KI-Tools im Unternehmen: Regeln statt Schatten-KI
KI-Tools im Unternehmen sicher einsetzen: Risiken der Schatten-KI, eine KI-Richtlinie in 7 Punkten, erlaubte Werkzeuge und der EU AI Act für KMU.
- Die Belegschaft nutzt KI-Tools wie ChatGPT längst – oft ohne Freigabe. Diese Schatten-KI ist das neue Kapitel der Schatten-IT.
- Die größten Risiken sind der Abfluss vertraulicher Daten über Prompts, urheberrechtliche Fragen und die Gefahr falscher Ergebnisse (Halluzinationen).
- Die Antwort ist keine Verbotskultur, sondern eine klare KI-Richtlinie, die regelt, welche Werkzeuge erlaubt sind und welche Daten nie in ein KI-Tool gehören.
- Bei den Werkzeugen hilft die Unterscheidung: geschäftlich abgesicherte Lösungen wie Microsoft 365 Copilot gegenüber freien Tools mit unklarem Datenschutz.
- Mit dem EU AI Act kommen zusätzliche Pflichten, die Unternehmen schon jetzt im Blick haben sollten.
Inhalt7 Abschnitte
Ihre Mitarbeitenden nutzen bereits KI – da können Sie sicher sein. Ob für die schnelle E-Mail, die Zusammenfassung eines Dokuments oder die Recherche: ChatGPT und Co. sind längst im Arbeitsalltag angekommen, mit oder ohne Erlaubnis. Studien zeigen, dass ein Großteil der Unternehmen KI einsetzt, aber weniger als die Hälfte klare Regeln dafür hat. Genau diese Lücke ist gefährlich. Dieser Beitrag erklärt die Risiken der Schatten-KI, liefert eine KI-Richtlinie in sieben Punkten zum Kopieren und zeigt, wie Sie KI-Tools kontrolliert einführen.
Schatten-KI: das neue Schatten-IT-Kapitel
Das Muster ist bekannt: Was einst die selbst abonnierte Cloud-Software war, ist heute das heimlich genutzte KI-Tool. Schatten-KI bezeichnet die Nutzung von KI-Anwendungen ohne Wissen und Freigabe der IT. Sie entsteht aus demselben Grund wie die klassische Schatten-IT: Mitarbeitende wollen ihre Arbeit erledigen, und wenn der offizielle Weg fehlt, greifen sie zum nächstbesten frei verfügbaren Werkzeug.
Die konkreten Risiken
Warum ist die unkontrollierte KI-Nutzung ein Problem? Drei Risiken stechen hervor:
- Datenabfluss über Prompts: Wer vertrauliche Informationen in ein freies KI-Tool eingibt, gibt sie unter Umständen aus der Hand – sie können beim Anbieter gespeichert oder zum Training genutzt werden.
- Urheberrecht und Haftung: Wer verantwortet KI-generierte Inhalte? Bei Fehlern oder Rechtsverstößen bleibt die Verantwortung beim Unternehmen.
- Halluzinationen: KI erfindet gelegentlich überzeugend klingende, aber falsche Fakten. Ungeprüft übernommen, werden daraus teure Fehler.
KI-Richtlinie in 7 Punkten (zum Kopieren)
Diese sieben Punkte bilden das Grundgerüst einer praxistauglichen KI-Richtlinie:
- Zugelassene Werkzeuge: Welche KI-Tools sind freigegeben (z. B. Microsoft 365 Copilot), welche nicht?
- Tabu-Daten: Personenbezogene Daten, Geschäftsgeheimnisse, Zugangsdaten gehören nie in ein KI-Tool.
- Verantwortung für Ergebnisse: KI-Ausgaben werden vom Menschen geprüft, bevor sie verwendet werden.
- Kennzeichnung: Wo sinnvoll, wird KI-Nutzung transparent gemacht.
- Datenschutz: Nur Tools mit sauberer Datenschutzgrundlage (Auftragsverarbeitungsvertrag) für berufliche Daten.
- Schulung: Mitarbeitende lernen den sicheren Umgang und die Grenzen der KI.
- Ansprechpartner: Eine klare Stelle für Fragen und die Freigabe neuer Werkzeuge.
Erlaubte Werkzeug-Klassen
Nicht jedes KI-Tool ist gleich. Für die Praxis hilft die Unterscheidung zweier Klassen: geschäftlich abgesicherte Lösungen wie Microsoft 365 Copilot, bei denen die Firmendaten im Mandanten bleiben und nicht ins öffentliche Training fließen – und freie Consumer-Tools ohne Datenschutzvereinbarung, die für vertrauliche Daten ungeeignet sind. Die Richtlinie sollte klar sagen, was wofür genutzt werden darf. Wie Datenschutz in der Cloud grundsätzlich funktioniert, zeigt der Ratgeber zur DSGVO-konformen Cloud.
Der EU AI Act in fünf Sätzen
Der EU AI Act reguliert KI risikobasiert. Je höher das Risiko einer Anwendung, desto strenger die Pflichten. Für die meisten alltäglichen KI-Anwendungen im Mittelstand gelten überschaubare Transparenzpflichten. Hochrisiko-Anwendungen (etwa im Personalwesen) unterliegen strengeren Anforderungen. Wichtig ist zunächst, einen Überblick zu behalten, welche KI wofür im Einsatz ist.
Fazit: führen statt verbieten
KI-Tools sind gekommen, um zu bleiben, und sie bringen echten Nutzen. Der Fehler wäre, sie zu ignorieren oder pauschal zu verbieten – beides erzeugt nur Schatten-KI. Der richtige Weg ist, KI bewusst und kontrolliert einzuführen: mit einer klaren Richtlinie, freigegebenen sicheren Werkzeugen, geschulten Mitarbeitenden und einem schnellen offiziellen Weg über ein Self-Service-Portal. So wird aus einem Risiko ein Produktivitätsgewinn – und aus heimlicher Nutzung ein sicherer Standard. Wie kjello KI im Portal kontrolliert bereitstellt, macht den Unterschied.
Geschrieben von
Jens Hagel
Gründer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Dürfen Mitarbeiter ChatGPT im Unternehmen nutzen?
Welche Daten dürfen nie in ein KI-Tool eingegeben werden?
Brauchen wir eine KI-Richtlinie?
Was bedeutet der EU AI Act für kleine Unternehmen?
Das könnte Sie auch interessieren
Löschkonzept nach DSGVO: Anleitung + Muster-Struktur
DSGVO-konforme Cloud: Was Unternehmen prüfen müssen
Microsoft-365-Backup: Fünf Fragen nach dem SkyKick-Vorfall
Kostenlos zum Mitnehmen · PDF · Entscheidungshilfe
Entscheider-Leitfaden: IT selbst aufbauen oder auslagern?
Der ehrliche Entscheidungsrahmen – ohne Verkaufsdruck.
KI im Unternehmen kontrolliert einführen
kjello hilft, KI-Tools sicher und datenschutzkonform einzuführen – mit klaren Richtlinien und abgesicherten Werkzeugen statt unkontrollierter Schatten-KI.
