Dein Team möchte mit KI Texte vorbereiten, Informationen sortieren oder Unterlagen schneller bearbeiten. Dafür braucht es einen verständlichen Weg, der zum tatsächlichen Datenbestand und zum verwendeten Dienst passt. Die wichtigste Entscheidung lautet nicht nur, welches Werkzeug praktisch wirkt, sondern welche Informationen für welchen Zweck dort verarbeitet werden dürfen. Mit klaren Zuständigkeiten, geprüften Einstellungen und alltagstauglichen Regeln kannst Du eine betreute Einführung anfragen, die Nutzen und Vertraulichkeit zusammenbringt.
Beginne bei einer konkreten Aufgabe
Wähle zunächst einen nachvollziehbaren Anwendungsfall. Soll ein öffentlicher Text zusammengefasst, ein interner Entwurf bearbeitet oder ein Dokument mit personenbezogenen Angaben ausgewertet werden? Diese Fälle brauchen unterschiedliche Prüfungen. Beschreibe die Aufgabe, die betroffenen Personen und das gewünschte Ergebnis. Ein allgemeiner Wunsch nach KI für alle Abteilungen ist schwerer sinnvoll abzugrenzen als ein klarer Arbeitsweg mit erkennbarem Nutzen.
Notiere außerdem, welche Informationen die Aufgabe tatsächlich benötigt. Für einen sprachlichen Entwurf müssen möglicherweise keine Kundennamen oder vollständigen Vertragsunterlagen eingegeben werden. Eine fachliche Auswertung kann dagegen auf bestimmte Originalangaben angewiesen sein. Entscheide das anhand des Zwecks und nicht aus Gewohnheit. Je genauer die notwendige Eingabe feststeht, desto gezielter kann ein Dienstleister einen passenden Verarbeitungsweg prüfen.
Beginne mit einer allgemeinen Beschreibung statt mit dem Versand echter vertraulicher Unterlagen an mehrere angefragte Anbieter. Für ein Erstgespräch genügt oft die Art der Daten und der vorgesehene Ablauf. Wenn später Originalmaterial benötigt wird, sollte die dafür berechtigte Stelle den geeigneten geschützten Weg festlegen. So bleibt schon die Vorbereitung der Einführung mit Deinem eigentlichen Schutzziel vereinbar.
Ordne die Eingaben nach ihrem tatsächlichen Inhalt
Unterscheide öffentlich freigegebene Informationen, interne Arbeitsunterlagen, Geschäftsgeheimnisse und personenbezogene Daten. Ein Dokument kann mehrere dieser Bereiche zugleich enthalten. Ein öffentlich bekannter Produktname macht den danebenstehenden internen Preis oder eine Kundenbewertung nicht automatisch öffentlich. Prüfe deshalb den konkreten Inhalt und den vorgesehenen Zweck, statt nur einen Dateinamen oder einen allgemeinen Vertraulichkeitsstempel zu betrachten.
Lass die fachlich zuständige Stelle erklären, welche Angaben für die Aufgabe verwendet werden dürfen. Die IT-Betreuung kann technische Wege und Einstellungen prüfen. Sie kann aber nicht allein aus einer Dateiendung ableiten, ob ein bestimmter Inhalt für diesen Empfänger freigegeben ist. Für das Angebot sollte erkennbar sein, wer die inhaltliche Freigabe verantwortet und wie technische Unterstützung dabei eingebunden wird.
Ein pauschales Verbot sämtlicher interner Informationen kann einen sinnvollen Anwendungsfall blockieren; eine pauschale Freigabe kann zu weit gehen. Nützlicher ist eine kurze Regel für klar beschriebene Situationen. Beispielsweise kann ein bestimmter Dienst für freigegebene öffentliche Texte vorgesehen sein, während vertrauliche Vertragsdaten eine gesonderte Prüfung benötigen. Welche Regel passt, entscheidet Dein Unternehmen anhand des tatsächlichen Schutzbedarfs.
Prüfe den konkreten Dienst statt nur die Marke
Ein Anbieter kann unterschiedliche Kontotypen und Vertragsmodelle bereitstellen. Ein privates Konto, ein geschäftlicher Zugang und eine eingebundene Schnittstelle müssen nicht denselben Verarbeitungsweg oder dieselben Einstellungen haben. Lass deshalb genau festhalten, welcher Dienst in welcher Variante geprüft wird. Eine allgemeine Empfehlung für eine bekannte Marke ist noch keine Freigabe jeder dort angebotenen Funktion.
Frage nach der Verarbeitung der Eingaben, gespeicherten Verläufen, hochgeladenen Dokumenten und erzeugten Ergebnissen. Welche Zwecke nennt der Anbieter, welche Einstellungsmöglichkeiten bestehen und welche Bedingungen sind vereinbart? Lass die Aussagen anhand der aktuellen Dokumentation und des konkreten Vertrags prüfen. Eine mündliche Kurzformel wie geschäftlich und daher sicher erklärt die tatsächliche Datenverwendung nicht ausreichend.
Die Entscheidung sollte auch erkennen lassen, welche Funktionen nicht umfasst sind. Ein freigegebener Textdialog bestätigt nicht automatisch den Upload vollständiger Ordner oder die Verbindung mit einem internen Dokumentenspeicher. Wenn Dein Team eine zusätzliche Funktion nutzen möchte, braucht diese ihren eigenen nachvollziehbaren Prüfpunkt. Damit bleibt die ursprüngliche Freigabe verständlich und wird nicht unbeabsichtigt immer weiter ausgeweitet.
Kläre Datenschutz vor der Verarbeitung personenbezogener Daten
Wenn Eingaben personenbezogene Daten enthalten, muss die Verarbeitung eine passende rechtliche Grundlage und einen zulässigen Zweck haben. Das lässt sich nicht allein durch das Entfernen eines sichtbaren Namens erledigen. Angaben können über ihren Zusammenhang weiterhin einer Person zugeordnet werden. Lass deshalb Datenschutzfragen anhand des tatsächlichen Materials und des eingesetzten Dienstes fachlich prüfen, bevor daraus eine allgemeine Arbeitsregel für das Team entsteht.
Die DSGVO nennt insbesondere Zweckbindung und Datenminimierung in Artikel 5; Artikel 6 betrifft die Rechtmäßigkeit der Verarbeitung. Artikel 32 verlangt angemessene technische und organisatorische Schutzmaßnahmen. Diese Grundlagen sind in der amtlichen Textsammlung der BfDI nachlesbar. Sie ersetzen keine Einzelfallprüfung, zeigen aber, weshalb eine praktische Funktion allein keine ausreichende Freigabe für beliebige persönliche Daten ist. BfDI: DSGVO, insbesondere Artikel 5, 6 und 32
Lass bei Bedarf auch Verantwortlichkeiten, eine mögliche Auftragsverarbeitung und internationale Datenflüsse prüfen. Dieser Auftrag kann technische Betreuung und Datenschutzkompetenz zusammenbringen. Er sollte offene rechtliche Fragen ausdrücklich benennen, statt eine uneingeschränkte Konformität aus einem Produktnamen abzuleiten. Für Dich zählt am Ende ein nutzbarer freigegebener Weg mit verständlichen Grenzen.
Lege verständliche Eingaberegeln fest
Eine gute Regel sagt Deinem Team, welcher Dienst für welche Aufgabe verwendet werden darf und welche Inhalte dabei zulässig sind. Beschäftigte sollten vor einer Eingabe erkennen können, ob ihr Fall bereits abgedeckt ist oder eine Rückfrage benötigt. Eine lange allgemeine Richtlinie ohne konkrete Beispiele hilft im Arbeitsalltag oft weniger als wenige klar beschriebene typische Situationen mit einem erreichbaren Ansprechpartner.
Das BSI empfiehlt in seinem Management-Blitzlicht zur sicheren generativen KI unter anderem eine Übersicht verwendeter Systeme, Firmenkonten, datensparsame Einstellungen und klar definierte Einsatzzwecke. Personenbezogene oder sensible geschäftliche Informationen sollen nicht ohne schützende Maßnahmen weitergegeben werden. Der Leitfaden ist ein Einstieg und keine vollständige Freigabe jedes Anwendungsfalls. Nutze ihn als Gesprächsgrundlage für den konkreten betrieblichen Weg. BSI: Sichere generative KI in Organisationen und Unternehmen, Seiten 2–3
Lass außerdem eine Rückfragemöglichkeit festlegen, die tatsächlich erreichbar ist. Wenn eine Aufgabe nicht eindeutig passt, sollte niemand selbst eine Ausnahme erfinden müssen. Die zuständige Person kann Inhalt, Zweck und Dienst zusammen prüfen und die Antwort so dokumentieren, dass vergleichbare Fälle künftig verständlicher entschieden werden. So entwickelt sich die Regel aus realen Aufgaben weiter.
Betrachte verbundene Datenquellen als eigene Entscheidung
Ein KI-Dienst kann über zusätzliche Verbindungen auf Postfächer, Laufwerke oder andere Systeme zugreifen. Dann geht es nicht mehr nur um die einzelne bewusst eingegebene Frage. Lass genau beschreiben, welche Quellen verbunden werden, welche Inhalte erreichbar sind und wie Berechtigungen berücksichtigt werden. Eine breite Anbindung aus Bequemlichkeit kann einen anderen Schutzbedarf erzeugen als ein begrenzter manueller Arbeitsweg.
Frage nach dem Verhalten bei Rollenwechseln und entzogenen Berechtigungen. Wenn ein Dokument nicht mehr für eine Person bestimmt ist, muss der weitere Umgang mit vorhandenen Verbindungen und gegebenenfalls bereits übernommenen Daten geklärt werden. Der tatsächliche Dienst und seine Einstellungen bestimmen die Möglichkeiten. Dein Anbieter sollte den Ablauf erklären und am vereinbarten Einsatz prüfen, statt eine automatische vollständige Übernahme aller Rechte zu behaupten.
Für den Einstieg kann eine begrenzte Datenquelle sinnvoll sein, deren Freigabe sich gut nachvollziehen lässt. Das ist keine allgemeine Architekturvorgabe, sondern eine mögliche Variante für ein überschaubares Vorhaben. Vergleiche den Nutzen und den Betreuungsaufwand mit der gewünschten breiteren Verbindung. Entscheidend ist, dass die gewählte Reichweite bewusst festgelegt und später nicht unbemerkt verändert wird.
Behandle Ergebnisse als zu prüfende Arbeitsgrundlage
Eine brauchbar klingende KI-Antwort kann falsche oder unpassende Angaben enthalten. Lege deshalb fest, wer ein Ergebnis vor der Verwendung prüft und welche fachlichen Quellen dafür erforderlich sind. Ein Textentwurf für eine interne Besprechung braucht möglicherweise einen anderen Prüfweg als eine Aussage an Kunden. Der Zweck der Ausgabe sollte genauso klar sein wie der Zweck der Eingabe.
Frage im Einführungsangebot nach einer praktischen Einweisung anhand geeigneter unvertraulicher Beispiele. Dein Team sollte lernen, unklare Aussagen zu erkennen und nicht bloß die Bedienung einer Oberfläche auszuführen. Eine Prüfung kann Plausibilität, fachliche Richtigkeit und die zulässige weitere Verwendung betreffen. Der Dienstleister sollte seine technische Unterstützung und die beim Fachbereich verbleibende Verantwortung nachvollziehbar unterscheiden.
Wenn die Anwendung Ergebnisse an andere Systeme weitergibt oder Handlungen auslösen soll, braucht dieser Ablauf eine eigene Betrachtung. Ein freigegebener Textassistent ist nicht automatisch eine freigegebene autonome Bearbeitung interner Vorgänge. Lass notwendige Bestätigungen, Berechtigungen und Grenzen klären. Entscheide eine Erweiterung anhand ihres zusätzlichen Nutzens und ihrer tatsächlichen Wirkung, nicht allein anhand einer neuen verfügbaren Funktion.
Sorge für einen klaren Weg bei Fehlbedienung
Wenn jemand versehentlich ungeeignete Daten eingibt, sollte der Meldeweg bekannt sein. Lege fest, welche zuständige Stelle zeitnah informiert wird und welche sachlichen Angaben sie für die Einordnung benötigt. Es hilft wenig, wenn Beschäftigte aus Unsicherheit schweigen oder selbst im Dienst weitere vertrauliche Informationen zur Erklärung nachreichen. Eine verständliche Reaktion gehört deshalb schon in die Einführung.
Die zuständige Betreuung prüft dann den tatsächlichen Vorgang, die vorhandenen Möglichkeiten und erforderliche weitere Schritte. Eine Löschung in einer sichtbaren Chatansicht sollte nicht ungeprüft als vollständiger Nachweis über jeden Verarbeitungsort ausgegeben werden. Frage nach den tatsächlich bestätigten Wirkungen. Bei personenbezogenen Daten müssen mögliche rechtliche Pflichten von der zuständigen Fachperson anhand des konkreten Vorfalls beurteilt werden.
Für die Aufarbeitung genügt eine sachliche Dokumentation der wesentlichen Tatsachen. Vertrauliche Eingaben sollten nicht unnötig in weitere Supportkanäle kopiert werden. Kläre, welche Informationen geschützt übermittelt werden dürfen und wer Zugriff erhält. So unterstützt die Hilfe das ursprüngliche Schutzziel, anstatt aus einem Fehler zusätzliche unkontrollierte Kopien entstehen zu lassen.
Starte begrenzt und prüfe den echten Arbeitsweg
Ein Pilot sollte eine konkrete Aufgabe, klar benannte Personen und geeignete Testdaten haben. Lass zeigen, ob der freigegebene Weg praktisch funktioniert und ob die vorgesehenen Regeln verständlich sind. Dazu gehören Anmeldung, richtige Einstellungen, Eingabe, Ergebnisprüfung und der Hilfsweg bei einer offenen Frage. Ein beeindruckendes Einzelbeispiel belegt noch keine brauchbare Einführung für alle Abteilungen.
Besprich nach dem Pilot, welcher Nutzen tatsächlich sichtbar wurde und welcher Aufwand entstanden ist. Vielleicht genügt der begrenzte Anwendungsfall bereits. Vielleicht ist eine Erweiterung sinnvoll, für die weitere Daten oder Funktionen geprüft werden müssen. Halte diese Entscheidung nachvollziehbar fest. So wird die breitere Nutzung nicht allein durch Begeisterung oder vorhandene Lizenzen ausgelöst, sondern durch einen geprüften Arbeitsweg.
Angebote mit klarem Umfang vergleichen
Bitte Anbieter, Bestandsaufnahme, Prüfung des konkreten Dienstes, technische Einrichtung, Leitlinien und Einweisung getrennt zu beschreiben. Wer betreut Änderungen und wer beantwortet spätere Freigabefragen? Ein günstiger Lizenzpreis sagt noch nicht, ob diese Aufgaben enthalten sind. Vergleiche Angebote anhand derselben Aufgabe und Datenarten, damit Du den tatsächlichen Leistungsumfang und Deine eigene Mitwirkung erkennen kannst.
Unterstützung für einen passenden KI-Einsatz anfragen
Auf der Startseite von IT-Sicherheit Angebote kannst Du kostenfrei und unverbindlich Unterstützung anfragen. Halte für das anschließende Gespräch eine allgemeine Beschreibung der Aufgabe, des gewünschten Dienstes und der Datenarten bereit. Vertrauliche Originalunterlagen oder Zugangsdaten brauchst Du für diese erste Übersicht nicht. Den konkreten Prüf- und Betreuungsumfang vereinbarst Du mit dem jeweiligen Anbieter.