Stellen Sie sich eine neu eingestellte Person vor, deren Team KI-Werkzeuge nutzt, der aber nie eine Richtlinie zu freigegebenen Werkzeugen gezeigt wurde. Später fragt die IT, warum Kundendaten in einem persönlichen Konto gelandet sind. Das Beispiel ist erfunden, die Lücke in den Kontrollen jedoch real: Das Verhalten anderer Beschäftigter ist keine Freigabe.
Zwischen „Niemand hat Nein gesagt“ und „Das ist tatsächlich genehmigt“ entstehen viele alltägliche Fehler beim KI-Einsatz am Arbeitsplatz. Die allgemeinen Sicherheitsregeln sind nicht das Thema dieses Artikels. Sie werden bereits unter Datenschutz und Datenhygiene bei KI am Arbeitsplatz behandelt. Hier geht es um einen engeren, praktischen Schritt, den viele vollständig auslassen: die Richtlinie des eigenen Arbeitgebers wirklich zu finden, die entscheidenden Abschnitte zu lesen und zu wissen, was zu tun ist, wenn es keine solche Richtlinie gibt.
Was eine KI-Richtlinie am Arbeitsplatz tatsächlich ist
Eine nutzbare Richtlinie ist ein konkretes, versioniertes Dokument oder eine Intranetseite mit einer verantwortlichen Stelle. Sie sollte freigegebene Werkzeuge und Kontokonfigurationen, zulässige Daten, Anforderungen an menschliche Prüfung und Offenlegung, das Verfahren zur Freigabe neuer Werkzeuge, die Meldung von Vorfällen und mögliche Folgen benennen. Die Nachricht oder Gewohnheit einer Kollegin oder eines Kollegen ist kein Ersatz.
Organisationen veröffentlichen solche Regeln beispielsweise in einem IT-Sicherheitswiki, in der Richtlinie zur zulässigen Nutzung, im Beschäftigtenhandbuch, im Beschaffungskatalog oder in einer ausdrücklich benannten Liste freigegebener Werkzeuge. Notieren Sie Titel, verantwortliche Stelle, Version oder Datum und Link, damit Sie spätere Änderungen erkennen können.
Nach diesem Dokument zu fragen, ist angemessen. Artikel 4 der EU-KI-Verordnung verpflichtet erfasste Anbieter und Betreiber, unter Berücksichtigung von Kontext und Risiko Maßnahmen für eine ausreichende KI-Kompetenz der Beschäftigten und anderer Personen zu ergreifen, die in ihrem Auftrag KI-Systeme betreiben (KI-Verordnung, Artikel 4). Ob und wie diese Vorschrift auf eine bestimmte Organisation anwendbar ist, ist eine Rechtsfrage. Sie erlaubt einer beschäftigten Person für sich genommen weder ein bestimmtes Werkzeug noch eine bestimmte Datenkategorie.
Wo Sie suchen sollten
Bevor Sie annehmen, dass keine Richtlinie existiert, prüfen Sie diese Orte in der folgenden Reihenfolge:
- Intranet oder Beschäftigtenhandbuch Ihres Unternehmens. Suchen Sie nach „AI“, „artificial intelligence“, „generative AI“, „KI“ und den Namen konkreter Werkzeuge wie ChatGPT, Copilot oder Gemini. Richtlinien liegen mitunter unter IT-Sicherheit oder zulässiger Nutzung statt in einem eigenen KI-Abschnitt.
- Liste freigegebener Software der IT oder Informationssicherheit. Viele Unternehmen führen für verschiedene Kategorien eine Liste genehmigter Werkzeuge. KI-Werkzeuge werden dort zunehmend mit einer bestimmten Produktstufe oder Konfiguration aufgeführt.
- Unterlagen zur Einarbeitung oder Aufzeichnung der jüngsten Belegschaftsversammlung. Mitunter wird eine KI-Richtlinie einmal in einer Besprechung angekündigt und danach nicht wiederholt. Prüfen Sie, ob Sie die Mitteilung verpasst haben.
- Ihre Führungskraft. Eine direkte Frage wie „Gibt es ein freigegebenes KI-Werkzeug für unser Team, und welche Inhalte darf ich dort nicht eingeben?“ liefert meist schneller eine belastbare Antwort als eine weitere Suche allein.
- IT oder Informationssicherheit. Wenn die ersten vier Stellen nichts ergeben, fragen Sie das für Werkzeugfreigaben zuständige Team namentlich und schriftlich, damit die Antwort dokumentiert ist.
Bewahren Sie die Antwort mit Titel, verantwortlicher Stelle, Version oder Gültigkeitsdatum und Link an einem freigegebenen dienstlichen Ort auf. Kopieren Sie vertrauliche Richtlinieninhalte nicht in ein persönliches Notizkonto. Prüfen Sie die Freigabe erneut, bevor eine neue Datenkategorie, ein neues Werkzeug, ein anderes Konto oder ein externes Arbeitsergebnis hinzukommt.
Das folgenreichste Missverständnis
Eine riskante Annahme lautet, Schweigen bedeute Erlaubnis: „Niemand hat mir gesagt, dass ich ChatGPT dafür nicht verwenden darf, also muss es in Ordnung sein.“ Wenn Sie keine Freigabe finden, behandeln Sie sensible Daten als nicht für dieses Werkzeug genehmigt. Fragen Sie die verantwortliche Stelle, bevor Sie KI mit Kundendaten, unveröffentlichten Plänen, Finanzdaten oder personenbezogenen Informationen anderer Beschäftigter verwenden. Schweigen belegt weder eine Freigabe noch ein Verbot. Die Kontrollfrage bleibt offen.
Der zweite häufige Fehler geht in die andere Richtung: Eine für einen bestimmten Anwendungsfall geltende Richtlinie wird auf jeden anderen Fall übertragen. Wenn ein Unternehmen ein betrieblich konfiguriertes KI-Werkzeug zum Entwerfen interner Mitteilungen freigegeben hat, gilt diese Freigabe nicht zwangsläufig für Kundenkommunikation, Personalentscheidungen oder Daten anderer Beschäftigter. Lesen Sie den Geltungsbereich und suchen Sie nicht nur nach einem allgemeinen „Ja“.
Ein konkretes Beispiel
Zwei Beschäftigte desselben mittelgroßen Unternehmens möchten mit KI einen Kundenauftrag entwerfen. Eine Person durchsucht das Intranet, findet eine Seite zu einem betrieblich konfigurierten Werkzeug mit einer bestimmten Anmeldung und verwendet dieses. Die andere nimmt an, „KI ist KI“, und fügt Vertragsangaben des Kunden in ihr persönliches ChatGPT-Konto ein, weil jemand in einem anderen Team dasselbe ohne erkennbares Problem tut. Nur eine der beiden Personen hat tatsächlich geprüft, was der Arbeitgeber freigegeben hat. Die andere verlässt sich auf eine Annahme, die bisher lediglich kein sichtbares Problem verursacht hat. Der Unterschied wird spätestens dann sichtbar, wenn ein Audit, eine Kundenbeschwerde oder ein Datenschutzvorfall die Frage ausdrücklich stellt.
Wenn Sie für das genaue Werkzeug und die betreffende Datenkategorie keine klare Antwort finden, geben Sie keine Kundendaten, personenbezogenen Informationen anderer Beschäftigter oder vertraulichen Inhalte ein, bis eine befugte Stelle schriftlich geantwortet hat. In der EU muss jede Verarbeitung personenbezogener Daten außerdem zu den dokumentierten DSGVO-Rollen, Zwecken, Rechtsgrundlagen, Sicherheitsmaßnahmen und Auftragsverarbeitungsvereinbarungen der Organisation passen. Dieser Artikel kann diese Voraussetzungen für einen bestimmten Arbeitgeber nicht feststellen (DSGVO). Wenn bereits versehentlich Daten eingegeben wurden, nutzen Sie den vorgesehenen Meldeweg für Vorfälle, statt den Fehler zu verschweigen oder eigenmächtig zu beheben. Lesen Sie auch Keine vertraulichen Arbeitsdaten in private KI-Konten eingeben.
Was eine belastbare Richtlinie üblicherweise festlegt
Lesen Sie das Dokument auf die folgenden Kontrollen hin, statt nur nach einer allgemeinen Überschrift wie „KI ist erlaubt“ zu suchen:
| Worauf Sie achten sollten | Warum es wichtig ist |
|---|---|
| Namentlich genannte freigegebene Werkzeuge | „KI ist erlaubt“ ohne ein konkretes Werkzeug liefert keine nutzbare Freigabe |
| Erforderliches Konto, Mandant oder erforderliche Konfiguration | Der Markenname allein zeigt nicht, ob ein persönliches Konto oder die Unternehmensumgebung freigegeben ist |
| Verbotene oder eingeschränkte Datenkategorien | Für Kundendaten, Finanzinformationen, Quellcode und Personaldaten gelten häufig andere Regeln als für allgemeine Entwürfe |
| Verfahren zur Freigabe eines neuen Werkzeugs | Es zeigt, was zu tun ist, wenn das gewünschte Werkzeug noch nicht auf der Liste steht |
| Erforderliche menschliche Prüfung und unzulässige Entscheidungen | Es zeigt, wo Ergebnisse geprüft werden müssen und wo KI überhaupt nicht eingesetzt werden darf |
| Offenlegungspflichten | Es klärt, ob Sie Ihre Führungskraft oder einen Kunden über den KI-Einsatz informieren müssen. Wann KI-Nutzung am Arbeitsplatz offengelegt werden muss bietet einen Entscheidungsrahmen, sobald Sie die konkrete Regel Ihrer Richtlinie kennen |
| Aufbewahrung, Dokumentation und Vorfallmeldung | Es klärt, was protokolliert werden muss und was nach einer versehentlichen Eingabe oder einem unsicheren Ergebnis zu tun ist |
| Folgen einer nicht genehmigten Nutzung | Es verdeutlicht die tatsächlichen Konsequenzen statt nur ein abstraktes Risiko |
Wenn das Dokument wesentliche Kontrollen aus dieser Tabelle nicht enthält, behandeln Sie es für den geplanten Einsatz als unvollständig und fragen Sie die befugte verantwortliche Stelle nach den fehlenden Angaben.
Wenn tatsächlich keine Richtlinie existiert
Manche Organisationen haben noch keine eigene KI-Richtlinie erstellt. Das hebt bestehende Vorgaben zu Sicherheit, Vertraulichkeit, Datenschutz, zulässiger Nutzung, Beschaffung oder Kundenbeziehungen nicht auf. Gehen Sie dann wie folgt vor:
- Bitten Sie die befugte Stelle, häufig IT, Informationssicherheit, Datenschutz, Rechtsabteilung, Beschaffung oder eine beauftragte Führungskraft, um eine schriftliche Entscheidung zum genauen Werkzeug, Konto, Anwendungsfall und zur Datenkategorie.
- Wählen Sie bei Kundendaten, personenbezogenen Informationen anderer Menschen oder vertraulichen Geschäftsinformationen die vorsichtigste Auslegung, unabhängig davon, wie bequem eine Abkürzung erscheinen mag.
- Stellen Sie die Frage schriftlich, etwa per E-Mail oder Slack-Nachricht an eine namentlich genannte Person, damit Ihre Anfrage dokumentiert ist und Sie nicht von einer später nicht belegbaren mündlichen Antwort abhängen.
- Wenn Sie regelmäßig mit besonders sensiblen Daten arbeiten, sprechen Sie die fehlende Richtlinie als konkrete, praktische Lücke an. Formulieren Sie keine allgemeine Beschwerde, sondern eine umsetzbare Bitte wie: „Können wir auf einer Seite festhalten, welches KI-Werkzeug für Arbeiten der Kategorie X freigegeben ist?“
Finden Sie Ihre Richtlinie in dieser Woche
Nutzen Sie die Lesekarte für KI-Richtlinien am Arbeitsplatz, um die Richtlinie Ihres Arbeitgebers zu finden, die Regeln zu Werkzeugen, Daten und Freigabeverfahren zu dokumentieren und die zuständige Stelle für offene Fragen festzuhalten. Wenn keine Richtlinie existiert, führt die Karte auch durch vorsichtige Standardfragen an Ihre Führungskraft. Beide Ergebnisse sind nützlicher als weitere Vermutungen.
Quellen und Prüfgrenze
- Die interne Richtlinie des ICO zur KI-Nutzung ist ein offizielles Praxisbeispiel zu freigegebener Nutzung, personenbezogenen Daten, Ergebnisprüfung und Vorfallbehandlung. Sie ist keine Vorlage, die die Regeln eines anderen Arbeitgebers ersetzt.
- Die Leitlinien des irischen National Cyber Security Centre zu generativer KI für öffentliche Stellen veranschaulichen Beschränkungen für freigegebene Werkzeuge und Geschäftsdaten in einem stark regulierten Umfeld.
Dieser Artikel hilft, Richtlinienkontrollen zu finden. Er legt weder Arbeitnehmerrechte und Verträge noch DSGVO-Rollen oder die EU-KI-Verordnung für eine bestimmte Organisation aus. Eine qualifizierte arbeitsrechtliche, datenschutzrechtliche und sonstige rechtliche Prüfung steht noch aus.
