Schatten-KI: Richtlinie in einer Stunde

Wer einen Text umformulieren, eine Mail zusammenfassen oder eine Tabelle auswerten will, öffnet schnell ein Chatfenster. Dabei landen Kundennamen, Vertragsdetails und interne Zahlen bei einem Anbieter, mit dem euer Betrieb keinen Vertrag hat.

Das nennt man Schatten-KI. Selten böse Absicht, oft ein Datenschutzproblem.

Warum Verbote scheitern und wie eine Richtlinie auf eine Seite passt, zeigt dieser Beitrag.

Warum scheitern Verbote?

Der Nutzen ist groß, und die Werkzeuge laufen im privaten Browser oder auf dem eigenen Handy. Besser ist ein Rahmen: Erlaubt ist, was geregelt ist, und alle wissen, was sie eingeben dürfen.

Wie sieht die Richtlinie aus?

1. Freigegebene Werkzeuge: welche Dienste, mit welchem Konto und Tarif. Firmenkonten statt privater Zugänge.
2. Verbotene Eingaben: keine Kunden-, Personal- oder Gesundheitsdaten, keine Passwörter und vertraulichen Verträge in nicht freigegebene Werkzeuge. Im Zweifel anonymisieren.
3. Prüfpflicht: Ergebnisse prüft eine Person, bevor sie nach außen gehen. Wer sie verschickt, trägt die Verantwortung.
4. Kennzeichnung: Wo vorgeschrieben, sind KI-Inhalte und Chatbots erkennbar.
5. Ansprechperson: Wer entscheidet über neue Werkzeuge, und wohin wendet man sich bei Vorfällen?

KI direkt in eurem Arbeitsablauf? Individualsoftware besprechen

Was gehört zur Schulung?

Erklärt in 30 Minuten, was die Werkzeuge gut und schlecht können, welche Daten tabu sind und woran man Fehler erkennt, am besten an Beispielen aus eurem Alltag. Das erfüllt zugleich die Pflicht zur KI-Kompetenz aus dem AI Act, wenn ihr es dokumentiert.

Welche Alternative bietet ihr an?

Stellt ein freigegebenes Werkzeug bereit, mit Vertrag zur Auftragsverarbeitung und abgeschaltetem Training auf Eingaben. Das BSI bietet Hinweise zum sicheren Einsatz von KI. Wiederkehrende Aufgaben lassen sich oft direkt in eurer Software lösen.

Fazit

Eine Seite Regeln und eine halbe Stunde Schulung bringen mehr als ein Verbot, das niemand beachtet.

Sicherheitsfragen bei Agenten: KI-Agenten und Prompt Injection.

FAQ

Darf ich ChatGPT im Betrieb nutzen?

Ja, wenn ihr Datenschutz und Prüfung geregelt habt. Mit personenbezogenen Daten braucht ihr einen Vertrag zur Auftragsverarbeitung.

Wer haftet für falsche KI-Texte?

Wer sie verwendet und nach außen gibt. Deshalb gehört die Prüfung in die Richtlinie.