Datenzuordnung & Lückenanalyse für einen Anwendungsfall

Die meisten KI-Projekte im Mittelstand scheitern nicht am Modell, sondern an einer einfachen Frage, die niemand früh gestellt hat: „Wo genau liegen die Daten, die dafür nötig sind, wem gehören sie, und sind sie gut genug?“ Eine Datenzuordnung beantwortet das für einen konkreten Anwendungsfall in wenigen Tagen: benötigte Datenelemente, tatsächliche Quellen, Verantwortliche, Lücken und eine priorisierte Aufgabenliste. Ein LLM beschleunigt die mühsamen Teile (Feldlisten lesen, die Matrix entwerfen, Widersprüche aufspüren), während die Entscheidungen bei den Prozessverantwortlichen bleiben.

Problem & Nutzen

• Wer: Unternehmen, die einen Anwendungsfall ausgewählt haben (z. B. über GUIDE-001) und kurz vor Kauf oder Eigenbau stehen. Die IT wird oft gefragt „Geht das mit KI?“, ohne zu wissen, welche Daten es gibt.
• Heute: Die Machbarkeit wird in einer Besprechung geschätzt; Überraschungen kommen spät: Historie nur in Excel, ein Schlüsselfeld in vielen Datensätzen leer, der relevante Schritt auf Papier, ein System ohne Export.
• Warum KI hilft: Ein LLM fasst Tabellen- und Spaltenlisten zusammen, gleicht sie mit den Anforderungen ab, entwirft Fragen an die Datenverantwortlichen und schreibt die Aufgabenliste. Interviews ersetzt es nicht.
• Nutzen: Pilotprojekte bleiben nicht in Woche sechs stecken, und Aufwandsschätzungen werden realistisch. Es gibt keine belegte Zeitersparnis-Zahl; vergleichen Sie in Ihren ersten Projekten geplanten und tatsächlichen Vorbereitungsaufwand.

Enger gefasst als PREP-001 (unternehmensweite Reife) und PREP-003 (Schattensysteme); Process Mining (DATA-013) und das KI-Governance-Inventar (SEC-022) sind eigene Themen.

Varianten

• Vor dem Kauf (Kandidat für Weg A): Passen Ihre Daten und Felder zu den Konnektoren des Anbieters?
• Vor einem RAG-Assistenten: Dokumenttypen, Versionen, Verantwortliche und Zugriffsrechte zuordnen (PREP-013, PREP-023).
• Prognosen: Länge der Historie, Granularität, Labels.
• Öffentlicher Dienst: eine Spalte zur Rechtsgrundlage je Quelle ergänzen (PREP-025).

So funktioniert es

1. use-case card
2. data requirement list
3. source discovery
4. quality sample
5. gap matrix
6. task list
7. go / no-go

1. Anwendungsfall-Steckbrief (1 Seite): Ziel, Ergebnis, Nutzende, Häufigkeit, erforderliche Genauigkeit.
2. Anforderungsliste: Was muss die KI sehen, um das Ergebnis zu erzeugen? Ein LLM entwirft sie; die Prozessverantwortliche bzw. der Prozessverantwortliche korrigiert sie.
3. Quellensuche: je Element System, Tabelle/Ordner, Format, Verantwortliche(r), Aktualisierungsrhythmus, Exportmöglichkeit (PREP-005). Arbeiten Sie mit Exporten, nicht mit Live-Zugriff.
4. Qualitätsstichprobe: 50-200 echte Datensätze; prüfen Sie Vollständigkeit, Duplikate, Formate, Scans gegenüber nativem Text.
5. Lückenmatrix: eine Zeile je Element, grün/gelb/rot mit Ursache (fehlende Historie, fehlendes Feld, nur auf Papier, kein Zugriff, keine Rechtsgrundlage).
6. Aufgabenliste und Urteil: Jede Lücke wird zu einer Aufgabe mit Verantwortlichem und Aufwand; Urteil Go, Go nach Vorbereitung oder No-Go.

Mensch-in-der-Schleife (Human-in-the-Loop): Das LLM entwirft; Prozessverantwortliche und Datenverantwortliche bestätigen jede Zeile.

Datenaufbereitung

Die Eingabe besteht hier überwiegend aus Metadaten, was das Risiko niedrig hält: - Wo die Daten liegen: ERP und Buchhaltung (DATEV, Lexware, SAP Business One), CRM, Ticketsystem, Microsoft 365 / Google Workspace, Dateifreigaben, Nextcloud, E-Mail, Excel auf persönlichen Laufwerken, Papier. - Typische Lücken: kürzere Historie als nötig, Freitext statt Felder, uneinheitliche Kundennummern zwischen Systemen, Scans ohne Textebene, keine Exportfunktion, unklare Verantwortlichkeit. - Konkrete Schritte: Feldlisten und 100 Beispielzeilen exportieren (personenbezogene Felder maskieren); SharePoint-/Nextcloud-Ordner mit PowerShell oder n8n auflisten; Anteile leerer und doppelter Zeilen mit Power Query oder pandas profilieren; je Anwendungsfall zwei bis vier Personen interviewen (je etwa 45 Minuten). - Aufwand: typischerweise 2-5 Personentage je Anwendungsfall (Planungsschätzung, kein Benchmark). Verwandt: PREP-005, PREP-006, PREP-011, PREP-022; GUIDE-003.

Umsetzungswege

Welcher Weg für wen

• KMU: B. Kein Produkt passt zu „Ihrem“ Anwendungsfall und Ihren Systemen; ein leichter Eigenbau mit einer LLM-API, Excel/Power Query und einem Workflow-Werkzeug (n8n, Power Automate) auf Exporten genügt. Ein einfacher Copilot- oder ChatGPT-Arbeitsplatz taugt ebenfalls zum Entwerfen, ist aber kein Werkzeug für diese Aufgabe.
• Großunternehmen: B. Gleiche Methode, umgesetzt mit dem Datenkatalog und einer freigegebenen LLM-API hinter dem Unternehmens-Gateway.
• Entwickler: C. Das Profiling und die Matrixerzeugung per Skript mit einem Open-Weight-Modell (Ollama) umsetzen, damit Schemainformationen das Netz nie verlassen.

Weg A — Kaufen (Standardsoftware)

• Microsoft Purview (Data Security Posture Management, DSPM for AI) zeigt, welche sensiblen und überfreigegebenen Daten es in Microsoft 365 gibt und wie Copilot und andere KI-Werkzeuge darauf zugreifen. Eine Herstellertabelle nennt Microsoft 365 E5 Compliance als Voraussetzung für DSPM for AI; prüfen Sie die aktuelle Lizenzierung, bevor Sie sich darauf verlassen [1][2]. Purview Data Map hat keinen dokumentierten allgemeinen KMU-/NAS-Dateifreigabe-Konnektor, daher brauchen klassische Dateiserver den Information-Protection-Scanner [3].
• Datenkataloge (Atlan, Collibra, quelloffenes DataHub) eignen sich für Konzerne mit vielen Systemen; für die meisten KMU überdimensioniert.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Aufbau: Excel/Power Query oder ein CSV-Export, ein LLM mit EU-Region (Azure OpenAI in einer EU-Region, Mistral La Plateforme aus Frankreich, STACKIT AI Model Serving (Deutschland)), Orchestrierung mit n8n (selbst betreibbar, EU) oder Power Automate.
• Muster: Ein Workflow liest Feldlisten und maskierte Beispielzeilen, lässt das LLM jede Anforderung bewerten und schreibt eine Matrix als Entwurf in eine SharePoint-Liste oder ein Excel-Blatt. Aufwand: 1-3 Tage für eine wiederverwendbare Vorlage.

Weg C — Selbst betreiben (Open Source)

• Ollama oder llama.cpp mit einem kleinen Modell (Klasse 7-14B) auf einem Laptop oder kleinen Server (HW1), dazu n8n, Paperless-ngx für Dokumentmetadaten und Python/pandas für das Profiling. Das genügt, weil die Aufgabe Zusammenfassen und Abgleichen ist, nicht tiefes Schlussfolgern.
• Richtige Wahl, wenn Schema oder Beispieldaten vertraulich sind (Personal, Gesundheit, Betriebsgeheimnisse) oder der Server später andere PREP-Fälle bedient. Betriebsaufwand: einige Stunden pro Monat.

Weg D — Eigenes Training

Nicht nötig. Ein Modell für die Lückenanalyse feinzutunen würde mehr kosten als die Analyse selbst.

Stand der Technik (2026)

• LLMs lesen Schemata und Datenwörterbücher gut und entwerfen Anforderungsmatrizen zuverlässig; agentisches Profiling (ein LLM schreibt und führt SQL-/pandas-Prüfungen aus) ist verbreitet.
• Herstellerwerkzeuge konzentrieren sich auf Überfreigabe, Bezeichnungen und sensible Daten statt auf die Eignung für einen Anwendungsfall [1][2].
• Grenzen: Das LLM kennt undokumentiertes Wissen nicht („Spalte X ist vor 2022 falsch“), kann plausible Feldbedeutungen erfinden, und eine Stichprobe von 100 Zeilen kann seltene Fehler verbergen.

Gemeinsame Bausteine & Kombinationen

• Gleiches Werkzeugset (llm-general, workflow-automation) wie PREP-001, PREP-003, PREP-010 und PREP-011; eine n8n-Instanz und eine Prompt-Vorlage bedienen alle.
• Vorgelagert: GUIDE-001 (Auswahl des Anwendungsfalls). Nachgelagert: PREP-005, PREP-006, PREP-022, PREP-023, PREP-025 und der Pilot (GUIDE-009).
• Die Datenmatrix kann den Evaluationsdatensatz vorbereiten (PREP-018).

Aufwand, Kosten & Kennzahlen

• A: Lizenzkosten (Microsoft-Lizenzierung prüfen). B: 1-3 Tage Einrichtung; API-Kosten sind vernachlässigbar, die Interviewzeit dominiert. C: 1-2 Tage auf vorhandener Hardware.
• Kennzahlen: Anteil der Elemente mit bekannter Quelle und Verantwortlichem; vor dem Pilot geschlossene rote Lücken; geschätzter gegenüber tatsächlichem Vorbereitungsaufwand; früh gestoppte Anwendungsfälle (ein gutes Ergebnis).

Menschen & Veränderung

Früh einbinden: Die Abteilungsleitung und die Datenverantwortlichen jeder Quelle (ERP, DATEV, Dateifreigabe) sind die eigentliche Informationsquelle; die IT liefert Exporte; die Geschäftsleitung entscheidet über das Urteil. Beziehen Sie die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten ein, sobald eine Quelle personenbezogene Daten enthält (PREP-025, GUIDE-005). Beispieldaten, die an ein externes LLM gehen, brauchen einen AVV (Art. 28 DSGVO); eine Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) ist für die Zuordnung selbst selten nötig, kann es aber für den späteren Anwendungsfall sein.

Betriebsrat: hängt vom Einzelfall ab. Die Zuordnung analysiert Daten, nicht Personen. Vorsicht, wenn Quellen Aktivitätsprotokolle oder Leistungsdaten auf Nutzerebene enthalten: § 87 Abs. 1 Nr. 6 BetrVG erfasst Systeme, die objektiv zur Verhaltensüberwachung geeignet sind (BAG), und § 90 Abs. 1 Nr. 3 verlangt die rechtzeitige Unterrichtung über KI-gestützte Arbeitsabläufe. Öffentliche Stellen beteiligen den Personalrat (GUIDE-004).

KI-Kompetenz: Art. 4 KI-Verordnung (AI Act) verlangt von Anbietern und Betreibern Maßnahmen zur Förderung der KI-Kompetenz ihres Personals; eine einstündige Einweisung, was in einen LLM-Prompt gehört (Metadaten und maskierte Beispiele, nie rohe Kundenlisten), genügt hier (GUIDE-006, GUIDE-007).

Kommunikation und Pilot: Stellen Sie es dar als „Wir prüfen zuerst, ob es sich lohnt“. Beginnen Sie mit einem Anwendungsfall, den die Sponsoren mögen; die Abteilungsleitung besitzt die Matrix (GUIDE-008). Typische Bedenken: „Sie prüfen meine Excel-Dateien“ (der Fokus liegt auf Daten, nicht auf Personen), Mehrarbeit für Datenverantwortliche (auf 45 Minuten begrenzen).

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): Die Zuordnung selbst hat minimales Risiko; der Anwendungsfall, den sie vorbereitet, kann hochriskant sein (Anhang III, Pflichten ab 2. Dezember 2027), zum Beispiel Personalauswahl. Vermerken Sie das in der Matrix, siehe GUIDE-014.
• DSGVO: Metadaten sind meist harmlos, Beispielzeilen nicht: maskieren oder pseudonymisieren, AVV abschließen, EU-Hosting bevorzugen (GUIDE-010).
• Risiken: durchgängig grüne Matrizen, weil niemand eine Stichprobe geprüft hat; veraltete Exporte, die herumliegen. Gegenmaßnahmen: verpflichtende Stichprobenprüfung, Exporte danach löschen, die Matrix versionieren.

Erste Schritte

1. Wählen Sie einen Anwendungsfall und schreiben Sie mit der Prozessverantwortlichen bzw. dem Prozessverantwortlichen den einseitigen Steckbrief (1-2 Stunden).
2. Erstellen Sie eine Matrixvorlage in Excel oder als SharePoint-Liste: Element, Quelle, Verantwortliche(r), Format, Qualität, Zugriff, Rechtsgrundlage, Lücke, Aufgabe, Aufwand.
3. Exportieren Sie je Quelle Feldlisten und 100 maskierte Beispielzeilen; profilieren Sie sie.
4. Lassen Sie ein LLM die Matrix entwerfen und prüfen Sie sie anschließend mit den Datenverantwortlichen in einem 90-minütigen Workshop.
5. Entscheiden Sie Go / Go nach Vorbereitung / No-Go und übernehmen Sie die Aufgaben in Ihr Planungswerkzeug.

Quellen

1. Petri, "Microsoft Purview DSPM Explained for Copilot Readiness" - https://petri.com/microsoft-purview-data-security-posture-management/ (accessed 2026-10)
2. CIAOPS, "Microsoft Purview DSPM for AI in SMBs" - https://blog.ciaops.com/2025/10/01/microsoft-purview-dspm-for-ai-in-smbs/ (accessed 2026-10)
3. Atlan, "Purview Data Governance: Coverage Gaps by Source [2026]" - https://atlan.com/know/ai-agent/microsoft/purview-data-governance-coverage/ (accessed 2026-10)