Inhalt
Kurzantwort
Legen Sie fest, welche KI-Dienste freigegeben sind und welche Informationen dort eingegeben werden dürfen. Passwörter, Schlüssel und andere Geheimnisse gehören nie hinein; interne, personenbezogene oder Kundendaten nur nach Prüfung des Dienstes. Ergebnisse werden vor der Verwendung von Menschen geprüft. Nach Art. 4 AI Act müssen Unternehmen, die KI-Systeme einsetzen, zudem Maßnahmen treffen, um die Entwicklung der KI-Kompetenz der Nutzenden zu unterstützen.
Welche Risiken bestehen?
Vertrauliche und personenbezogene Daten
Eingaben können Geschäftsgeheimnisse, interne Dokumente, Kundendaten oder personenbezogene Daten enthalten. Wie ein Dienst Eingaben nutzt, speichert oder für Training verwendet, unterscheidet sich je nach Dienst, Vertrag und Einstellung – das muss vor der Freigabe geklärt werden.
Zugangsdaten
Passwörter, API-Schlüssel oder Tokens in Prompts, Code-Ausschnitten oder Logdateien können dort gespeichert oder sichtbar werden.
Falsche oder erfundene Ergebnisse
KI-Systeme können plausibel klingende, aber falsche Fakten, Zahlen oder Quellen erzeugen.
Unsicherer Code und Skripte
Erzeugter Code kann Fehler oder Sicherheitslücken enthalten und sollte wie fremder Code geprüft werden.
Urheberrecht
Bei der Weiterverwendung von Ergebnissen können urheberrechtliche Fragen entstehen. Klären Sie das bei Bedarf fachkundig.
Shadow AI
Werden nicht freigegebene Dienste mit privaten Konten genutzt, verlieren Sie den Überblick, wo Unternehmensdaten landen.
Einfache KI-Richtlinie (redaktionelle Orientierung)
| Kategorie | Beispiele |
|---|---|
| Erlaubt | Allgemeine Formulierungen, öffentlich bekannte Informationen, Brainstorming ohne vertrauliche Daten |
| Nur nach Prüfung | Interne Dokumente, Kundendaten, personenbezogene Informationen, Quellcode, Vertragsinhalte |
| Nicht eingeben | Passwörter, API-Schlüssel, Zugangstokens und sonstige Geheimnisse |
Schritt für Schritt
- 01
Bestand erfassen
Fragen Sie offen nach, welche KI-Dienste im Team bereits genutzt werden – ohne Schuldzuweisung.
- 02
Dienste freigeben
Prüfen Sie die gewünschten Dienste anhand der Freigabe-Checkliste und benennen Sie die freigegebenen Tools.
- 03
Richtlinie formulieren
Halten Sie die drei Kategorien in einer kurzen, verständlichen Regel fest und nennen Sie eine Ansprechperson für Zweifelsfälle.
- 04
Team befähigen
Erklären Sie Risiken und Prüfregeln passend zur Nutzung, etwa im Rahmen Ihrer Security-Awareness-Maßnahmen.
- 05
Vorfälle melden lassen
Wer versehentlich vertrauliche Daten eingegeben hat, soll das melden können – ohne Angst vor Konsequenzen. Prüfen Sie dann, ob personenbezogene Daten betroffen sind.
- 06
Regelmäßig überprüfen
Dienste, Bedingungen und Rechtslage ändern sich. Prüfen Sie die Regeln mindestens jährlich.
KI-Ergebnisse nicht ungeprüft übernehmen
- Fakten und Namen gegenprüfen.
- Berechnungen nachrechnen.
- Angegebene Quellen öffnen und prüfen, ob sie existieren und die Aussage stützen.
- Erzeugten Code testen und vor dem Einsatz prüfen lassen.
- Rechtliche oder fachliche Aussagen nicht ungeprüft verwenden.
- Entscheidungen mit erheblichen Auswirkungen auf Menschen nicht ohne passende menschliche Prüfung automatisieren.
KI-Kompetenz nach Art. 4 AI Act
Nach Art. 4 der Verordnung (EU) 2024/1689 in der konsolidierten Fassung vom 27.07.2026 treffen Anbieter und Betreiber von KI-Systemen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Zu berücksichtigen sind unter anderem:
- technische Kenntnisse, Erfahrung, Ausbildung und Schulung der Personen,
- der Kontext, in dem die KI-Systeme eingesetzt werden,
- die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen.
- Die Verpflichtung verlangt nicht, dass Anbieter oder Betreiber ein bestimmtes individuelles KI-Kompetenzniveau garantieren.
- Das Gesetz schreibt kein bestimmtes Schulungsformat und kein Zertifikat vor. Art und Umfang hängen vom Einsatz ab.
Vor Einführung eines KI-Tools prüfen
Diese Liste ersetzt keine Datenschutz-Folgenabschätzung, wenn eine solche erforderlich ist.
- Zweck: Wofür soll das Tool genutzt werden?
- Datenarten: Welche Informationen werden eingegeben?
- Anbieter und Sitz
- Vertragsbedingungen, insbesondere zur Nutzung von Eingaben
- Datenschutz, einschließlich Auftragsverarbeitung, soweit relevant
- Speicher-, Verlaufs- und Trainingseinstellungen
- Zugriffsrechte und Unternehmenskonten statt privater Konten
- Freigabe durch die zuständige Stelle
- Menschliche Kontrolle der Ergebnisse
- Exit und Datenexport, soweit relevant
Checkliste
- Freigegebene KI-Dienste sind benannt.
- Die drei Kategorien „erlaubt / nur nach Prüfung / nicht eingeben“ sind bekannt.
- Unternehmenskonten statt privater Konten werden genutzt.
- Speicher- und Trainingseinstellungen wurden geprüft.
- Ergebnisse werden vor Verwendung menschlich geprüft.
- Maßnahmen zur Unterstützung der KI-Kompetenz passend zur Nutzung sind umgesetzt.
Typische Fehler
- KI-Nutzung pauschal verbieten – das fördert oft nicht freigegebene Nutzung.
- Annehmen, Eingaben würden immer oder nie für Training verwendet, ohne die Bedingungen zu prüfen.
- Code mit eingebetteten Schlüsseln zur Fehlersuche einfügen.
- Von der KI genannte Quellen ungeprüft übernehmen.
- Eine bestimmte Zertifizierung für gesetzlich vorgeschrieben halten.
Häufige Fragen
Müssen wir KI-Tools verbieten?
Nein. Klare Regeln und freigegebene Dienste sind meist wirksamer als ein pauschales Verbot.
Landen unsere Eingaben im Training des Modells?
Das hängt vom Dienst, vom Vertrag und von den Einstellungen ab. Prüfen Sie das vor der Freigabe für jeden Dienst.
Ist eine KI-Schulung gesetzlich vorgeschrieben?
Art. 4 AI Act verlangt Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz, schreibt aber kein bestimmtes Format oder Zertifikat vor.
Dürfen personenbezogene Daten in KI-Tools eingegeben werden?
Nur nach Prüfung des Dienstes, insbesondere zu Datenschutz und Vertragsbedingungen. Im Zweifel holen Sie Datenschutzberatung ein.
Was tun, wenn jemand versehentlich vertrauliche Daten eingegeben hat?
Melden lassen, wenn möglich Verlauf löschen, betroffene Zugangsdaten ändern und prüfen, ob eine Datenpanne vorliegt.
Quellen
- EUR-Lex – Verordnung (EU) 2024/1689 (KI-Verordnung / AI Act), konsolidierte Fassung vom 27.07.2026, Art. 4
- Europäische Kommission – AI Literacy: Questions & Answers
- BSI – Künstliche Intelligenz (Themenseite mit Empfehlungen zur sicheren Nutzung)
Geprüft am 07.10.2026.
Die Inhalte dienen der allgemeinen Orientierung und ersetzen keine Rechts- oder Datenschutzberatung. Die Nutzungsregeln sind ein redaktioneller Vorschlag für Ihre interne Organisation, keine gesetzliche Vorgabe.