EU AI Act & KI-Befähigung
Bezahlte Unternehmens-KI wie Copilot bleibt gesperrt, private KI wird genutzt. So entsteht Schatten-KI mit echtem Datenschutzrisiko.
Generative KI wird in vielen Unternehmen, Vereinen und sozialen Organisationen bereits genutzt. Oft unabhängig davon, ob sie offiziell freigegeben ist.
Mitarbeitende verwenden KI zum Beispiel für Rechtschreibung, Übersetzungen, E-Mail-Entwürfe, Zusammenfassungen, Recherchen und Ideen.
Der Nutzen ist offensichtlich. Ein reines Verbot verhindert die Nutzung deshalb häufig nicht. Stattdessen entstehen unkontrollierte Lösungen über private ChatGPT- oder Gemini-Konten, private Smartphones, private E-Mail-Adressen oder frei zugängliche Übersetzungsdienste.
Das eigentliche Risiko
Bei privaten KI-Konten verliert die Organisation die Kontrolle über eingegebene Daten, Vertragsbedingungen, Datenschutz, Speicherung, Löschung, Nachvollziehbarkeit und Zugriffe ehemaliger Mitarbeitender.
Auch Übersetzungsdienste wie DeepL sind kritisch, wenn interne, vertrauliche oder personenbezogene Texte ohne passenden Unternehmensvertrag eingegeben werden.
Das Problem ist also selten die KI-Nutzung an sich. Das Problem ist ungeregelte KI-Nutzung ohne Freigabe, ohne Schulung und ohne nachvollziehbare Verantwortung.
Der bessere Weg
Viele Organisationen brauchen zuerst keine große KI-Strategie. Sie brauchen eine sichere Basis:
freigegebene Werkzeuge
klare Regeln für Unternehmensdaten
verständliche Nutzungsrichtlinien
geschulte Mitarbeitende
dokumentierte Verantwortlichkeiten
regelmäßige Prüfung neuer Anwendungen
Microsoft 365 Copilot Chat kann dafür in vielen Microsoft-365-Umgebungen ein sinnvoller Einstieg sein. Bei Nutzung mit geschäftlichem Konto gelten Schutzmechanismen der Microsoft-365-Umgebung. Dennoch ersetzt auch Copilot keine klaren Regeln, keine Datenklassifizierung und keine fachliche Kontrolle der Ergebnisse.
DSGVO und EU AI Act
Die DSGVO gilt auch bei KI-Nutzung. Personenbezogene, vertrauliche und geschäftskritische Daten dürfen nur in zulässigem Rahmen verarbeitet werden.
Der EU AI Act verlangt zudem einen verantwortungsvollen Umgang mit KI. Zentral ist dabei die KI-Kompetenz der Personen, die KI-Systeme einsetzen. Sie müssen verstehen, welche Werkzeuge erlaubt sind, welche Daten eingegeben werden dürfen, wo KI Fehler machen kann und wann menschliche Prüfung erforderlich ist.
Wichtig ist: Es geht dabei nicht um ein beliebiges Teilnahmezertifikat. Für normale KI-Nutzung gibt es keinen allgemein vorgeschriebenen „EU-AI-Act-Compliance-Nachweis“. Sinnvoll ist stattdessen eine nachvollziehbare interne Dokumentation der getroffenen Maßnahmen.
Nachweis verantwortungsvoller KI-Nutzung
Ich unterstütze Organisationen dabei, einen solchen Nachweis pragmatisch aufzubauen.
Dazu gehören typischerweise:
Bestandsaufnahme der genutzten KI-Systeme
einfache Risikoeinschätzung der Anwendungsfälle
Klärung erlaubter und verbotener Nutzungen
kurze KI-Nutzungsrichtlinie
Schulung zur sicheren KI-Nutzung
Dokumentation von Inhalten, Teilnehmenden und offenen Maßnahmen
Benennung von Verantwortlichkeiten
Empfehlungen für nächste Schritte
Das Ergebnis ist keine amtliche Zertifizierung und keine pauschale Rechtsgarantie. Es ist ein belastbarer Organisationsnachweis: Die eingesetzten KI-Systeme sind bekannt, Risiken wurden eingeordnet, Mitarbeitende wurden vorbereitet und Regeln sind dokumentiert.
Empfehlung
Die bessere Strategie ist:
sichere Unternehmenslösung freigeben, klare Regeln setzen, Mitarbeitende befähigen und private Schatten-KI begrenzen.
So entstehen Produktivitätsgewinne bei gleichzeitig besserer Kontrolle über Datenschutz, Qualität und Informationssicherheit.
Wenn Sie KI in Ihrer Organisation sicherer nutzen und die Anforderungen rund um DSGVO und EU AI Act pragmatisch angehen möchten, unterstütze ich Sie bei Bestandsaufnahme, Schulung, Nutzungsrichtlinie und Nachweis verantwortungsvoller KI-Nutzung.