Schatten-KI: Ihre Firma hat noch keine KI eingeführt?
Ihre Mitarbeiter schon!
Kurz erklärt:
Schatten-KI entsteht, wenn Mitarbeiter KI-Anwendungen wie ChatGPT, Microsoft Copilot oder andere Onlinedienste ohne Freigabe und Kontrolle des Unternehmens nutzen. Was häufig mit guten Absichten und dem Wunsch nach mehr Effizienz beginnt, kann Risiken nach sich ziehen. Dazu zählen etwa die unbeabsichtigte Preisgabe vertraulicher Daten oder Geschäftsgeheimnisse sowie die ungeprüfte Übernahme fehlerhafter Ergebnisse. Klare Regeln und geeignete Tools helfen dabei, dass Unternehmen die Vorteile von KI nutzen und dabei die Kontrolle behalten.
Sie haben in Ihrem Unternehmen noch keine KI-Lösung eingeführt? Dann gehen Sie besser nicht davon aus, dass Ihre Mitarbeiter noch auf „klassische“ Weise arbeiten. Denn während die Geschäftsführung noch Nutzen, Kosten und Risiken abwägt, sind die Angestellten in vielen Fällen längst einen Schritt weiter. Sie nutzen frei zugängliche KI-Plattformen zum Beispiel zum Formulieren von E-Mails, zur Zusammenfassung von Besprechungsprotokollen oder zum Erstellen von Präsentationen. Dabei laden sie auch Daten und Dokumente zur Auswertung in diese KI-Dienste hoch. Böse Absicht steckt meist nicht dahinter. Vielmehr treibt die Mitarbeiter ein gewisser Pragmatismus an: Die KI ist bequem verfügbar und macht die tägliche Arbeit in einigen Fällen sehr viel einfacher.
Ob ChatGPT, Copilot, Claude, Grok oder Gemini: KI-Dienste sind heute sehr leicht zugänglich und deshalb längst Teil unseres Alltags. Das gilt insbesondere für den Einsatz im geschäftlichen Umfeld: KI-Tools können Zeit sparen, die Produktivität steigern und komplexe Informationen einfacher verständlich machen. Kein Wunder also, dass viele Menschen auf ihrem Büro-Rechner oder auf mobilen Geräten auf diese Technologie zurückgreifen.
Problematisch wird es aber, wenn Unternehmen keinen Überblick über den KI-Einsatz ihrer Angestellten haben. In solchen Fällen weiß niemand genau, welche KI-Lösungen und Tools genutzt werden und welche Informationen dort landen. Kundendaten, Kalkulationen oder sogar Verträge und interne Dokumente können dadurch zur Verarbeitung die Kontrollsphäre des Unternehmens verlassen. Das kann insbesondere bei personenbezogenen oder vertraulichen Informationen zu erheblichen Datenschutz- und Sicherheitsrisiken führen – einen kompakten Überblick hierzu bietet das Bundesamt für Sicherheit in der Informationstechnik (BSI). Gleichzeitig werden Ergebnisse häufig nicht systematisch geprüft und die Verantwortung für mögliche Fehler bleibt unklar.
Mitarbeiter nutzen nicht freigegebene KI-Dienste meist in guter Absicht und aus Eigeninitiative für geschäftliche Aufgaben. Die Aussicht auf einen deutlichen Produktivitätsgewinn ist verlockend, aber die damit verbundenen Risiken sind den Anwendern häufig nicht bewusst. Dazu tragen sowohl fehlende Regeln als auch das Fehlen geeigneter, intern freigegebener Tools bei.
Als Geschäftsführer sollten Sie deshalb nicht davon ausgehen, dass Ihre Mitarbeiter ohne klare Vorgaben auf KI verzichten. Die Herausforderung ist vielmehr, den KI-Einsatz im Unternehmen aktiv und praxisnah zu gestalten und somit Schatten-KI einzudämmen.
Wer nicht für klare Leitplanken sorgt, gibt die Entscheidung an seine Mitarbeiter ab.
Erster Schritt: Klare Grenzen ziehen
Auf einen Blick: Schatten-KI in sieben Schritten eindämmen
- Nicht freigegebenen KI-Einsatz begrenzen
- Bestehende KI-Nutzung erfassen
- Risiken und mögliche Vorfälle bewerten
- Anwendungsfälle priorisieren
- Verantwortlichkeiten festlegen
- Sichere Lösung pilotieren
- Regeln, Schulung und dauerhaften Betrieb etablieren
Wer bereits Schatten-KI (engl. „Shadow AI“) im Unternehmen entdeckt hat, sollte umgehend handeln. Bis eine geregelte Lösung vorhanden ist, hilft eine eindeutige und unmissverständliche Übergangsregelung weiter. Die geschäftliche Nutzung nicht freigegebener KI-Dienste sollten Sie deshalb zunächst untersagen. Vor allem sensible Inhalte wie Kunden- und Personaldaten, Verträge, Kalkulationen, Zugangsdaten, interne Dokumentationen und Geschäftsgeheimnisse dürfen keinesfalls in solche Dienste eingegeben werden.
Besonders wichtig: Diese Übergangsregelung darf nicht als langfristige KI-Strategie missverstanden werden. Ziel der Sofortmaßnahme ist, kurzfristig Risiken zu begrenzen und die Grundlage für einen kontrollierten KI-Einsatz zu schaffen. Sie muss verständlich kommuniziert werden und darf nicht wie eine Bestrafung wirken, da die inoffizielle KI-Nutzung ansonsten möglicherweise noch unsichtbarer als bisher wird. Benennen Sie einen festen Ansprechpartner für Rückfragen und kündigen Sie idealerweise eine Alternative mit zeitnaher Verfügbarkeit an. Der Tenor sollte sein: „Wir verbieten nicht die Produktivitätssteigerung, sondern die unkontrollierte Datenverarbeitung.“ Anschließend kann mit der notwendigen Sorgfalt eine gezielte Einführung geeigneter Plattformen oder Tools erfolgen.
Transparenz schaffen und echten Bedarf ermitteln
Im nächsten Schritt sollten Sie ermitteln, welche KI-Dienste wie und wofür eingesetzt wurden. Dabei geht es keineswegs um Kontrolle oder Schuldzuweisungen, sondern um eine sachliche Bestandsaufnahme.
Interessant ist unter anderem, welche KI-Dienste die Angestellten nutzen und welche Aufgaben sie damit erledigen. Weitere Themen sind etwa, wo die KI-Nutzer spürbare Zeitersparnis erzielen konnten und welche Daten oder Dokumente sie dafür verwendet haben. Wurden bereits personenbezogene Daten, Geschäftsgeheimnisse oder Zugangsdaten verarbeitet, sollte der Vorgang zusätzlich durch IT und Datenschutz bewertet werden. Dabei ist unter anderem zu prüfen, ob Inhalte noch gespeichert sind und welche weiteren Maßnahmen notwendig werden. Schließlich sollten Sie auch nachhaken, welche Funktionen Ihre Mitarbeiter im Arbeitsalltag vermissen.
Im Zusammenspiel liefern diese Fragen wertvolle Hinweise darauf, wo KI im Unternehmen einen konkreten Nutzen bringen könnte. Ein weiterer Pluspunkt: Kommende Investitionen werden nicht auf Vermutungen, sondern auf konkrete Anwendungsfälle gestützt.
Erliegen Sie aber im Anschluss nicht der Verlockung, lediglich ein Unternehmenskonto bei einer KI-Plattform als Allheilmittel gegen Schatten-KI zu sehen. Eine Unternehmenslizenz allein klärt keine der organisatorischen Fragen – von Berechtigungen über die Datenverarbeitung bis hin zu Prüfprozessen und Verantwortlichkeiten. Auch die technischen Rahmenbedingungen müssen stimmen. Dazu zählen zentral verwaltete Konten, passende Berechtigungen sowie geprüfte Sicherheits- und Datenschutzeinstellungen.
Ohne klare Vorgaben können Mitarbeiter die Plattform weiterhin nach eigenem Ermessen nutzen und sie möglicherweise durch nicht freigegebene KI-Dienste ergänzen. Das gilt insbesondere, wenn sich die gewählte Plattform nicht gut für bestimmte Aufgaben eignet, keine Einweisung erfolgt oder die Unternehmenslösung als zu kompliziert wahrgenommen wird.
Ohne klare Prozesse entsteht eine bezahlte, formal freigegebene, aber weiterhin unkontrollierte KI-Nutzung.
KI lässt sich nicht nebenbei einführen
Auf einen Blick: Aufgabenteilung bei KI-Projekten
- Geschäftsführung
Ziele, Prioritäten, Budget und Freigaben - Koordinator
Steuerung, Abstimmung, Dokumentation und Mitarbeiterfragen - IT-Abteilung
Technische Auswahl, Integration, Berechtigungen und Sicherheit - Fachabteilungen
Anforderungen, Anwendungsfälle und praktische Nutzung - Datenschutzbeauftragter
Fachliche Beratung sowie Überwachung der Einhaltung datenschutzrechtlicher Vorgaben - Externer Dienstleister
Beratung, Hilfe bei Lösungsauswahl, Absicherung, Integration, Betrieb und Support
Der Weg zum kontrollierten und wirtschaftlich sinnvollen KI-Einsatz beginnt mit klaren Verantwortlichkeiten. Die Geschäftsführung gibt Ziele, Prioritäten und Rahmenbedingungen vor und trifft die wesentlichen Entscheidungen. Ein zentraler Koordinator steuert die Einführung, führt die beteiligten Bereiche zusammen und sorgt dafür, dass Entscheidungen umgesetzt werden. Er kann gleichzeitig als Ansprechpartner für Mitarbeiterfragen dienen. Die interne IT oder der betreuende IT-Dienstleister sollte von Anfang an eingebunden sein und die technische Umsetzung und Absicherung begleiten. Fachabteilungen, Datenschutz und gegebenenfalls externe Dienstleister bringen ihre jeweilige Expertise ein.
Wichtig ist eine verständliche und unternehmensweit gültige Marschrichtung. Sie verhindert, dass einzelne Fachbereiche unabhängig voneinander Plattformen anschaffen und dadurch doppelte Lösungen, unnötige Kosten und zusätzlichen Verwaltungsaufwand verursachen. Das Ziel des KI-Einsatzes, priorisierte Bereiche, das verfügbare Budget und die akzeptablen Risiken sollten eindeutig festgelegt werden. Die Fachabteilungen benennen dazu konkrete Probleme und Potenziale.
In kleinen und mittelständischen Unternehmen ist oft kein großes „KI-Gremium“ notwendig. Wichtig ist, dass Zuständigkeiten eindeutig festgelegt sind und Entscheidungen nicht zwischen einzelnen Rollen liegen bleiben.
KI braucht keinen großen Verwaltungsapparat – aber klare Verantwortlichkeiten und verbindliche Entscheidungen!
Nicht der Trend entscheidet, sondern Ihr Bedarf
Eine fast schon reflexmäßig gestellte Frage lautet: „Welche KI sollen wir kaufen?“ Bekannte KI-Dienste werden dann gerne genannt, sind aber für bestimmte Einsatzzwecke nicht zwingend die beste Wahl. Es gilt daher, zunächst die Rahmenbedingungen gründlich zu überprüfen: Wo entsteht regelmäßig hoher manueller Arbeitsaufwand? Welche Aufgaben wiederholen sich ständig? Wo fehlen Informationen oder der schnelle Zugriff auf internes Wissen? Wo entstehen Fehler durch manuell vorgenommene Datenübertragungen?
Es gibt zudem einige Einsatzbereiche, die sich für KI-Pilotprojekte anbieten. Dazu zählen zum Beispiel die Vorbereitung und Zusammenfassung von Dokumenten, interne Wissenssuche, Dokumentation sowie Unterstützung bei Tätigkeiten wie Recherchen oder Auswertungen. Grundsätzlich sollten Sie die künftig von KI unterstützten Prozesse nach Nutzen, Aufwand und Risiko priorisieren. Für den Anfang empfiehlt sich ein Fokus auf wenige Anwendungsfälle mit erkennbarem geschäftlichem Mehrwert. Eine KI-ROI-Analyse hilft Ihnen dabei, geeignete Szenarien zu identifizieren und nach wirtschaftlichem Nutzen, Aufwand und Risiko zu bewerten.
Konzentrieren Sie sich auf einige relevante Auswahlkriterien, um ökonomisch und betrieblich sinnvoll zu handeln. So muss die künftige KI-Lösung einen konkreten Nutzen für die priorisierten Prozesse bringen. Eine zentrale Benutzer- und Rechteverwaltung ist ebenso obligatorisch wie ein sicherer Umgang mit Unternehmensdaten. Die KI sollte sich so nahtlos wie möglich in bestehende Systeme integrieren lassen und zudem Möglichkeiten zur Nachvollziehbarkeit und Kontrolle bieten. Zusätzlich sollten Sie klären, ob Eingaben und Ausgaben gespeichert oder zum Training verwendet werden, wo die Verarbeitung erfolgt und welche Lösch- und Vertragsregelungen gelten. Stellen Sie Ihre bestehende IT-Landschaft immer in den Mittelpunkt, statt zugunsten einer KI-Ergänzung eine Parallelwelt aufzubauen. Bei bereits gewachsenen und unübersichtlichen Strukturen kann zuvor eine IT-Konsolidierung sinnvoll sein.
Kalkulierbare, möglichst transparente Kosten und die Möglichkeit zum späteren Ausbau runden das Gesamtpaket ab.
Klare Leitplanken schützen Daten und Mitarbeiter
Auch bei einer technisch ideal geeigneten KI-Lösung sind verbindliche Regeln für den praktischen Einsatz unumgänglich. Ihre Mitarbeiter müssen genau wissen, welche Anwendungen und Nutzungsszenarien freigegeben sind und welche Informationen gar nicht oder nur unter klar festgelegten Voraussetzungen verarbeitet werden dürfen. Zugangsdaten und Geschäftsgeheimnisse sollten grundsätzlich ausgeschlossen sein. Für personenbezogene Daten, Vertragsinhalte und interne Kalkulationen sind klare Freigaben und Schutzmaßnahmen erforderlich. Je konkreter die Vorgaben ausfallen, desto geringer ist das Risiko, dass Mitarbeiter aus Unsicherheit eigene Entscheidungen treffen oder erneut auf nicht freigegebene Dienste ausweichen.
Trotz aller Vorsicht und Gründlichkeit sollte Ihr Unternehmen den Einsatz von KI nicht unnötig erschweren. Meist lassen sich Daten vor der Verarbeitung anonymisieren oder pseudonymisieren. Bei der Anonymisierung werden Merkmale so entfernt, dass eine Zuordnung zu einer Person nicht mehr möglich ist. Bei der Pseudonymisierung werden dagegen eindeutige Merkmale ersetzt. Eine Zuordnung bleibt hierbei mit Hilfe zusätzlicher Informationen möglich. Grundsätzlich sollten nur Informationen an eine KI übergeben werden, die für die jeweilige Aufgabe tatsächlich erforderlich sind. Weitere Auswahl- und Prüfkriterien finden Sie zum Beispiel in der Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz.
Auch Urheber- und Nutzungsrechte sind zu berücksichtigen: Geschützte Inhalte dürfen nicht ungeprüft eingegeben und KI-Ergebnisse nicht automatisch als frei verwendbar oder exklusiv schützbar betrachtet werden. Das Deutsche Patent- und Markenamt erläutert die urheberrechtliche Einordnung KI-generierter Inhalte genauer. Technische Schutzmaßnahmen, eine zentrale Zugangsverwaltung sowie eindeutige Berechtigungen dienen als weitere Sicherheitsebenen. Wie belastbar Ihre vorhandene Absicherung bereits ist, lässt sich mit einem strukturierten IT-Sicherheitscheck überprüfen.
Achten Sie zudem darauf, dass Ihre Mitarbeiter die Grenzen der KI-Technologie kennen. So können KI-generierte Inhalte fehlerhaft, unvollständig oder sogar frei erfunden sein. Ihre Mitarbeiter sollten sie deshalb niemals ungeprüft übernehmen. Das gilt insbesondere in Bereichen wie Kundenkommunikation, bei der Erstellung von Angeboten oder Verträgen sowie Auswertungen und Empfehlungen. Praxisnahe Einweisungen sind gegenüber allgemeinen KI-Schulungen zu bevorzugen. Sie helfen wesentlich besser dabei, die Regeln im Arbeitsalltag sicher anzuwenden. Derartige Fortbildungen sind aber nicht nur für den sicheren KI-Einsatz wichtig: Artikel 4 des EU AI Acts verpflichtet Unternehmen mit KI-Systemen zu Maßnahmen, die ein ausreichendes Maß an KI-Kompetenz bei den beteiligten Mitarbeitern sicherstellen.
Die Verantwortung für das endgültige Ergebnis verbleibt letztendlich immer beim Menschen.
Klein starten, dauerhaft etablieren
Bei der Einführung einer KI-Lösung müssen Sie nicht sofort Ihr gesamtes Unternehmen einbeziehen. Für den Anfang ist ein sauber abgegrenztes Pilotprojekt mit einer kleinen Nutzergruppe und einem definierten Anwendungsfall völlig ausreichend. Zu Beginn sollten Sie festlegen, welche Daten zum Einsatz kommen, wer die Ergebnisse prüft und woran schließlich der Erfolg gemessen wird. Als Kriterien bieten sich Zeitersparnis, Qualität der Ergebnisse, Fehlerquote sowie Mitarbeiterakzeptanz an.
Nach Abschluss der Testphase ist eine bewusste Entscheidung nötig: Wird der Anwendungsfall angepasst, auf weitere Bereiche ausgeweitet oder wieder verworfen? Auf diese Weise können Sie praktische Erfahrungen sammeln, ohne sich zu früh in hohe Kosten oder unnötige Abhängigkeiten zu stürzen. Zudem zeigt sich, ob die gewählte KI-Lösung tatsächlich zum Arbeitsalltag passt und der erwartete geschäftliche Nutzen eintritt.
Betrachten Sie Pilotprojekte aber nicht mit der Bereitstellung eines KI-Tools als beendet – denn ab diesem Punkt entstehen dauerhafte Aufgaben: So müssen Sie Benutzer und Berechtigungen verwalten, Kosten und Nutzung kontrollieren, neue Anwendungsfälle bewerten und interne Vorgaben regelmäßig anpassen. Auch technische Änderungen, die Beantwortung von Sicherheitsfragen und der laufende Unterstützungsbedarf sind nicht zu unterschätzen. Legen Sie deshalb frühzeitig fest, welche Aufgaben intern übernommen werden und wo ein externer Dienstleister den sicheren Betrieb und die kontinuierliche Weiterentwicklung unterstützen kann – etwa im Rahmen dauerhaft betreuter Managed Services.
Wann ein externer Partner sinnvoll ist
Nicht immer verfügen Unternehmen intern über die personellen und fachlichen Ressourcen, um eine KI-Einführung in allen Facetten komplett inhouse durchzuführen. Gerade in kleinen und mittelständischen Betrieben kann Verstärkung durch einen externen Partner wie masea dabei helfen, die anfallenden Aufgaben zusammenzuführen, Anforderungen zu strukturieren und schließlich aus einzelnen Ideen und Vorgaben einen kontrollierten Einführungsprozess zu erstellen.
Sinnvoll ist die Hilfe durch einen Dienstleister vor allem dann, wenn Ihrem Unternehmen die Erfahrung mit KI-Plattformen fehlt oder mehrere Lösungen zur Auswahl stehen. Ein Systemhaus mit Fachkenntnissen in KI, Managed Services, IT-Sicherheit und Infrastruktur bringt in der Regel die nötige Erfahrung mit, um eine KI-Einführung unter Berücksichtigung der vorhandenen IT-Landschaft zu unterstützen und in ein stimmiges Gesamtkonzept zu überführen. Dabei sinkt auch das Risiko einer isolierten KI-Lösung, die später nur mit hohem Aufwand verwaltet oder in vorhandene Prozesse integriert werden kann.
Auch nach abgeschlossener KI-Einführung kann ein externer Partner entlasten. So unterstützt masea beispielsweise beim laufenden Betrieb, hilft bei der Verwaltung und der Bewertung neuer Anwendungsfälle und assistiert bei der regelmäßigen Überprüfung technischer und organisatorischer Vorgaben. Für unsere Kunden ist das ein greifbarer Vorteil: Sie müssen keine eigenen KI-Spezialistenteams aufbauen und behalten trotzdem die Kontrolle über Ziele, Kosten, Sicherheit und Weiterentwicklung. Zudem hilft unsere vielfältige Projekterfahrung, einen „Tunnelblick“ durch zu starke Fokussierung auf die Abläufe im eigenen Unternehmen zu vermeiden.
Fazit
Schatten-KI verschwindet nicht dadurch, dass Unternehmen das Thema ignorieren oder dauerhaft verbieten. Entscheidend ist es, klare Regeln zu schaffen, geeignete Lösungen zu finden und diese konsequent an konkreten geschäftlichen Anforderungen auszurichten. Wer klein startet, Erfahrungen sammelt und Verantwortlichkeiten eindeutig festlegt, begrenzt Risiken und zieht gleichzeitig echten Nutzen aus KI.
Für Geschäftsführer bedeutet das: Nicht Geschwindigkeit um jeden Preis ist ausschlaggebend, sondern ein kontrollierter und dauerhaft betreibbarer Einstieg. Wer frühzeitig handelt, lernt schneller, vermeidet unnötige Insellösungen und schafft die Grundlage für eine sichere und wirtschaftliche KI-Integration in Unternehmensprozesse.
Der erste Schritt muss kein umfangreiches KI-Projekt sein. Eine strukturierte Bestandsaufnahme zeigt, welche Anwendungen bereits genutzt werden, wo konkrete Potenziale liegen und welche Risiken zuerst reduziert werden sollten. Auf dieser Grundlage lässt sich ein sicherer und wirtschaftlich sinnvoller Einstieg planen.
René Keil, Inhaber des IT-Systemhauses masea
FAQ: Häufige Fragen rund um Schatten-KI
Inhaltsverzeichnis
Was ist Schatten-KI?
Als Schatten-KI wird der Einsatz von KI-Anwendungen bezeichnet, die ohne Wissen, Freigabe oder Kontrolle des Unternehmens für geschäftliche Aufgaben genutzt werden. Dazu gehören beispielsweise private Zugänge zu ChatGPT, Claude oder Gemini sowie nicht freigegebene Browser-Erweiterungen und Onlinedienste.
Warum nutzen Mitarbeiter nicht freigegebene KI-Dienste?
Mitarbeiter möchten Zeit im Arbeitsalltag sparen, wiederkehrende Aufgaben vereinfachen oder fehlende Funktionen ausgleichen. Schatten-KI entsteht daher häufig, wenn klare Regeln und geeignete, intern freigegebene Alternativen fehlen.
Welche Risiken entstehen durch Schatten-KI?
Zu den wichtigsten Risiken zählen die unkontrollierte Verarbeitung personenbezogener oder vertraulicher Daten, der mögliche Verlust von Geschäftsgeheimnissen und die ungeprüfte Übernahme fehlerhafter Ergebnisse. Hinzu kommen unklare Verantwortlichkeiten, fehlende Nachvollziehbarkeit und zusätzliche Insellösungen.
Sollte Schatten-KI grundsätzlich verboten werden?
Die geschäftliche Nutzung nicht freigegebener KI-Dienste sollte zunächst klar geregelt und gegebenenfalls untersagt werden. Ein dauerhaftes Verbot ist jedoch selten eine sinnvolle KI-Strategie. Es sollte möglichst schnell durch sichere Alternativen, verständliche Vorgaben und praxisnahe Einsatzmöglichkeiten ergänzt werden.
Welche Daten dürfen nicht in öffentliche KI-Dienste gelangen?
Ohne ausdrückliche Freigabe sollten insbesondere Kunden- und Personaldaten, Zugangsdaten, Verträge, Kalkulationen, interne Dokumentationen und Geschäftsgeheimnisse nicht in KI-Dienste gelangen. Welche Daten verarbeitet werden dürfen, hängt außerdem von der eingesetzten Lösung, dem Verwendungszweck und den vereinbarten Datenschutz- und Sicherheitsbedingungen ab.
Was ist der Unterschied zwischen Anonymisierung und Pseudonymisierung?
Bei der Anonymisierung werden personenbezogene Merkmale so entfernt, dass eine Zuordnung zu einer Person nicht mehr möglich ist. Bei der Pseudonymisierung werden Namen oder andere eindeutige Merkmale durch Kennzeichen ersetzt. Eine Zuordnung bleibt mit zusätzlichen Informationen grundsätzlich möglich.
Reicht eine Unternehmenslizenz für ChatGPT, Copilot oder eine andere KI aus?
Nein. Eine Unternehmenslizenz schafft zunächst nur eine technische Grundlage. Zusätzlich benötigt das Unternehmen klare Berechtigungen, zulässige Anwendungsfälle, Regeln für die Datenverarbeitung, Prüfschritte, Verantwortlichkeiten und geschulte Mitarbeiter.
Wer trägt die Verantwortung für KI-generierte Ergebnisse?
Die organisatorische und rechtliche Verantwortung für den KI-Einsatz liegt beim Unternehmen. Die zuständigen Mitarbeiter müssen KI-generierte Ergebnisse im Rahmen ihrer Aufgaben sachgerecht prüfen. Das gilt besonders für Kundenkommunikation, Angebote, Verträge, technische Aussagen und unternehmerische Entscheidungen.
Braucht jedes Unternehmen eine KI-Richtlinie?
Sobald KI geschäftlich genutzt wird, sind verbindliche Leitplanken sinnvoll. Die Richtlinie muss nicht umfangreich sein, sollte aber freigegebene Anwendungen, erlaubte Einsatzbereiche, ausgeschlossene Daten, Prüfpflichten, Zuständigkeiten und Ansprechpartner festlegen.
Wie lässt sich feststellen, ob bereits Schatten-KI genutzt wird?
Hilfreich ist eine offene und sachliche Bestandsaufnahme. Unternehmen sollten ihre Mitarbeiter fragen, welche Dienste sie verwenden, welche Aufgaben sie damit erledigen und welche Daten sie dabei verarbeiten. Ziel ist nicht die Schuldzuweisung, sondern das Erkennen von Risiken und sinnvollen Anwendungsfällen.
Wie sollte ein Unternehmen mit KI beginnen?
Empfehlenswert ist ein klar abgegrenztes Pilotprojekt mit einer kleinen Nutzergruppe. Vorab sollten Ziel, zulässige Daten, Verantwortlichkeiten und Erfolgskriterien festgelegt werden. Anschließend kann das Unternehmen entscheiden, ob der Anwendungsfall angepasst, ausgeweitet oder verworfen wird.
Wann ist ein externer IT-Partner sinnvoll?
Externe Unterstützung bietet sich an, wenn intern Erfahrung, Zeit oder technische Ressourcen fehlen. Ein Systemhaus kann bei Bestandsaufnahme, Auswahl, Absicherung, Integration, Benutzerverwaltung und laufendem Betrieb unterstützen und dabei die bestehende IT-Landschaft berücksichtigen.
Muss der Betriebsrat bei der KI-Einführung beteiligt werden?
Je nach Einsatzgebiet und technischer Ausgestaltung können Informations-, Beratungs- oder Mitbestimmungsrechte bestehen. Das gilt insbesondere, wenn die Lösung Verhalten oder Leistung von Mitarbeitern erfassen oder auswerten kann (§ 87 BetrVG).