Der Praktikant, der nie schläft – und alles weitererzählt
Stellen Sie sich vor, Sie stellen einen Praktikanten ein. Er ist unglaublich fleißig, arbeitet rund um die Uhr, spricht dreißig Sprachen, kennt jedes Gesetz und jede Programmiersprache. Er kostet fast nichts. Ihre Mitarbeiter lieben ihn, weil er ihnen die langweilige Arbeit abnimmt.
Es gibt nur einen Haken: Er sitzt nicht bei Ihnen im Büro, sondern irgendwo in den USA oder in China. Alles, was Sie ihm sagen, schreibt er mit. Was er damit macht, steht in einem sechzigseitigen Vertrag, den niemand gelesen hat. Und Sie haben ihn nicht eingestellt – Ihre Mitarbeiter haben ihn einfach mitgebracht.
Willkommen bei der Schatten-KI.
Was in Ihrem Unternehmen gerade passiert
Ich werde als Datenschutzbeauftragter regelmäßig gefragt, ob „wir KI einführen dürfen“. Die ehrliche Antwort ist meistens: Sie haben sie längst eingeführt. Sie wissen es nur nicht.
Eine Bestandsaufnahme, die ich in Unternehmen durchführe, fördert typischerweise zutage:
-
Die Assistenz lässt sich Besprechungsprotokolle von einem Browser-Plugin zusammenfassen. Mit Namen, Zahlen, Personalien.
-
Der Vertrieb formuliert Angebote mit ChatGPT – inklusive Kundennamen, Konditionen und Wettbewerbsinformationen.
-
Die Entwicklung nutzt einen Code-Assistenten, der Quellcode und damit Geschäftslogik an einen Anbieter überträgt.
-
Die Personalabteilung lässt Bewerbungen vorsortieren. Damit sind wir übrigens im Hochrisikobereich des AI Act, aber das ist ein Thema für einen anderen Beitrag.
Keiner dieser Mitarbeiter handelt böswillig. Alle handeln nützlich. Das ist das Problem: Das Werkzeug ist so gut, dass man es nicht liegen lassen kann.
Was rechtlich passiert
Sobald personenbezogene Daten – Namen, E-Mail-Adressen, Kundennummern, alles, was sich auf eine Person beziehen lässt – in ein KI-System eingegeben werden, findet eine Verarbeitung im Sinne der DSGVO statt. Das ist zulässig, aber nur unter Bedingungen: Es braucht eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit dem Anbieter, bei Drittlandtransfer geeignete Garantien und bei erhöhtem Risiko eine Datenschutz-Folgenabschätzung. Bei kostenlosen Consumer-Diensten fehlt in der Regel alles davon. Zusätzlich behalten sich viele Anbieter vor, Eingaben zum Training ihrer Modelle zu nutzen.
Konkret heißt das: Die Kundenmail, die Ihr Mitarbeiter zum Umformulieren eingegeben hat, ist unter Umständen eine meldepflichtige Datenschutzverletzung. Nicht, weil etwas passiert ist – sondern weil Sie nicht wissen, was passiert ist. Und das ist ein Zustand, den Sie als Verantwortlicher nicht haben dürfen.
Was technisch passiert
Als Forensiker interessiert mich noch eine andere Frage: Was lässt sich später noch feststellen? Die Antwort ist unangenehm. Bei Consumer-Diensten haben Sie keinen Zugriff auf Protokolle, keine Löschgarantie, keine Auskunft darüber, wer die Daten gesehen hat. Wenn in zwei Jahren ein Kunde fragt, wie seine Vertragsdaten in ein Sprachmodell gelangt sind, haben Sie keine Antwort. Wenn die Aufsichtsbehörde fragt, auch nicht.
Was Sie stattdessen tun sollten
Der Reflex vieler Geschäftsführer ist das Verbot. Ich rate davon ab – nicht aus Prinzip, sondern aus Erfahrung. Ein Verbot verlagert die Nutzung vom Firmenrechner aufs private Handy. Sie verlieren die letzte Sichtbarkeit und behalten die volle Haftung.
Was funktioniert, ist ein Dreischritt:
1. Wissen, was läuft. Eine ehrliche Bestandsaufnahme, ohne Schuldzuweisung. Welche Dienste werden genutzt, wofür, mit welchen Daten?
2. Ein Werkzeug anbieten, das erlaubt ist. Es gibt KI-Dienste mit Unternehmensverträgen, EU-Serverstandort, Trainingsausschluss und Auftragsverarbeitungsvertrag. Sie kosten Geld – aber deutlich weniger als ein Bußgeld oder ein verlorener Kunde. Wer seinen Mitarbeitern einen legalen Weg gibt, verliert die Schatten-KI an den ersten Tagen.
3. Eine Regel, die auf eine Seite passt. Ich arbeite mit einem Ampelmodell: Grün sind Daten, die ohnehin öffentlich sind. Gelb sind interne Daten ohne Personenbezug – erlaubt im Firmenwerkzeug. Rot sind personenbezogene, vertrauliche und Kundendaten – nur mit besonderer Freigabe. Diese Regel versteht jeder in fünf Minuten. Eine vierzigseitige Richtlinie versteht niemand, und deshalb hält sich niemand daran.
Der Praktikant bleibt
Der fleißige Praktikant wird nicht wieder gehen. Er ist zu gut. Die Frage ist nur, ob Sie ihn einstellen – mit Vertrag, Aufgabenbeschreibung und Verschwiegenheitsklausel – oder ob er weiter unbemerkt in Ihrem Unternehmen herumläuft und sich Notizen macht.
Sie wollen wissen, was in Ihrem Unternehmen gerade läuft? Ich führe die Bestandsaufnahme mit Ihnen durch: Kostenfreies Erstgespräch vereinbaren.
SHARE