Generative KI ist längst im Arbeitsalltag angekommen – meistens schneller als die Regeln dafür. Diese Lücke ist das eigentliche Risiko.
Baustein 1: Datenklassen definieren
Nicht jedes Dokument darf in ein KI-Tool. Bewährt hat sich eine dreistufige Matrix: öffentlich (frei nutzbar), intern (nur in freigegebenen Enterprise-Umgebungen), vertraulich/personenbezogen (nur nach ausdrücklicher Freigabe oder gar nicht).
Baustein 2: Die richtige Vertrags- und Tarifebene
Kostenlose Consumer-Accounts sind für Unternehmensdaten regelmäßig ungeeignet. Business- und Enterprise-Tarife bieten in der Regel Auftragsverarbeitungsvertrag, EU-Datenverarbeitung und den Ausschluss von Modelltraining mit Ihren Eingaben. Diese Punkte gehören schriftlich geprüft, nicht angenommen.
Baustein 3: Geschäftsgeheimnisse und Urheberrecht
Wer Betriebsgeheimnisse in ein ungeprüftes Tool eingibt, riskiert den Schutzstatus nach dem Geschäftsgeheimnisgesetz, weil angemessene Geheimhaltungsmaßnahmen fehlen. Bei Ausgaben gilt: KI-generierte Inhalte genießen keinen eigenen Urheberrechtsschutz, können aber fremde Rechte berühren – Prüfung bleibt Pflicht.
Baustein 4: Transparenz und Kennzeichnung
Chatbots müssen offenlegen, dass Nutzer mit einer KI sprechen. Synthetische Bilder, Audio- und Videoinhalte sind zu kennzeichnen. Intern empfiehlt sich eine Regel, wann KI-Unterstützung im Kundenkontakt genannt wird – das ist Vertrauensarbeit, nicht nur Compliance.
Der 5-Punkte-Start für die IT
- Freigegebene Tools bereitstellen und Consumer-Accounts sperren
- Datenklassen-Matrix veröffentlichen
- Prompt- und Ergebnisrichtlinie in zwei Seiten
- Schulung für Vielnutzergruppen
- Feedbackkanal für Fehlausgaben und Vorfälle
Häufige Fragen zu diesem Thema
Ist ChatGPT DSGVO-konform nutzbar?
Mit Business-/Enterprise-Vertrag, AV-Vertrag und klaren Datenregeln lässt sich der Einsatz datenschutzkonform gestalten. Ohne diese Grundlagen ist die Eingabe personenbezogener Daten kritisch.
Müssen wir KI-generierte Texte kennzeichnen?
Gegenüber Kunden ist Transparenz bei Chatbots und synthetischen Medien vorgeschrieben. Für unterstützt erstellte interne Texte besteht keine gesetzliche Kennzeichnungspflicht.
Wer haftet für falsche KI-Ausgaben?
Das Unternehmen, das sie verwendet. Deshalb ist die dokumentierte menschliche Prüfpflicht der zentrale Kontrollpunkt.