In vielen Gesprächen mit Führungskräften aus dem Mittelstand fällt mir seit Monaten dasselbe auf: Die Gesetzeslage und die Klarheit rund um Datensicherheit ist in den Firmen nicht angekommen. Nicht bei den Menschen, die täglich mit KI arbeiten. Oft nicht einmal auf der Führungsebene.
Drei Sätze, die ich zu oft höre
Ein KI-Tool gilt als „sicher“, weil es mit der ohnehin vorhandenen Software mitgeliefert wird. Microsoft 365 mit Copilot ist dafür das bekannteste Beispiel: Es ist einfach da, also wird es genutzt - ohne dass jemand nachschaut, was mit den Daten passiert.
Daneben, oft im selben Haus: eine aktive Schatten-KI. Mitarbeiter nutzen private Zugänge, weil das offizielle Tool zu langsam, zu eingeschränkt oder schlicht nicht vorhanden ist. Niemand hat das verboten. Niemand hat es erlaubt. Es passiert einfach.
Und drittens: KI wird genutzt, ohne dass es irgendwelche Rahmenbedingungen gibt. Kein Regelwerk, wer was damit tun darf. Keine persönliche Verantwortung, die jemand übernimmt, wenn etwas schiefläuft.
Eine ehrliche Nebenbemerkung
Für diesen Text habe ich nachgesehen, was der Anbieter der KI, mit der ich gerade schreibe, über den eigenen Umgang mit meinen Daten sagt. Die Antwort war nicht eindeutiger als bei Microsoft. Das ist kein Vorwurf an ein einzelnes Unternehmen. Das ist der Zustand bei praktisch jedem nicht-europäischen Anbieter - ob er vertrieblich mit DSGVO-Konformität wirbt oder nicht, ob das Mutterhaus amerikanisch ist oder die Daten dort gehostet werden.
Das Problem ist nicht das Werkzeug
Hier überrasche ich in Gesprächen regelmässig: Ich sage nicht, dass man diese Werkzeuge nicht nutzen darf. All das kann ich tun. Ich darf es.
Aber ich muss das Risiko bewerten - und trotzdem entscheiden. Das ist der ganze Unterschied. Nicht die Wahl des Tools ist das Problem. Das Fehlen der Entscheidung ist es.
Was eine echte Entscheidung ausmacht
Eine echte Entscheidung hat vier Merkmale, die ich in den meisten Häusern nicht finde:
- Jemand hat sich das Risiko angesehen - nicht pauschal, sondern konkret: Welche Daten laufen durch das Tool? Wo landen sie? Wer hat Zugriff?
- Die Bewertung steht irgendwo, ausserhalb eines einzelnen Kopfes. Wenn die Person geht, geht das Wissen nicht mit.
- Es gibt eine Person, die die Verantwortung trägt - nicht diffus „die IT“ oder „die Geschäftsführung“, sondern ein Name.
- Die Entscheidung wird regelmässig neu geprüft, weil sich Gesetzeslage, Anbieter und Nutzung ändern.
Ohne diese vier Punkte ist es keine Entscheidung. Es ist eine Gewohnheit, die sich eingeschlichen hat.
Fragen, die ich mitgebe
Wenn Sie das in Ihrem Haus einmal ehrlich prüfen wollen:
- Wer hat das Risiko bewertet, bevor Ihr aktuelles KI-Tool eingeführt wurde?
- Wissen Sie, welche Ihrer Mitarbeiter gerade eine private KI für dienstliche Zwecke nutzen?
- Gibt es eine Person, die die Verantwortung für diese Entscheidung trägt - namentlich?
- Wann wurde diese Entscheidung zuletzt geprüft?
Wenn Sie auf eine dieser Fragen keine Antwort haben, ist das kein Grund für schlechtes Gewissen. Es ist der Startpunkt. Genau da fange ich mit Unternehmen an, bevor wir über Tools, Prompts oder Prozesse sprechen.
Wenn Sie das in Ihrem Haus klären wollen: schreiben Sie mir.
