KI in Fachbereichen: gemeinsame Leitplanken statt Schattennutzung

Ein mögliches Szenario: Fachbereiche nutzen verschiedene KI-Anwendungen für Textentwürfe, interne Zusammenfassungen oder Kundenkommunikation. Die IT oder zuständige Leitung erfährt davon erst später.

Eine solche Nutzung kann Fragen zu Datenflüssen, Ergebnisprüfung und Zuständigkeiten aufwerfen. Fachbereiche verfolgen dabei häufig konkrete Arbeitsziele; fehlende gemeinsame Leitplanken können zu nicht abgestimmten Werkzeugen und Abläufen führen.

Dieser Beitrag beschreibt mögliche Risiken dezentraler Nutzung und zeigt, wie gemeinsame Regeln und abgestufte Freigaben den Einsatz unterstützen können.

Warum Fachabteilungen eigenständig KI einführen

Fachbereiche können eine Aufgabe erkennen und ein verfügbares Werkzeug erproben, bevor ein gemeinsamer Freigabeprozess besteht. Niedrige Zugangshürden und der Wunsch, Arbeitsabläufe zu verbessern, können solche Tests begünstigen.

IT, Datenschutz, Informationssicherheit und Einkauf prüfen je nach Organisation unterschiedliche Aspekte. Wenn Zuständigkeiten oder Prüfwege unklar sind, kann die Freigabe länger dauern als der Fachbereich erwartet.

Unterschiedliche Aufgaben und Zeithorizonte können zu parallelen Entscheidungen führen. Ein verständlicher gemeinsamer Prozess kann helfen, Anforderungen der Fachbereiche mit Sicherheit, Datenschutz und Betrieb abzustimmen.

Typische Muster: Wie Schatten-IT mit KI entsteht

1. Das Browser-Plugin

Eine Person installiert ein Plugin für E-Mail- oder Textentwürfe. Vorher wurde möglicherweise nicht geprüft, welche Daten das Plugin erhält, wo diese verarbeitet werden und welche Berechtigungen es besitzt.

2. Die kostenlose Testversion

Eine Abteilung testet ein Werkzeug mit einem persönlichen Konto und Beispieldateien aus dem Arbeitsalltag. Dabei können Fragen zu zulässigen Daten, Konto- und Zugriffsverwaltung, Aufbewahrung und Vertragsbedingungen offenbleiben.

3. Die ChatGPT-Nutzung

Mitarbeitende verwenden ein persönliches ChatGPT-Konto für berufliche Aufgaben. Je nach Kontotyp und Einstellungen unterscheiden sich Datenkontrollen: OpenAI beschreibt für persönliche Konten eine Einstellung zur Modellverbesserung; Inhalte aus ChatGPT Business und Enterprise werden standardmäßig nicht zum Modelltraining verwendet. Prüfen Sie die aktuellen ChatGPT-Datenkontrollen und Bedingungen für Geschäftsdaten für den konkreten Zugang. Diese Angaben gelten nicht pauschal für andere Produkte.

Diese Beispiele sind mögliche Nutzungsmuster, keine Aussage über Häufigkeit. Klare, zugängliche Alternativen und verständliche Regeln können helfen, nicht abgestimmte Nutzung zu reduzieren.

Was pauschale Verbote nicht lösen

Organisationen können die Nutzung begrenzen oder bestimmte Werkzeuge sperren, wenn dafür Gründe bestehen. Entscheidend ist, ob die Regel zum Risiko passt und Mitarbeitende wissen, welche zulässigen Alternativen es gibt.

Ein Verbot kann informelle Nutzung nicht in jedem Fall verhindern.

Wenn Regeln keinen praktikablen Weg für zulässige Aufgaben vorsehen, können Mitarbeitende auf persönliche Konten oder nicht freigegebene Werkzeuge ausweichen. Dadurch wird es schwerer, Datenverarbeitung und Risiken nachzuvollziehen.

Erklären Sie den Grund für Einschränkungen und nennen Sie, soweit möglich, sichere Alternativen oder einen Prozess zur Prüfung neuer Werkzeuge.

Ein angemessener Rahmen beschreibt, welche Aufgaben freigegeben sind, welche Daten verarbeitet werden dürfen und wie Ergebnisse geprüft sowie Zuständigkeiten festgelegt werden.

Mögliche Risiken dezentraler KI-Nutzung

Datenschutz und Datenflüsse

Je nach Dienst werden Eingaben an externe Systeme übermittelt oder innerhalb eigener Infrastruktur verarbeitet. Produkt, Tarif und Einstellungen bestimmen unter anderem Datenverarbeitung, Aufbewahrung und mögliche Nutzung zur Modellverbesserung. Prüfen Sie deshalb die konkreten Datenflüsse und Vertragsbedingungen. OpenAI schließt Geschäftsdaten aus ChatGPT Business und Enterprise standardmäßig vom Modelltraining aus; für persönliche Konten gelten andere Kontrollen.

Wer personenbezogene Daten verarbeitet, muss die einschlägigen Datenschutzpflichten prüfen. Die DSGVO enthält unter anderem Grundsätze zur Rechtmäßigkeit, Zweckbindung, Datenminimierung und Transparenz sowie Informationspflichten mit konkreten Voraussetzungen und Ausnahmen. Wird ein Dienst als Auftragsverarbeiter eingesetzt, regelt Artikel 28 die dafür erforderlichen Vereinbarungen. Rollen und Pflichten hängen vom jeweiligen Verarbeitungsvorgang ab. Maßgeblich sind der geltende DSGVO-Text auf EUR-Lex und die Orientierungshilfe der deutschen Datenschutzaufsichtsbehörden zu KI und Datenschutz. Eine fehlende Nutzungsübersicht kann die Prüfung und Beantwortung konkreter Anfragen erschweren; sie ersetzt keine Einzelfallbewertung.

Qualität und Haftung

KI-Ausgaben können plausibel klingen und dennoch Fehler enthalten, etwa falsche Preise, veraltete Informationen oder unangemessene Formulierungen. Prüfumfang und Freigabe sollten sich nach Aufgabe und möglichen Folgen richten.

Die rechtliche Verantwortung lässt sich nicht pauschal einer einzelnen Rolle zuweisen. Zuständigkeiten für Nutzung, Prüfung und Reaktion auf Fehler sollten vorab geklärt sein; eine konkrete Haftungsbewertung erfordert den Einzelfall.

Organisatorische Fragmentierung

Unterschiedliche Werkzeuge und Abläufe können die Abstimmung erschweren. Eine aktuelle Übersicht kann Verantwortlichen zeigen, wo Anforderungen gemeinsam gelöst oder Erfahrungen geteilt werden können.

Wenn Werkzeuge später vereinheitlicht oder integriert werden sollen, können bestehende Abläufe und Abhängigkeiten zusätzlichen Abstimmungs- oder Migrationsaufwand erzeugen. Umfang und Kosten lassen sich nicht ohne Prüfung des Bestands vorhersagen.

Was stattdessen erforderlich ist

Entscheidungslogik vor Toolauswahl

Bevor eine Fachabteilung KI einführt, braucht sie Antworten auf drei Fragen:

1. Welches Problem soll gelöst werden? Beschreiben Sie die Aufgabe und das angestrebte Ergebnis so konkret, dass sich ein Test daran ausrichten lässt.

2. Welche Daten dürfen verarbeitet werden? Bestimmen Sie Datenarten, Zweck, Zugriff und erforderliche Schutzmaßnahmen. Ob bestimmte Kunden- oder Personendaten genutzt werden dürfen, lässt sich nicht pauschal beantworten.

3. Wer prüft Ergebnisse? Legen Sie fest, welche Ergebnisse vor der Verwendung geprüft werden müssen und wer dafür qualifiziert und zuständig ist. Der Umfang kann nach Risiko und Aufgabe variieren.

Gemeinsame Mindestregeln können zentral festgelegt werden. Fachbereiche sollten bei der Ausgestaltung beteiligt sein; Datenschutz, Informationssicherheit, IT und Einkauf bringen je nach Frage ihre Zuständigkeit ein. Das muss keine Einzelprüfung jedes Prompts bedeuten.

Zentrale Freigabe, dezentrale Nutzung

Ein vorgeprüfter Werkzeugkatalog kann Fachbereichen Orientierung geben. Ob eine zentrale Freigabeliste passt, hängt von Größe, vorhandenen Abläufen und Risiken ab.

Eine Prüfung sollte die relevanten Stellen einbeziehen und mindestens Werkzeug, Konto-/Tarifart, Einstellungen, Datenarten und Einsatzzweck berücksichtigen. Eine Freigabe kann auf bestimmte Aufgaben oder Daten beschränkt sein; bei wesentlichen Änderungen ist eine erneute Prüfung sinnvoll.

Ein abgestimmter Prüfweg kann Rückfragen reduzieren und transparent machen, welche Nutzung freigegeben ist.

Dokumentation statt Kontrolle

Die erforderliche Übersicht sollte zum Risiko passen. Als Ausgangspunkt können folgende Angaben dienen:

• Welche Abteilung nutzt welches Tool?
• Für welchen Anwendungsfall?
• Welche Daten werden verarbeitet?
• Wer ist verantwortlich?

Eine Übersicht unterstützt die regelmäßige Bestandsprüfung und hilft, offene Fragen oder Änderungen gezielt nachzuverfolgen. Bei stärker regulierten oder besonders kritischen Einsätzen kann zusätzliche Dokumentation erforderlich sein.

Fazit

KI-Nutzung in Fachbereichen hat technische und organisatorische Seiten. Gemeinsame Regeln helfen, Daten, Ergebnisse und Zuständigkeiten dem jeweiligen Einsatz entsprechend zu berücksichtigen.

Einschränkungen können für bestimmte Aufgaben sinnvoll sein; unkoordinierte Nutzung kann Risiken und Doppelarbeit erhöhen. Ein passender Weg verbindet verständliche Leitplanken, abgestufte Prüfungen und klare Zuständigkeiten.

Nicht jede Organisation benötigt ein umfangreiches Strategiedokument. Sie sollte jedoch festlegen, wer über Anwendungsfälle und Daten entscheidet, wie Ergebnisse geprüft werden und wann eine Nutzung neu bewertet werden muss.