Geschäftliche Zugänge, klare Regeln und geprüfte Anbieter
Zum Einstieg gehören drei Punkte: geschäftlich verwaltete Zugänge statt beliebiger Privatkonten, eine verbindliche KI-Richtlinie und eine datenschutzrechtliche Prüfung der Anbieter.
Bei geschäftlichen Tarifen lassen sich Nutzung von Eingaben für das Anbietertraining, Aufbewahrung, Zugänge und Administrationsrechte häufig besser steuern. Man sollte diese Eigenschaften aber konkret prüfen und nicht allein aus der Bezeichnung „Business“ ableiten. Entscheidend sind Vertrag, Einstellungen und tatsächliche Datenflüsse.
Auch eine Vereinbarung zur Auftragsverarbeitung ist nicht in jedem KI-Szenario automatisch die ganze Antwort. Sie ist erforderlich, wenn der Anbieter personenbezogene Daten als Auftragsverarbeiter verarbeitet. Je nach Dienst und Zweck können Rollen und Rechtsgrundlagen anders liegen. Das muss vor der Freigabe geklärt werden.
Zuerst erfassen, was längst benutzt wird
Eine KI-Inventur muss kein monatelanges Projekt sein. Beginnen Sie mit einer einfachen Liste: Werkzeug, Anbieter, Zweck, Nutzergruppe, eingegebene Daten, erzeugte Ergebnisse und verantwortlicher Fachbereich.
Dabei tauchen oft nicht nur bekannte Chatbots auf. KI-Funktionen stecken in Übersetzungsdiensten, Videokonferenzen, CRM-Systemen, Bewerberplattformen, Entwicklungswerkzeugen und Office-Produkten. Manche wurden zentral beschafft, andere von einzelnen Beschäftigten aktiviert.
Die Inventur ist keine Verbotsliste. Sie schafft die Grundlage, Anwendungen in sinnvolle Gruppen einzuteilen: freigegeben, nur unter Bedingungen nutzbar, prüfpflichtig oder unzulässig.
Arbeitsbeispiel · fiktive Angaben
Ein Inventar erfasst den konkreten Anwendungsfall zusammen mit Werkzeug, Anbieter und verantwortlichem Fachbereich. Diese drei fiktiven Einträge zeigen unterschiedliche Prüfbedarfe; sie sind keine rechtliche Freigabe für ein bestimmtes Produkt.
1. Einen öffentlichen Produkttext überarbeiten
- Werkzeug und Zweck
- Geschäftlich verwalteter Textassistent von Anbieter A; sprachliche Überarbeitung bereits veröffentlichter Produktbeschreibungen.
- Daten und Zuständigkeit
- Öffentliche Sachinformationen, ohne Kunden- oder Beschäftigtendaten. Verantwortlich: Marketing; technische Betreuung: IT.
- Dokumentierter Status
- Im Beispiel für diesen Zweck freigegeben. Anbieterbedingungen und Einstellungen wurden geprüft; Veröffentlichung erst nach fachlicher Kontrolle durch Marketing.
- Grenze der Freigabe
- Keine vertraulichen Entwürfe oder personenbezogenen Inhalte ergänzen. Für eine neue Datenart oder einen neuen Zweck ist die bestehende Freigabe erneut zu prüfen.
2. Einen Kundenvertrag zusammenfassen
- Werkzeug und Zweck
- Dokumentenassistent von Anbieter B; Zusammenfassung von Vertragsentwürfen für den Vertrieb.
- Daten und Zuständigkeit
- Ansprechpartner, Unterschriften, Konditionen und vertrauliche Vereinbarungen. Verantwortlich: Vertrieb; einzubeziehen: Datenschutz, IT-Sicherheit und bei Bedarf Rechtsberatung.
- Dokumentierter Status
- Prüfung offen. Bis zur Klärung werden keine echten Verträge hochgeladen; ein Funktionstest kann mit eigens erstellten fiktiven Unterlagen erfolgen.
- Nächster Schritt
- Zweck, erforderliche Daten, Anbieterrolle, Vertragsbedingungen, Trainingsnutzung, Aufbewahrung, Zugriffe und Löschung klären. Prüfen, ob die Aufgabe mit weniger Daten erfüllt werden kann.
3. Bewerbungen automatisch vorsortieren
- Werkzeug und Zweck
- Bewertungsfunktion in der Recruiting-Software von Anbieter C; Rangfolge eingehender Bewerbungen.
- Daten und Zuständigkeit
- Bewerbungsunterlagen und Bewertungen mit möglicher Auswirkung auf die Personalauswahl. Verantwortlich: Personalabteilung; Datenschutz, IT und gegebenenfalls Arbeitnehmervertretung einbeziehen.
- Dokumentierter Status
- Keine Freigabe im Beispiel. Die Funktion bleibt deaktiviert, bis die fachliche und rechtliche Prüfung abgeschlossen und eine Entscheidung dokumentiert ist.
- Nächster Schritt
- Entscheidungswirkung, menschliche Kontrolle, Nachvollziehbarkeit und mögliche Benachteiligungen untersuchen. Anforderungen aus Datenschutz- und KI-Recht einschließlich einer möglichen DSFA klären.
Zu jedem Eintrag gehören außerdem die geprüfte Produktversion, der Prüftermin und die verantwortliche Person für eine erneute Bewertung. Eine Anbieterfreigabe allein deckt nicht automatisch alle Anwendungsfälle ab.
Nicht jedes KI-Werkzeug braucht dieselbe Prüfung
Eine Formulierungshilfe für öffentliche Texte ist anders zu bewerten als ein System, das Bewerbungen vorsortiert, Kundenprofile bewertet oder Beschäftigtendaten analysiert. Entscheidend sind Daten, Zweck, Wirkung und die Möglichkeit menschlicher Kontrolle.
Für die erste Einordnung genügen oft fünf Fragen: Enthält die Eingabe personenbezogene oder vertrauliche Daten? Trifft oder beeinflusst das Ergebnis eine Entscheidung über Menschen? Wird das Ergebnis ungeprüft nach außen gegeben? Kann der Anbieter Eingaben zu eigenen Zwecken verwenden? Gibt es eine vertretbare Alternative mit geringerem Risiko?
Eine Richtlinie muss im Alltag verständlich sein
Eine KI-Richtlinie, die nur Gesetzesbegriffe wiederholt, wird nicht benutzt. Beschäftigte brauchen Beispiele: Darf ich einen öffentlichen Text sprachlich überarbeiten lassen? Darf ein Kundenvertrag hochgeladen werden? Wie gehe ich mit personenbezogenen Daten um? Wer prüft einen neuen Anwendungsfall?
Die Richtlinie sollte zugelassene Werkzeuge, klare Verbote, einen Freigabeweg und den Umgang mit Ergebnissen beschreiben. Dazu gehört auch, dass KI-Ausgaben fachlich geprüft werden müssen. Eine überzeugend formulierte Antwort kann trotzdem falsch sein.
- keine vertraulichen oder personenbezogenen Inhalte in nicht freigegebene Dienste eingeben
- Ergebnisse nicht ungeprüft als Tatsachen oder Entscheidungen übernehmen
- neue Werkzeuge und risikoreiche Anwendungsfälle vorab melden
- Urheberrechte, Geschäftsgeheimnisse und bestehende Fachregeln beachten
- bei Unsicherheit einen benannten Ansprechpartner einbeziehen
Freigabe, Schulung und Kontrolle gehören zusammen
Nach der Richtlinie braucht es einen kurzen Schulungstermin. Dort sollten reale Situationen aus dem Unternehmen besprochen werden. Das macht die Regeln greifbar und zeigt zugleich, welche Anwendungen bisher unter dem Radar liefen.
Danach muss die Organisation beobachten, ob neue Funktionen aktiviert werden, ob sich Anbieterbedingungen ändern und ob freigegebene Anwendungsfälle anders genutzt werden als geplant. Bei wesentlichen Änderungen beginnt die Prüfung erneut.
Das Ziel ist keine perfekte KI-Bürokratie. Das Ziel ist, nützliche Anwendungen schnell freizugeben und riskante Anwendungen rechtzeitig zu erkennen – bevor Daten oder Entscheidungen das Unternehmen verlassen.
Der Beitrag gibt eine allgemeine fachliche Einordnung und ersetzt keine Prüfung des konkreten Einzelfalls.