KI im Unternehmen: Die vollständige Referenz

Künstliche Intelligenz schreibt E-Mails, fasst Dokumente zusammen und wertet Daten aus. Der Nutzen ist enorm – aber sobald personenbezogene oder vertrauliche Firmendaten ins Spiel kommen, wird KI zum Datenschutzthema. Die gute Nachricht: Mit den richtigen Tools und klaren Regeln lässt sich KI im Unternehmen sicher einsetzen.

Das eigentliche Risiko: Schatten-KI

Das größte Problem ist selten das Tool selbst, sondern der unkontrollierte Einsatz. Mitarbeiter kopieren Kundendaten, Verträge oder interne Unterlagen in die kostenlose Version eines KI-Chatbots – oft mit privatem Account. Niemand weiß, was damit passiert. Genau das nennt man „Schatten-KI", und es ist heute in vielen Betrieben Realität.

Wie sicher sind Copilot, ChatGPT und Claude?

Entscheidend ist, in welcher Variante und mit welchem Konto Sie ein Tool nutzen. Die Unterschiede sind erheblich:

Microsoft Copilot hat für Unternehmen einen klaren Vorteil: Er läuft im geschützten Raum Ihrer bestehenden Microsoft-365-Umgebung und greift nur auf Daten zu, auf die der jeweilige Nutzer ohnehin Zugriff hat. Das macht ihn zum naheliegenden Einstieg für viele KMU.

Wie sieht eine gute KI-Richtlinie aus?

Eine KI-Richtlinie ist ein kurzes, schriftliches Regelwerk, das festlegt, wie in Ihrem Unternehmen mit KI-Tools umgegangen wird. Sie muss nicht seitenlang sein – wichtiger ist, dass sie tatsächlich gelesen und angewendet wird. Folgende Punkte sollte eine gute Richtlinie mindestens abdecken:

• Erlaubte Tools: Welche KI-Anwendungen (z.B. Microsoft Copilot, ChatGPT Team) sind freigegeben – und welche ausdrücklich nicht?
• Erlaubte Daten: Welche Informationen dürfen in ein KI-Tool eingegeben werden, welche niemals (Patientendaten, Personalunterlagen, Verträge mit Geheimhaltungsklauseln)?
• Konten-Regelung: Ausschließlich geschäftliche Konten, keine privaten Gratis-Zugänge für dienstliche Zwecke.
• Kennzeichnungspflicht: Sollen KI-generierte Inhalte (Texte, Bilder) als solche gekennzeichnet werden, bevor sie extern verwendet werden?
• Prüfpflicht: KI-Ausgaben müssen von einem Menschen geprüft werden, bevor sie verwendet werden – KI kann überzeugend falsche Informationen liefern ("Halluzinationen").
• Ansprechpartner: Wer ist bei Unsicherheiten oder neuen Tool-Wünschen der richtige Ansprechpartner im Unternehmen?

Warum KI-Schulung entscheidend ist

Die beste Richtlinie nützt nichts, wenn niemand sie kennt oder versteht, warum sie wichtig ist. KI-Schulungen sollten dabei über reine Regel-Vermittlung hinausgehen und praktisch zeigen, wie sich Tools sicher und wirkungsvoll einsetzen lassen:

• Sensibilisierung für Risiken: Konkrete Beispiele, was bei unbedachter Nutzung passieren kann (Datenabfluss, DSGVO-Verstoß, falsche KI-Antworten, die unhinterfragt übernommen werden).
• Praktischer Umgang mit den freigegebenen Tools: Wie formuliere ich gute Anfragen (siehe Prompt Engineering weiter unten), wie prüfe ich Ergebnisse kritisch?
• Grenzen der KI verstehen: KI-Modelle erfinden mit großer Selbstsicherheit plausibel klingende, aber falsche Informationen – dieses Verhalten sollte jedem Nutzer bekannt sein.
• Regelmäßige Auffrischung: KI-Tools entwickeln sich schnell weiter; eine einmalige Schulung reicht selten für mehr als ein Jahr.

Eine gut durchgeführte Schulung zahlt sich doppelt aus: Sie reduziert das Risiko von Fehlnutzung und erhöht gleichzeitig den tatsächlichen Nutzen, den Mitarbeiter aus den freigegebenen Tools ziehen – viele nutzen KI-Tools sonst nur oberflächlich, weil ihnen die Möglichkeiten nicht bewusst sind.

Die fünf wichtigsten Regeln für DSGVO-konforme KI

• Geschäftliche Konten statt privater: Nur Business-Versionen mit klaren Datenschutzzusagen nutzen – nie private Gratis-Accounts für Firmendaten.
• Klare Nutzungsrichtlinie: Schriftlich festhalten, welche Daten in KI-Tools dürfen – und welche niemals (z. B. Gesundheitsdaten, Personaldaten).
• EU-Datenverarbeitung bevorzugen: Auf Serverstandort und Auftragsverarbeitungsvertrag (AVV) achten.
• Mitarbeiter schulen: Die beste Richtlinie nützt nichts, wenn das Team sie nicht kennt. Sensibilisierung ist entscheidend.
• Im Verarbeitungsverzeichnis dokumentieren: Der KI-Einsatz gehört in Ihre Datenschutz-Dokumentation.

Die EU-KI-Verordnung (AI Act) einfach erklärt

Die EU-KI-Verordnung (AI Act) ist das weltweit erste umfassende Gesetz zur Regulierung von KI-Systemen und gilt EU-weit. Statt alle KI-Anwendungen gleich zu behandeln, verfolgt sie einen risikobasierten Ansatz – die Anforderungen richten sich danach, wie riskant eine bestimmte Anwendung ist:

• Unannehmbares Risiko (verboten): z.B. Social Scoring durch Behörden, bestimmte Formen biometrischer Überwachung – für die allermeisten Unternehmen nicht relevant.
• Hohes Risiko: KI in Bereichen wie Personalauswahl, Kreditvergabe oder kritischer Infrastruktur – hier gelten umfangreiche Dokumentations- und Prüfpflichten.
• Begrenztes Risiko: Chatbots und generative KI-Tools (wie ChatGPT, Copilot) – hier gelten vor allem Transparenzpflichten, etwa die Kennzeichnung, dass man mit einer KI interagiert bzw. dass Inhalte KI-generiert sind.
• Minimales Risiko: Die meisten alltäglichen KI-Anwendungen (Spam-Filter, einfache Empfehlungen) – kaum zusätzliche Pflichten.

Für die meisten kleinen und mittleren Unternehmen, die KI-Tools wie Copilot oder ChatGPT für Textarbeit, Recherche oder Zusammenfassungen nutzen, fällt der Einsatz in die Kategorie "begrenztes Risiko" – die praktischen Auswirkungen sind überschaubar, sofern eine ohnehin sinnvolle Transparenz gegenüber Kunden und Mitarbeitern gewahrt bleibt. Wer allerdings KI in sensibleren Bereichen einsetzt (z.B. automatisierte Bewerberauswahl), sollte die Anforderungen an Hochrisiko-Systeme genauer prüfen.

Prompt Engineering: Bessere Ergebnisse durch bessere Fragen

Prompt Engineering bezeichnet die Fähigkeit, KI-Modelle durch geschickt formulierte Anfragen (Prompts) zu deutlich besseren, präziseren Ergebnissen zu bringen. Der Unterschied zwischen einer vagen und einer gut formulierten Anfrage ist oft enorm:

• Kontext liefern: Statt "Schreib eine E-Mail" lieber "Schreib eine freundliche, aber bestimmte E-Mail an einen Kunden, der seit 30 Tagen eine Rechnung nicht bezahlt hat, mit Zahlungsfrist von 7 Tagen."
• Rolle zuweisen: "Antworte als erfahrener Steuerberater" oder "Formuliere wie ein technischer Redakteur" lenkt Tonfall und Fachlichkeit der Antwort.
• Format vorgeben: Explizit angeben, ob eine Antwort als Liste, Tabelle, Fließtext oder in einer bestimmten Länge gewünscht ist.
• Iterativ arbeiten: Die erste Antwort muss nicht perfekt sein – Nachfragen wie "Mach es kürzer" oder "Formuliere das förmlicher" verbessern das Ergebnis schrittweise.
• Beispiele geben: Ein oder zwei Beispiele für die gewünschte Art von Antwort helfen der KI oft mehr als eine lange abstrakte Beschreibung.

KI und Automatisierung zusammen denken

KI-Chatbots wie Copilot oder ChatGPT sind stark, wenn ein Mensch die Anfrage stellt und das Ergebnis prüft. Ihr volles Potenzial entfalten sie aber oft erst in Kombination mit Automatisierung – wenn wiederkehrende Aufgaben nicht mehr manuell angestoßen werden müssen, sondern automatisch ablaufen. Beispiele aus der Praxis:

• Eingehende E-Mails werden automatisch kategorisiert und zusammengefasst, bevor ein Mitarbeiter sie überhaupt öffnet.
• Angebote oder Standardantworten werden aus strukturierten Daten automatisch per KI vorformuliert und nur noch zur Freigabe vorgelegt.
• Dokumente werden automatisch klassifiziert und in die richtige Ablage einsortiert.

Wo genau sich das für Ihr Unternehmen lohnt, hängt stark von den vorhandenen Prozessen ab. Eine ausführliche Einordnung, wie sich wiederkehrende Aufgaben mit Werkzeugen wie n8n oder Make automatisieren lassen, finden Sie in unserem Automatisierungs-Bereich.

Checkliste: KI-Einsatz im Unternehmen

• Gibt es eine schriftliche, kurze KI-Richtlinie, die Mitarbeiter tatsächlich kennen?
• Werden ausschließlich geschäftliche Konten für dienstliche KI-Nutzung verwendet?
• Ist klar definiert, welche Daten niemals in ein KI-Tool eingegeben werden dürfen?
• Wurden Mitarbeiter zu Chancen und Risiken von KI geschult – nicht nur einmalig?
• Werden KI-Ausgaben grundsätzlich von einem Menschen geprüft, bevor sie verwendet werden?
• Ist der KI-Einsatz im Verarbeitungsverzeichnis dokumentiert?
• Wurde geprüft, ob eingesetzte KI-Anwendungen unter die Hochrisiko-Kategorie der EU-KI-Verordnung fallen könnten?

Fazit: Nicht verbieten, sondern Rahmen geben

KI zu verbieten funktioniert nicht – die Mitarbeiter nutzen sie ohnehin. Klüger ist es, einen sicheren Rahmen zu schaffen: die richtigen Tools, klare Regeln und geschulte Mitarbeiter. So nutzen Sie die enormen Vorteile der KI, ohne sich rechtlich angreifbar zu machen.