In 60 Sekunden
- Ohne Regeln entsteht Schatten-KI, mit Regeln wird KI nutzbar.
- Das Gerüst: KI-Register, KI-Richtlinie, freigegebene Werkzeuge, Schulung.
- Der 90-Tage-Plan führt in 3 Schritten dorthin, Vorlagen gibt es zum Download.
Rechtsstand: 5. November 2026
3 Ziele, die zusammengehören.#
Nutzen heben
KI spart Zeit bei Texten, Analysen, Programmierung und Service. Dafür braucht es freigegebene Werkzeuge und Schulung.
Risiken steuern
Datenschutz, Geheimnisschutz, Sicherheit und Qualität müssen von Anfang an mitgedacht werden.
Rechtssicher bleiben
Die KI-Verordnung, die DSGVO und das Arbeitsrecht verlangen Dokumentation, Kompetenz und Transparenz.
Governance als Kreislauf.#
4 Schritte, die sich ständig wiederholen.
Inventarisieren
KI-Register aufbauen: Tool, Zweck, Daten, Anbieter, Verantwortliche. Schatten-KI einbeziehen.
Bewerten
Risikoklasse nach KI-Verordnung, Datenschutzrisiko, Sicherheitsrisiko, Auswirkungen auf Menschen.
Steuern
Richtlinie, Freigaben, Schulung, Verträge, technische Schutzmaßnahmen.
Überwachen
Nutzung, Qualität, Vorfälle und Rechtsänderungen beobachten und Regeln anpassen.
Die KI-Richtlinie: 10 Bausteine.#
Klick auf einen Baustein, um mehr zu sehen.
1. Zweck und Geltungsbereich
Warum gibt es die Richtlinie, für wen und für welche Tools gilt sie? Eine halbe Seite genügt.
2. Erlaubte und verbotene Nutzung
Positivliste der freigegebenen Einsatzzwecke und klare Verbote, zum Beispiel keine automatische Entscheidung über Personen ohne Prüfung.
3. Datenampel
Welche Daten dürfen in welche Tools? Grün, Gelb, Rot wie auf der Seite KI-Überblick.
4. Freigegebene Werkzeuge
Liste der erlaubten Tools mit Vertrag. Neue Tools durchlaufen einen Prüfprozess (siehe Beschaffung).
5. Qualitätssicherung
Ergebnisse werden von Menschen geprüft, bevor sie verwendet werden. Verantwortung bleibt bei der Person, nicht beim Tool.
6. Kennzeichnung und Transparenz
Wann werden KI-Inhalte gekennzeichnet, wann Kunden über KI-Einsatz informiert?
7. Urheberrecht und Geheimnisschutz
Umgang mit fremden Inhalten, Lizenzen und Geschäftsgeheimnissen in Eingaben und Ergebnissen.
8. Rollen und Verantwortung
Wer entscheidet über neue Tools, wer prüft Datenschutz und Sicherheit, wer ist Ansprechperson?
9. Vorfälle und Meldewege
Was tun bei Fehlern, Datenabfluss oder Manipulation? Wohin melden, bis wann?
10. Schulung und Überprüfung
Pflicht zur Schulung und regelmäßige Aktualisierung der Richtlinie, mindestens einmal im Jahr.
Lieferantenprüfung: 8 Fragen an jeden KI-Anbieter.#
| Thema | Die Frage | Warum wichtig |
|---|---|---|
| Training | Werden unsere Eingaben zum Training von Modellen genutzt? | Verhindert, dass Geschäftsgeheimnisse in fremde Modelle fließen |
| Datenstandort | Wo werden Daten verarbeitet und gespeichert? | Datenschutz und Drittlandübermittlung |
| Vertrag | Gibt es einen Auftragsverarbeitungsvertrag und klare Löschfristen? | DSGVO-Pflicht bei Personendaten |
| Sicherheit | Welche Zertifikate und Prüfungen gibt es (z. B. ISO 27001, BSI C5)? | Nachweis der Sicherheitsmaßnahmen |
| Protokolle | Welche Daten werden protokolliert, wer hat Zugriff? | Nachvollziehbarkeit und Datenschutz |
| Konformität | Wie erfüllt der Anbieter die KI-Verordnung (Dokumentation, Pflichten für KI-Modelle)? | Pflichtenverteilung zwischen Anbieter und Betreiber |
| Urheberrecht | Gibt es Zusagen zum Umgang mit Urheberrechtsfragen bei Ergebnissen? | Rechtsrisiko bei Nutzung der Ergebnisse |
| Ausstieg | Wie lassen sich Daten exportieren und Verträge beenden? | Vermeidet Abhängigkeit |
Recht im Betrieb: 5 Bereiche.#
Datenschutz
Rechtsgrundlage, Auftragsverarbeitung, Datenschutz-Folgenabschätzung bei hohem Risiko, Information der Betroffenen.
Betriebsrat und Beschäftigte
Informations- und Mitbestimmungsrechte, etwa wenn Systeme Leistung oder Verhalten auswerten können.
Urheberrecht und Geheimnisse
Rechte an Ergebnissen, fremde Inhalte in Eingaben, Schutz von Geschäftsgeheimnissen.
Haftung und Verträge
Eigene Verantwortung für Ergebnisse, Haftungsregeln in Anbieterverträgen, neue Produkthaftung.
Branchenrecht
Zusätzliche Anforderungen im Finanz-, Gesundheits- oder Versicherungsbereich, zum Beispiel durch die BaFin.
KI-Kompetenz: Schulung nach Rollen.#
Art. 4 der KI-Verordnung gilt seit 2. Februar 2025.
| Zielgruppe | Inhalte |
|---|---|
| Alle Beschäftigten | Grundlagen, Chancen und Grenzen, Datenampel, Halluzinationen, Betrug mit Stimme und Video |
| Fachanwender | Sicherer Einsatz im eigenen Bereich, Qualitätssicherung, Kennzeichnung, Urheberrecht |
| Führungskräfte und Geschäftsleitung | Risiken und Verantwortung, Regulierung, Governance, Entscheidungen über Einsatz und Freigabe |
| IT und Security | Angriffe auf und mit KI, OWASP-Liste, Agenten-Leitplanken, Monitoring |
| Entwicklung und Betrieb | Sichere Entwicklung, Tests, Dokumentation, Lieferkette, Anforderungen der KI-Verordnung |
Schulungen sollten dokumentiert werden: Inhalte, Teilnehmende, Datum. So lässt sich die Pflicht nachweisen.
Datenampel für Mitarbeitende.#
Eine Entscheidungshilfe, die in jede Richtlinie passt.
Orientierung für den Alltag. Es gelten immer die Regeln deines Unternehmens und der jeweilige Vertrag mit dem Anbieter.
Der 90-Tage-Plan.#
Von null zu einem tragfähigen Rahmen.
Tage 1 bis 30: Sehen
KI-Register anlegen, Schatten-KI erfragen, Risiken sammeln, Verantwortliche benennen, erste Datenampel veröffentlichen.
Tage 31 bis 60: Regeln
KI-Richtlinie abstimmen (mit Datenschutz, IT-Sicherheit, Betriebsrat), freigegebene Tools festlegen, Lieferantenprüfung einführen.
Tage 61 bis 90: Befähigen
Rollenbasierte Schulung durchführen, Meldeweg für Vorfälle testen, Kennzahlen und Rechts-Monitoring einrichten.
Check: KI-Governance.#
7 Fragen an dein Unternehmen.
Grobe Orientierung, kein Audit. Die Auswahl bleibt in deinem Browser.
Häufige Fragen.#
Brauche ich eine KI-Beauftragte oder einen KI-Beauftragten?
Eine feste Rolle ist nicht überall Pflicht, aber sinnvoll: Jemand sollte Register, Richtlinie und Schulung verantworten. Das kann auch eine bestehende Rolle im Datenschutz oder in der IT sein.
Reicht ein Verbot privater KI-Konten?
Ein Verbot allein reicht selten. Biete eine freigegebene Alternative an und erkläre die Regeln. Sonst weichen Mitarbeitende aus.
Wie messe ich Erfolg?
Mit wenigen Kennzahlen: Anteil freigegebener Tools, geschulte Beschäftigte, gemeldete Vorfälle, Qualität der Ergebnisse und eingesparte Zeit.
Wie hängt das mit NIS2 zusammen?
KI-Systeme sind Teil der IT-Landschaft. Risikomanagement, Lieferkette, Vorfallsbewältigung und Schulung nach NIS2 gelten auch für sie.
KI-Governance aufbauen?
Schreib mir, wo ihr steht, dann ergänzen wir passende Vorlagen und Inhalte.
Quellen und Weiterlesen
War diese Seite hilfreich?
Fehler gefunden? Gib mir kurz Bescheid.
Zitiervorschlag: Russo, K.: „KI im Unternehmen“. sicherheitsdenker.de/ki-im-unternehmen/, Stand 6. November 2026.