KI-Richtlinie im Unternehmen

Eine KI-Richtlinie entsteht in den meisten Häusern zu spät – nämlich dann, wenn jemand bemerkt, dass die halbe Belegschaft längst Werkzeuge nutzt, die niemand freigegeben hat. Das ist kein Zeichen mangelnder Disziplin, sondern die vorhersehbare Folge einer Technik, die keine Installation braucht und in jedem Browser läuft.

Schatten-KI: das eigentliche Risiko

Wo keine Regelung besteht, entscheidet jeder selbst. Die Folgen sind unauffällig, bis sie es nicht mehr sind:

Betriebsgeheimnisse verlassen das Haus. Ein Angebot, eine Kalkulation, ein Vertragsentwurf – als Eingabe in ein Werkzeug ohne Vertrag, dessen Anbieter die Eingaben zum Training verwenden darf. Der Schutz als Geschäftsgeheimnis setzt angemessene Geheimhaltungsmaßnahmen voraus; wer keine getroffen hat, verliert ihn.

Personenbezogene Daten werden übermittelt ohne Rechtsgrundlage, ohne Vertrag, ohne Eintrag im Verzeichnis.

Ergebnisse werden ungeprüft übernommen. Erfundene Quellen, veraltete Rechtslage, falsche Zahlen – in Kundenkorrespondenz oder Angeboten.

Die Schulungspflicht bleibt unerfüllt. Art. 4 der KI-Verordnung verlangt ein ausreichendes Maß an KI-Kompetenz bei allen, die mit solchen Systemen umgehen. Wer nicht weiß, wer sie nutzt, kann niemanden schulen.

Besonders unangenehm ist die Variante über private Konten. Sie entzieht die Nutzung vollständig dem Zugriff des Unternehmens: keine Protokolle, keine Löschmöglichkeit, kein Zugriff auf die eingegebenen Inhalte – und beim Ausscheiden der Person bleibt alles beim Anbieter.

Warum ein Verbot nicht funktioniert

Der Reflex ist verständlich und die Wirkung berechenbar: Die Nutzung wandert auf private Geräte und private Konten. Aus einem Problem, das man regeln könnte, wird eines, von dem man nichts erfährt.

Dieselbe Erfahrung wie bei der privaten E-Mail-Nutzung und bei BYOD: Ein Verbot ohne gangbaren Weg erzeugt Umgehung, und eine geduldete Umgehung ist rechtlich schlechter als eine geregelte Nutzung.

Der tragfähige Weg besteht deshalb aus drei Schritten: erfassen, bewerten, regeln – und ein freigegebenes Werkzeug bereitstellen, das die Arbeit tatsächlich erleichtert. Für die ersten beiden Schritte ist die KI-Risikoanalyse der Einstieg, für die Auswahl die Tool-Auswahl.

Was in die Richtlinie gehört

Zwei Seiten genügen. Länger wird sie nicht gelesen.

Welche Werkzeuge freigegeben sind – namentlich, mit dem Hinweis, für welche Aufgaben sie gedacht sind. Und: Nur über die betrieblichen Zugänge, nicht über private Konten.

Was hinein darf und was nicht. Die Faustregel, die jeder behält: Alles, was Sie eingeben, verlässt das Haus. Daraus die kurze Verbotsliste – Namen und Kontaktdaten von Kunden, Beschäftigten und Bewerbern, Gesundheits-, Vertrags- und Gehaltsdaten, Zugangsdaten, Unterlagen unter Verschwiegenheitspflicht. Und die Erlaubnisliste, die meist ausreicht: allgemeine Fragen, anonymisierte Beispiele, eigene Entwürfe.

Wie eine Freigabe zu bekommen ist. Der wichtigste Abschnitt. Wer ein neues Werkzeug einsetzen will, wendet sich an eine benannte Stelle und bekommt in überschaubarer Zeit eine Antwort. Ohne diesen Weg entsteht wieder Schatten-KI.

Dass Ergebnisse geprüft werden. Wer ein Ergebnis verwendet, verantwortet es – auch bei Zahlen, Zitaten und Rechtsaussagen.

Wo Kennzeichnung nötig ist. Nach außen gerichtete Inhalte, die künstlich erzeugt wurden, unterliegen den Transparenzpflichten aus Art. 50 der KI-Verordnung.

Was ausgeschlossen ist. Entscheidungen über Personen ohne menschliche Prüfung – siehe Art. 22 DSGVO und, für das Personalwesen, KI im Personalwesen.

An wen man sich bei Zweifeln wendet. Mit Namen.

Was daneben zu erledigen ist

Die Richtlinie ist der sichtbare Teil. Dazu gehören: die Aufnahme der eingesetzten Systeme in ein Inventar, die Einordnung nach der Verordnung – Anbieter oder Betreiber, welche Risikoklasse, siehe KI-Compliance-Wissen –, die Verträge mit den Anbietern und die Schulung mit Nachweis.

Geführt wird das in der KI-Governance-Software; wer die Zuständigkeit dauerhaft besetzen will, findet die Rolle unter KI-Beauftragter.

Kontakt

Sie wollen eine Richtlinie, die im Alltag hält? Der erste Schritt ist die Frage, was bei Ihnen tatsächlich genutzt wird.