Unkontrollierte KI-Nutzung bringt Risiken, die Sie nicht rückgängig machen.

1. Personenbezogene Daten verlassen das Haus

   Namen, BSN (niederländische Bürgerservicenummern), Gehälter, medizinische Details und Adressen landen bei einem amerikanischen Anbieter. Ohne Auftragsverarbeitungsvertrag und Verarbeitungsverzeichnis ist das ein Risiko nach der DSGVO, mit möglicher Meldepflicht.

   Was Sie dagegen tun: Zeigen Sie dem Assistenten nur Text, in dem Namen und Nummern bereits ersetzt sind. Siehe unseren Artikel „Pseudonymisieren oder anonymisieren“.

2. Sie wissen nicht, was gespeichert wird

   Bei Verbraucherversionen von KI-Chatbots können Eingaben gespeichert und zum Training von Modellen verwendet werden, je nach Einstellungen. Geschäftliche Versionen bieten in der Regel mehr Kontrolle, aber ohne bewusste Konfiguration und Auftragsverarbeitungsvertrag haben Sie keine Gewissheit darüber, was mit den Daten geschieht.

   Was Sie dagegen tun: Wählen Sie ein geschäftliches Abonnement und schalten Sie das Training aus. Siehe unseren Artikel „Welcher Tarif passt zur beruflichen Nutzung“.

3. Übermittlung außerhalb der EU

   Eine Verarbeitung auf Servern außerhalb der EU erfordert eine gültige Grundlage für die Übermittlung — etwa das EU-US Data Privacy Framework, Standardvertragsklauseln (SCC) oder einen Angemessenheitsbeschluss — und eine Risikobewertung. Bei unkontrollierter Chat-Nutzung fehlt das in der Regel. Ein europäischer Anbieter nimmt diese Sorge größtenteils weg, die andere nicht: „in der EU“ sagt, wo Ihre Daten liegen, nicht, was Sie hineingeben dürfen. Auch dort geht die vollständige Akte mit.

   Was Sie dagegen tun: Halten Sie pro Anbieter fest, wohin die Daten gehen und auf welcher Rechtsgrundlage. Siehe unseren Artikel „Auftragsverarbeitungsvertrag mit einem KI-Anbieter“.

4. Keine Spur, kein Nachweis

   Die Aufsichtsbehörde fragt: welche Daten, von wem, wann, auf welcher Rechtsgrundlage? Ein Chatverlauf auf einem privaten Konto gibt darauf keine Antwort. Ein Verarbeitungsverzeichnis auch nicht.

   Was Sie dagegen tun: Nehmen Sie die Nutzung in Ihr Verarbeitungsverzeichnis auf und halten Sie fest, wer was geteilt hat. Siehe unseren Artikel „Verarbeitungsverzeichnis für KI-Tools“.

5. Schatten-KI lässt sich mit einem Verbot nicht stoppen

   Ein KI-Verbot verlagert die Nutzung auf Telefone und private Laptops. Mitarbeitende wollen den Komfort. Sie bieten KI besser sicher an, als sie blind zu verbieten.

   Was Sie dagegen tun: Bieten Sie einen erlaubten Weg an, und schreiben Sie auf, was nicht erlaubt ist. Siehe unseren Artikel „Schatten-KI“.

6. Der AI Act legt die Latte höher

   Seit dem 2. Februar 2025 gilt die Pflicht zur KI-Kompetenz aus dem AI Act (KI-Verordnung) (Art. 4); weitere Pflichten zu Transparenz und Hochrisiko-Systemen folgen in Phasen. Eine Dokumentensuche fällt nicht automatisch unter die Hochrisiko-Kategorien, aber wenn KI für Entscheidungen über Personen eingesetzt wird (HR, Kredite, Kunden), gelten strenge Anforderungen.

   Was Sie dagegen tun: Sorgen Sie für die KI-Kompetenz Ihrer Mitarbeitenden. Siehe unseren Artikel „KI-Kompetenz ist Pflicht“.

„Wir dachten, dass unsere Buchhalter, Berater und HR-Kollegen nur mit anonymisierten Unterlagen arbeiten. Bei der ersten Stichprobe stellte sich heraus, dass niemand genau wusste, was hochgeladen worden war.“ Aus einem Gespräch mit einem Kunden. Kommt Ihnen das bekannt vor? Das ist die Standardsituation in KMU, nicht die Ausnahme.