Laut dem Microsoft Work Trend Index 2024 nutzen 75 % der Wissensarbeiter generative KI bei der Arbeit, und 78 % von ihnen bringen die Tools selbst mit, ohne Wissen des Arbeitgebers. Dieses Phänomen, oft als Schatten-KI (Shadow AI) bezeichnet, bringt Unternehmen konkrete Risiken in fünf Schlüsselbereichen. Gehen wir sie durch und zeigen wir, wie man sie löst.
1. Abfluss vertraulicher Daten und Geschäftsgeheimnisse
Das ist das schwerwiegendste und unmittelbarste Risiko. Wenn ein Mitarbeiter einen Firmenvertrag, einen Finanzbericht, ein Strategiedokument oder personenbezogene Daten von Kunden in ChatGPT eingibt, verlassen diese Daten Ihre Kontrolle. Bei der kostenlosen wie bei den kostenpflichtigen persönlichen Versionen von ChatGPT (Free, Plus, Pro) und den meisten anderen öffentlichen KI-Tools gilt: Der Anbieter verwendet die Eingaben standardmäßig zum Training des Modells, sofern der Nutzer das nicht selbst abschaltet. Ihr Geschäftsgeheimnis kann so Teil einer Wissensbasis werden, die jedem zugänglich ist.
Die Lösung ist zweigeteilt. Erstens: Legen Sie klare Regeln fest, welche Informationen nicht in KI-Tools eingegeben werden dürfen, mindestens personenbezogene Daten, Geschäftsgeheimnisse, geschütztes Know-how und interne Finanzdaten. Zweitens: Erwägen Sie den Einsatz von Unternehmensversionen der KI-Tools (ChatGPT Business, früher Team, ChatGPT Enterprise, Microsoft 365 Copilot, Azure OpenAI), bei denen der Anbieter vertraglich garantiert, dass die Daten nicht zum Training verwendet werden und in einer kontrollierten Umgebung bleiben. Der Preisunterschied ist im Vergleich zum Risiko eines Datenabflusses vernachlässigbar.
2. DSGVO-Compliance: personenbezogene Daten in der KI
Die Eingabe personenbezogener Daten in ein KI-Tool ist eine Verarbeitung personenbezogener Daten im Sinne der DSGVO. Das bringt eine Reihe von Pflichten mit sich. Sie brauchen eine Rechtsgrundlage für die Verarbeitung (Art. 6 DSGVO). Sie müssen die betroffenen Personen darüber informieren, dass Sie ihre Daten mittels KI verarbeiten. Bei einer Übermittlung in Drittländer müssen Sie ein angemessenes Schutzniveau nach Kapitel V DSGVO sicherstellen. OpenAI ist zwar im Rahmen des EU-US Data Privacy Framework zertifiziert und bietet Unternehmenskunden auch eine Datenspeicherung in der EU an, bei der kostenlosen und der persönlichen Version von ChatGPT haben Sie aber keinen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und die Daten werden standardmäßig zum Training verwendet.
Ein konkretes Beispiel: Die Buchhalterin Ihres Unternehmens gibt eine Rechnung mit personenbezogenen Daten eines Kunden in ChatGPT ein, damit die KI eine Zusammenfassung erstellt. Damit haben Sie soeben personenbezogene Daten an einen Dritten (OpenAI) übermittelt, ohne Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, ohne Information der betroffenen Person und wahrscheinlich ohne Datenschutz-Folgenabschätzung (DSFA). Die Geldbuße der Datenschutzbehörde kann bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen.
Lösung: Führen Sie eine DSFA für den Einsatz von KI-Tools durch. Schließen Sie mit dem Auftragsverarbeiter (OpenAI, Microsoft) einen Auftragsverarbeitungsvertrag (AVV). Definieren Sie Prozesse, die sicherstellen, dass personenbezogene Daten nur von befugten Personen und nur in zulässigen Fällen in die KI eingegeben werden.
3. Interne KI-Richtlinie: Regeln für den KI-Einsatz
Ohne klare Regeln ist der KI-Einsatz im Unternehmen wie Autofahren ohne Straßenverkehrsordnung; früher oder später kommt es zum Unfall. Eine KI-Richtlinie (AI Use Policy) ist ein internes Dokument, das festlegt, welche KI-Tools freigegeben sind, welche Daten eingegeben werden dürfen und welche nicht, wer für die Aufsicht über den KI-Einsatz verantwortlich ist, wie mit KI-Ausgaben umgegangen wird (Qualitätskontrolle, Faktenprüfung) und welche Sanktionen bei Verstößen gelten.
Dieses Dokument muss keine 50 Seiten haben. Eine kurze, verständliche Anleitung auf 3 bis 5 Seiten, die die wichtigsten Szenarien abdeckt, genügt. Wichtig ist, dass die Mitarbeiter sie tatsächlich lesen und unterschreiben. Die KI-Richtlinie ist zudem der praktischste Weg, die Erfüllung der Pflicht zur KI-Kompetenz nach Art. 4 AI Act nachzuweisen, die seit dem 2. Februar 2025 gilt; eine schriftliche Richtlinie ist nicht ausdrücklich vorgeschrieben, die Europäische Kommission empfiehlt aber, Schulungen und Regeln intern zu dokumentieren.
4. Mitarbeiterschulung: KI-Kompetenz als Pflicht
Der EU AI Act (Verordnung (EU) 2024/1689) verpflichtet in Art. 4 Anbieter wie Betreiber von KI-Systemen, Maßnahmen zur Förderung der KI-Kompetenz (AI Literacy) ihrer Mitarbeiter und anderer Personen zu ergreifen, die in ihrem Auftrag mit KI arbeiten. Die Pflicht gilt seit dem 2. Februar 2025. Die Novelle des AI Acts (der sogenannte Digital Omnibus, Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat sie insofern abgemildert, als das Unternehmen kein bestimmtes Kompetenzniveau jedes Einzelnen garantieren muss; es muss aber nachweislich Maßnahmen ergreifen (Schulungen, Regeln). Der Aufschub der Pflichten für Hochrisiko-KI-Systeme auf Dezember 2027 betrifft diese Pflicht nicht, und seit dem 3. August 2026 wird sie von den nationalen Marktüberwachungsbehörden beaufsichtigt; in Tschechien soll das nach dem in Vorbereitung befindlichen Anpassungsgesetz vor allem die Telekommunikationsbehörde ČTÚ sein.
In der Praxis heißt das: Schulen Sie die Mitarbeiter in den Grundlagen der KI (was KI kann und was nicht), in den Risiken des KI-Einsatzes am Arbeitsplatz, in der KI-Richtlinie und den Regeln des Unternehmens sowie in der praktischen und effizienten Nutzung der freigegebenen Tools. Die Schulung muss nicht kompliziert sein. Wir empfehlen eine Kombination aus einem kurzen E-Learning-Modul (30 bis 60 Minuten) und einem praktischen Workshop zu den konkreten Anwendungsfällen im Unternehmen. Wichtig ist, die Schulung zu dokumentieren, denn im Fall einer Kontrolle müssen Sie nachweisen, welche Maßnahmen Sie ergriffen haben.
5. Qualität der Ausgaben und Haftung: Wer haftet für KI-Fehler?
KI-Tools wie ChatGPT erzeugen Ausgaben, die sachliche Fehler (sogenannte Halluzinationen), veraltete Informationen, Urheberrechtsverletzungen (Wiedergabe geschützter Inhalte) oder Verzerrungen (Bias) enthalten können. Verwendet ein Mitarbeiter eine fehlerhafte KI-Ausgabe in Kundenunterlagen, einem Rechtsdokument oder einer Finanzanalyse, haftet das Unternehmen, nicht die KI.
Lösung: Führen Sie eine verpflichtende menschliche Kontrolle (Human-in-the-Loop) für alle KI-Ausgaben ein, die das Unternehmen verlassen oder Entscheidungen dienen. Legen Sie fest, welche Arten von Ausgaben eine Prüfung durch einen erfahrenen Mitarbeiter erfordern. Untersagen Sie es, ungeprüfte KI-Ausgaben als eigene Arbeit zu präsentieren. Und vor allem: Klären Sie die Mitarbeiter über die Grenzen der KI auf, damit sie Ausgaben nicht unkritisch übernehmen.
Was Sie gleich morgen tun sollten
Wenn Sie das Thema KI im Unternehmen bisher nicht angegangen sind, empfehlen wir folgende ersten Schritte. Führen Sie eine anonyme Umfrage unter den Mitarbeitern durch und finden Sie heraus, wer KI wie nutzt. Identifizieren Sie die riskantesten Szenarien (Arbeit mit personenbezogenen Daten und Geschäftsgeheimnissen). Erstellen Sie eine grundlegende KI-Richtlinie; einfache, aber klare Regeln genügen. Planen Sie eine Schulung zur KI-Kompetenz, dazu sind Sie gesetzlich verpflichtet. Und erwägen Sie den Einsatz von Unternehmensversionen der KI-Tools mit garantierter Datensicherheit.
Wie wir Ihnen helfen können
Bei Surman s.r.o. befassen wir uns genau mit diesen Fragen. Mgr. Jaroslav Surman verfügt über praktische Erfahrung aus der Einführung von KI und KI-Governance in Unternehmen unterschiedlicher Größe. Wir bieten die Erstellung einer auf Ihr Unternehmen zugeschnittenen KI-Richtlinie, eine DSGVO-Bewertung für KI-Tools, Schulungen zur KI-Kompetenz für Mitarbeiter und Führungskräfte, die Auswahl und Einführung sicherer KI-Tools und die vollständige Vorbereitung auf den AI Act. In Zusammenarbeit mit der Rechtsanwaltskanzlei von Mgr. Barbora Surmanová decken wir auch die rechtlichen Aspekte ab: Verträge mit KI-Anbietern, DSFA und Haftungsfragen.
Sie möchten KI im Unternehmen unter Kontrolle haben? Kontaktieren Sie uns für ein unverbindliches Erstgespräch. Mehr erfahren Sie auf der Seite KI-Beratung.
Stand: August 2026.
