KI im Unternehmen einsetzen – aber mit klaren Regeln

Geschäftliche Zugänge, klare Regeln und geprüfte Anbieter

Zum Einstieg gehören drei Punkte: geschäftlich verwaltete Zugänge statt beliebiger Privatkonten, eine verbindliche KI-Richtlinie und eine datenschutzrechtliche Prüfung der Anbieter.

Bei geschäftlichen Tarifen lassen sich Nutzung von Eingaben für das Anbietertraining, Aufbewahrung, Zugänge und Administrationsrechte häufig besser steuern. Man sollte diese Eigenschaften aber konkret prüfen und nicht allein aus der Bezeichnung „Business“ ableiten. Entscheidend sind Vertrag, Einstellungen und tatsächliche Datenflüsse.

Auch eine Vereinbarung zur Auftragsverarbeitung ist nicht in jedem KI-Szenario automatisch die ganze Antwort. Sie ist erforderlich, wenn der Anbieter personenbezogene Daten als Auftragsverarbeiter verarbeitet. Je nach Dienst und Zweck können Rollen und Rechtsgrundlagen anders liegen. Das muss vor der Freigabe geklärt werden.

Zuerst erfassen, was längst benutzt wird

Eine KI-Inventur muss kein monatelanges Projekt sein. Beginnen Sie mit einer einfachen Liste: Werkzeug, Anbieter, Zweck, Nutzergruppe, eingegebene Daten, erzeugte Ergebnisse und verantwortlicher Fachbereich.

Dabei tauchen oft nicht nur bekannte Chatbots auf. KI-Funktionen stecken in Übersetzungsdiensten, Videokonferenzen, CRM-Systemen, Bewerberplattformen, Entwicklungswerkzeugen und Office-Produkten. Manche wurden zentral beschafft, andere von einzelnen Beschäftigten aktiviert.

Die Inventur ist keine Verbotsliste. Sie schafft die Grundlage, Anwendungen in sinnvolle Gruppen einzuteilen: freigegeben, nur unter Bedingungen nutzbar, prüfpflichtig oder unzulässig.

Nicht jedes KI-Werkzeug braucht dieselbe Prüfung

Eine Formulierungshilfe für öffentliche Texte ist anders zu bewerten als ein System, das Bewerbungen vorsortiert, Kundenprofile bewertet oder Beschäftigtendaten analysiert. Entscheidend sind Daten, Zweck, Wirkung und die Möglichkeit menschlicher Kontrolle.

Für die erste Einordnung genügen oft fünf Fragen: Enthält die Eingabe personenbezogene oder vertrauliche Daten? Trifft oder beeinflusst das Ergebnis eine Entscheidung über Menschen? Wird das Ergebnis ungeprüft nach außen gegeben? Kann der Anbieter Eingaben zu eigenen Zwecken verwenden? Gibt es eine vertretbare Alternative mit geringerem Risiko?

Eine Richtlinie muss im Alltag verständlich sein

Eine KI-Richtlinie, die nur Gesetzesbegriffe wiederholt, wird nicht benutzt. Beschäftigte brauchen Beispiele: Darf ich einen öffentlichen Text sprachlich überarbeiten lassen? Darf ein Kundenvertrag hochgeladen werden? Wie gehe ich mit personenbezogenen Daten um? Wer prüft einen neuen Anwendungsfall?

Die Richtlinie sollte zugelassene Werkzeuge, klare Verbote, einen Freigabeweg und den Umgang mit Ergebnissen beschreiben. Dazu gehört auch, dass KI-Ausgaben fachlich geprüft werden müssen. Eine überzeugend formulierte Antwort kann trotzdem falsch sein.

• keine vertraulichen oder personenbezogenen Inhalte in nicht freigegebene Dienste eingeben
• Ergebnisse nicht ungeprüft als Tatsachen oder Entscheidungen übernehmen
• neue Werkzeuge und risikoreiche Anwendungsfälle vorab melden
• Urheberrechte, Geschäftsgeheimnisse und bestehende Fachregeln beachten
• bei Unsicherheit einen benannten Ansprechpartner einbeziehen

Freigabe, Schulung und Kontrolle gehören zusammen

Nach der Richtlinie braucht es einen kurzen Schulungstermin. Dort sollten reale Situationen aus dem Unternehmen besprochen werden. Das macht die Regeln greifbar und zeigt zugleich, welche Anwendungen bisher unter dem Radar liefen.

Danach muss die Organisation beobachten, ob neue Funktionen aktiviert werden, ob sich Anbieterbedingungen ändern und ob freigegebene Anwendungsfälle anders genutzt werden als geplant. Bei wesentlichen Änderungen beginnt die Prüfung erneut.

Das Ziel ist keine perfekte KI-Bürokratie. Das Ziel ist, nützliche Anwendungen schnell freizugeben und riskante Anwendungen rechtzeitig zu erkennen – bevor Daten oder Entscheidungen das Unternehmen verlassen.