination mit anderen Daten. Im Fondskontext sind die offensichtlichen Posten Steuer-IDs, Bankdaten und behördlich ausgestellte Dokumente. Auch die weniger offensichtlichen Posten sind relevant: der Name eines Investors, verknüpft mit seiner Kapitalzusage, eine E-Mail-Adresse, verbunden mit einem Ausschüttungsplan, oder eine Telefonnummer, die mit einer Kapitalabruf-Benachrichtigung verknüpft ist. All dies kann eine Person identifizieren und etwas Privates über ihre Finanzen offenbaren.
Drei Dinge machen diese Kategorie speziell für GPs sensibel.
Erstens sind die Daten konzentriert und von hohem Wert. Die Investorenliste eines einzelnen Fonds ist eine kompakte Datei mit genau den Informationen, die Identitätsdiebe und Betrüger am meisten begehren. In einem Zeichnungsdokument gibt es keine PII von geringem Wert.
Zweitens ist die Beziehung treuhänderischer Natur. LPs haben einem Investment bei einem GP zugestimmt, dem sie vertrauen — nicht dazu, dass ihre Steuer-ID von Diensten verarbeitet wird, von denen ihnen nichts gesagt wurde. Das Vertrauen ist auf beiden Seiten des Tisches das eigentliche Kapital, und es zu schützen ist Teil der treuhänderischen Pflicht.
Drittens ist die regulatorische Angriffsfläche real, auch wenn sie sich fern anfühlt. Je nach Struktur des Fonds, den Investoren und den Rechtsräumen kann ein GP Verpflichtungen nach Datenschutzgesetzen wie dem GLBA in den Vereinigten Staaten, nach bundesstaatlichen Gesetzen wie dem CCPA und nach der GDPR für europäische Investoren berühren. Fondsadministratoren lassen häufig SOC 2-Prüfungen durchführen, gerade weil ihre Kunden Sicherheit bezüglich des Datenumgangs benötigen. KI-Funktionen sind von all dem nicht ausgenommen. Wenn ein Tool Investoren-PII an ein Modell sendet, unterliegt diese Übertragung denselben Regeln wie jede andere Datenverarbeitung.
Wie KI-Tools Ihre Daten tatsächlich verarbeiten — und warum das wichtig ist
Um ein Tool zu prüfen, hilft es zu wissen, was im Allgemeinen passiert, wenn eine KI-Funktion Daten verarbeitet. Es gibt einige Muster, und sie bergen sehr unterschiedliche Risiken.
Manche Tools senden Ihre Daten zur Verarbeitung an die API eines externen Modellanbieters und speichern sie weder noch trainieren sie damit. Das ist verbreitet und lässt sich sicher umsetzen, bedeutet aber, dass Ihre Investorendaten die Umgebung des Anbieters verlassen und zu einem anderen Unternehmen gelangen. Sie sollten wissen, wer dieses Unternehmen ist und was dessen Bedingungen besagen.
Manche Tools betreiben Modelle in ihrer eigenen Infrastruktur, sodass die Daten die Umgebung nie verlassen. Das reduziert die Anzahl der beteiligten Parteien, legt aber mehr Gewicht auf die Sicherheitslage dieses einen Anbieters.
Seltener nutzen manche Tools Kundendaten, um ihre Modelle zu trainieren oder zu verbessern. Auf dieses Muster sollten Sie am sorgfältigsten achten, denn es kann bedeuten, dass Fragmente Ihrer Investorendaten Teil eines Modells werden, mit dem andere Kunden interagieren. Seriöse Enterprise-Anbieter schließen dies in der Regel vertraglich aus, doch Consumer-Tools und kostenlose Tools machen oft das Gegenteil — mit Bedingungen, die weitreichende Rechte zur Nutzung der eingereichten Inhalte gewähren.
Warum diese Unterscheidung wichtig ist: Eine KI-Funktion ist selten in sich geschlossen. Sie ist meist eine Kette. Die Software des Anbieters ruft einen Modellanbieter auf, der möglicherweise auf einem Cloud-Host läuft, der wiederum eigene Unterauftragsverarbeiter haben kann. Jedes Glied ist ein Punkt, an dem der Datenumgang von Bedeutung ist. Ein Tool zu prüfen heißt, die gesamte Kette zu verstehen — nicht nur das Logo auf dem Login-Bildschirm.
Was zu tun ist
Die gute Nachricht: Die Prüfung ist unkompliziert, sobald Sie wissen, was Sie fragen müssen. Keiner dieser Schritte erfordert einen Sicherheitshintergrund — sie erfordern dieselbe operative Disziplin, die GPs bereits bei der Due Diligence von Kreditgebern und der Auswahl der Fondsadministration anwenden.
Erfassen Sie, wo PII bereits fließt. Bevor Sie eine neue KI-Funktion bewerten, sollten Sie wissen, welche Ihrer aktuellen Tools bereits Investoren-PII berühren und wie. Die meisten GPs überrascht die Antwort. Das CRM, das E-Signatur-Tool, das Buchhaltungssystem, das Bankportal und die Software des Steuerberaters halten alle Teile davon. Sie können nicht steuern, was Sie nicht erfasst haben.
Lesen Sie die Datenverarbeitungsbedingungen, insbesondere die KI-Klausel. Anbieter veröffentlichen zunehmend einen Auftragsverarbeitungsvertrag (DPA) und, separat, Bedingungen zu KI-Funktionen. Finden Sie den Satz, der besagt, ob Ihre Daten zum Training von Modellen verwendet werden. Wenn Sie diesen Satz nicht finden, ist dieses Fehlen selbst eine Antwort — und Sie sollten den Anbieter direkt und schriftlich fragen.
Fordern Sie die Liste der Unterauftragsverarbeiter an. Jeder seriöse B2B-Anbieter führt eine Liste der Dritten, mit denen er Daten teilt, einschließlich Modellanbietern und Cloud-Hosts. Fordern Sie sie an. Die Liste zeigt Ihnen, wer tatsächlich Teil der Kette ist, und erlaubt Ihnen zu prüfen, ob diese Parteien selbst seriös sind.
Verlangen Sie Datenminimierung. Die sicherste PII ist die PII, die die KI nie sieht. Bevorzugen Sie Tools, mit denen Sie steuern können, auf welche Daten eine Funktion zugreifen darf, die sensible Felder vor der Verarbeitung schwärzen oder tokenisieren und die KI-Funktionen auf die jeweilige Aufgabe beschränkt halten, statt ihnen pauschalen Zugriff auf Ihre gesamte Investorendatenbank zu gewähren.
Überprüfen Sie die Sicherheitsbasis. Für alles, was dem Bankwesen nahesteht, ist ein SOC 2 Type II-Bericht nahezu Grundvoraussetzung. Fordern Sie ihn an. Verschlüsselung bei der Übertragung und im Ruhezustand sollte Standard sein. Bestätigen Sie für europäische Investoren, dass der Anbieter GDPR-Verpflichtungen erfüllen kann, einschließlich Datenresidenz, falls relevant.
Behalten Sie bei allem, was Geld bewegt oder an Investoren geht, einen Menschen in der Schleife. Ein KI-Entwurf eines LP-Updates ist als Ausgangspunkt in Ordnung. Eine KI-initiierte Überweisung ist eine andere Risikokategorie. Je näher eine Funktion an Geldbewegungen oder externer Kommunikation ist, desto eher sollte ein Mensch prüfen, bevor etwas endgültig wird.
Halten Sie es gegenüber Ihren Investoren und in Ihren eigenen Richtlinien schriftlich fest. Aktualisieren Sie Ihre Datenschutzrichtlinie und Ihre LP-Kommunikation, um abzubilden, wie Sie KI tatsächlich nutzen und welche Schutzmaßnahmen bestehen. Investoren fragen zunehmend danach. Klar antworten zu können, ist ein Wettbewerbsvorteil beim Fundraising.
Was nicht zu tun ist
Fügen Sie keine Investoren-PII in universelle Consumer-KI-Tools ein. Der kostenlose Chatbot ist der häufigste Ort, an dem Investorendaten außerhalb vertraglich geregelter Systeme landen. Ein Zeichnungsdokument oder eine Ausschüttungstabelle in einen Consumer-Assistenten zu werfen, um es „aufzuräumen“, kann bedeuten, dass diese Daten unter Bedingungen gespeichert oder fürs Training verwendet werden, die niemand gelesen hat. Halten Sie Investoren-PII innerhalb geprüfter, vertraglich geregelter Geschäftssysteme.
Nehmen Sie nicht an, dass ein Enterprise-Logo auch Enterprise-Datenbedingungen bedeutet. Ein bekannter Anbieter kann dennoch eine kostenlose oder niedrige Stufe mit großzügigen Datenbedingungen haben. Die Schutzmaßnahmen stecken oft im kostenpflichtigen Tarif oder im ausgehandelten Vertrag. Bestätigen Sie, welche Bedingungen für den Tarif gelten, den Sie tatsächlich nutzen.
Behandeln Sie „Wir nutzen KI“ nicht als Funktion zum Feiern, ohne zu fragen, wie. Ein Anbieter, der KI stark vermarktet, aber nicht erklären kann, wohin die Daten gehen, sagt Ihnen damit etwas. Die guten Anbieter beantworten diese Fragen mühelos, weil sie die Arbeit bereits geleistet haben.
Lassen Sie keine Schatten-KI entstehen. Wenn einzelne Teammitglieder jeweils ihre eigenen KI-Tools ohne Prüfung einführen, landet der Fonds mit Investorendaten, die über Dienste verstreut sind, die niemand nachverfolgt. Entscheiden Sie als Organisation, welche Tools für welche Daten freigegeben sind.
Verfallen Sie nicht ins andere Extrem und tun gar nichts. Das gegenteilige Versagen ist ebenso real. Jegliche KI abzulehnen, um die Datenfrage zu umgehen, lässt einen GP langsamer und manueller dastehen als Mitbewerber, die sorgfältig eingeführt haben. Das Ziel ist eine gesteuerte Einführung, bei der die nützlichen Funktionen genutzt und die Daten zugleich geschützt werden.
Eine praktische Prüf-Checkliste für KI-integrierte Software
Wenn Sie ein Tool mit KI-Funktionen bewerten, arbeiten Sie diese Fragen mit dem Anbieter durch. Lassen Sie sich die Antworten schriftlich geben, wo es möglich ist.
- Auf welche Daten greift die KI-Funktion zu, und können wir ihren Umfang begrenzen?
- Werden unsere Daten an einen externen Modellanbieter gesendet, und falls ja, an wen?
- Werden unsere Daten jemals zum Training oder zur Verbesserung eines Modells verwendet? (Sie wollen ein klares Nein — vertraglich festgehalten.)
- Werden Daten nach der Verarbeitung gespeichert? Für wie lange, und können wir eine Löschung verlangen?
- Wer sind Ihre Unterauftragsverarbeiter, und können wir die aktuelle Liste einsehen?
- Verfügen Sie über einen SOC 2 Type II-Bericht, und können wir ihn einsehen?
- Werden Daten bei der Übertragung und im Ruhezustand verschlüsselt?
- Können Sie GDPR- und Datenresidenz-Anforderungen für unsere europäischen Investoren erfüllen?
- Was geschieht mit unseren Daten, wenn wir kündigen? Wie werden sie zurückgegeben oder vernichtet?
- Gibt es einen Schritt zur menschlichen Prüfung bei jeder KI-Aktion, die Geld bewegt oder Investoren kontaktiert?
Ein Anbieter, der diese Fragen bereitwillig beantwortet, ist einer, dem Sie Investorendaten wahrscheinlich anvertrauen können. Ein Anbieter, der ausweicht, verzögert oder die Fragen als ungewöhnlich behandelt, zeigt Ihnen die Antwort in anderer Form.
Wie sich das im Investment Management und in der Fondsadministration auswirkt
Der Grund, warum diese Fragen im Fondsbetrieb stärker ins Gewicht fallen als etwa bei einem Marketing-Tool, ist, dass Daten und Geld in denselben Systemen liegen. Eine KI-Funktion, die irgendwo im Stack hinzukommt, erbt die Datengefährdung dieser gesamten Anordnung.
Die meisten Sponsor-Tech-Stacks bestehen aus vier bis sechs unverbundenen Anbietern — Fundraising an einem Ort, Banking an einem anderen, Ausschüttungen in einer Tabelle, Investorendaten in einem CRM. Jede Verbindung zwischen diesen Systemen ist eine Übergabe, bei der PII bewegt wird, und jede Übergabe ist etwas, das gesteuert werden muss. Die GPs, mit denen wir auf Covercy One arbeiten, betreiben Fundraising, Investorendaten, Banking und Ausschüttungen auf einer einzigen Plattform, auf der Banking und Zahlungen nativ integriert sind statt nachträglich angebaut. Weniger Systeme, die Investoren-PII halten, bedeuten weniger Anbieter zu prüfen, weniger Listen von Unterauftragsverarbeitern zu verfolgen und weniger Ketten von Parteien zu verantworten. Es macht die Notwendigkeit nicht überflüssig, die Fragen aus diesem Beitrag zu stellen — es verringert die Anzahl der Anbieter, denen Sie sie stellen müssen.
Dasselbe Prinzip prägt, wie wir KI in die Plattform eingebaut haben. Neo, der KI-Co-GP innerhalb von Covercy One, läuft in derselben gesteuerten Umgebung, die die Daten bereits hält — unter denselben SOC 2-Kontrollen, derselben Verschlüsselung, denselben Berechtigungen. Neo kann nur sehen, was der aufrufende Nutzer sehen kann. Die Kette der Parteien wird nicht länger, wenn Sie KI einschalten. Das ist die Messlatte, die unserer Ansicht nach jede KI-Funktion im Fondsbetrieb erfüllen sollte.
KI im Fondsbetrieb lohnt sich, und die Firmen, die sie sorgfältig einführen, werden schneller vorankommen als jene, die sie entweder ignorieren oder leichtfertig einsetzen. Der entscheidende Faktor ist, ob der GP Investorendaten als die treuhänderische Verantwortung behandelt, die sie sind, und dem Anbieter die Fragen stellt, die diese Verantwortung verlangt. Die Tools, die Ihre Investorendaten verdienen, werden gute Antworten parat haben.
