KI sicher einsetzen: Verträge, Regeln und Schulung für den Betrieb
Viele lassen die Finger von KI, weil sie Datenschutz und Haftung nicht durchschauen. Die Hürde nehmen wir gemeinsam, danach nutzt ihr KI sauber und mit gutem Gewissen.
Das häufigste Problem beim KI-Einsatz im Betrieb ist nicht die Technik. Es ist der Mitarbeiter, der eine Kundenliste in ein kostenloses Chatfenster kopiert, weil es schneller geht. Damit liegen personenbezogene Daten bei einem Anbieter, mit dem kein Vertrag besteht. Das kann bereits ein Datenschutzverstoß sein und ist kein Kavaliersdelikt. Dahinter steckt selten böse Absicht, sondern eine fehlende Ansage. Ich kläre für deinen Betrieb, welche Werkzeuge benutzt werden dürfen, wo sie laufen und was hineindarf, und halte das so fest, dass es im Alltag auch jemand liest.
Das steckt drin
Wo das Modell läuft
Eigene Hardware, EU-Rechenzentrum oder Anbieter mit Vertrag. Für jede Aufgabe die passende Stufe.
Auftragsverarbeitungsvertrag
Welcher Anbieter einen anbietet, was darin stehen muss und wo die Daten tatsächlich liegen.
Nutzungsrichtlinie
Eine verständliche Seite für die Belegschaft: erlaubte Werkzeuge, erlaubte Daten, Ansprechpartner.
Schulung der Mitarbeiter
Artikel 4 der KI-Verordnung verlangt Maßnahmen, die die KI-Kompetenz im Unternehmen fördern.
Lokale KI-Server einrichten
Ein Sprachmodell auf einem eigenen Server im Betrieb, das ohne Internetverbindung arbeitet. Für sensible Daten der sauberste Weg.
Bestandsaufnahme
Welche KI-Werkzeuge im Betrieb bereits benutzt werden, weiß meist niemand. Das lässt sich klären.
KI-Start: die Hürde nehmen wir gemeinsam
Viele Inhaber lassen die Finger von KI, während im selben Betrieb vielleicht schon jemand Kundendaten in einen privaten ChatGPT-Zugang tippt. Das Risiko verschwindet nicht, indem man KI verbietet, sondern indem man sie ordentlich einführt. Das Paket KI-Start hat sieben Schritte:
- Bestandsaufnahme: Wer nutzt heute schon welche KI, mit welchen Daten und über welche Konten?
- Werkzeug mit Vertrag: eine bezahlte Business-Version mit Auftragsverarbeitungsvertrag und klaren Nutzungsbedingungen, etwa Microsoft 365 Copilot, ChatGPT Business oder Claude Team, möglichst mit Verarbeitung in der EU. Oder eine lokale KI im Haus, wenn die Daten den Betrieb nicht verlassen sollen.
- Auftragsverarbeitung mit allen Dienstleistern prüfen und ablegen, nicht nur mit dem KI-Anbieter.
- Technische Leitplanken: Zugriff nur über Firmenkonten, private KI-Konten auf Firmengeräten sperren, Rechte und Freigaben in Microsoft 365 aufräumen, bevor Copilot Dateien findet, die nie für alle gedacht waren.
- Nutzungsrichtlinie: zwei Seiten, verständlich: was hineindarf, was nicht und wer Ansprechpartner ist.
- Mitarbeitende befähigen: die Schulung „KI sicher nutzen“ als Maßnahme zur KI-Kompetenz nach Artikel 4 der KI-Verordnung, mit Teilnahmenachweis.
- Erste Anwendung im Alltag: Zusammenfassungen, Entwürfe für Dokumente und Mails, Auswertungen. Dort sieht das Team den Nutzen.
Das Paket KI-Start kostet je nach Größe des Betriebs ab 1.500 € netto. Microsoft 365 und Copilot bekommst du auf Wunsch über mich, ChatGPT- und Claude-Teamkonten schließt ihr direkt beim Anbieter ab, ich richte sie ein und verwalte sie. Dazu auf Wunsch jedes Jahr eine Auffrischung der Schulung. Mehr auf der Seite Lizenzen.
Drei Wege, und wann welcher passt
Die wichtigste Entscheidung fällt vor der ersten Zeile Code: wo die Daten verarbeitet werden. Danach richtet sich alles Weitere.
| Weg | Wie es funktioniert | Wofür geeignet |
|---|---|---|
| Lokales Modell | Das Modell läuft auf Hardware im Betrieb. Die Daten verlassen das Netzwerk nicht, eine Internetverbindung ist nicht nötig. | Personaldaten, Patienten- und Mandantendaten, Kalkulationen, alles wirklich Vertrauliche. |
| EU-Rechenzentrum | Verarbeitung bei einem Anbieter mit Standort in der EU, mit Auftragsverarbeitungsvertrag und ohne Training auf deinen Daten. | Alltagsaufgaben mit Personenbezug, wenn die eigene Hardware dafür nicht reicht. |
| Großer Anbieter mit Vertrag | Leistungsfähige Modelle bekannter Anbieter, geschäftlich lizenziert, mit Vertrag und abgeschalteter Trainingsnutzung. | Texte, Recherche, Entwürfe, Programmierung. Alles ohne personenbezogene oder vertrauliche Inhalte. |
In der Praxis läuft es meist auf eine Kombination hinaus: das Bequeme für Unkritisches, das Lokale für alles, was den Betrieb nicht verlassen darf. Wichtig ist, dass die Grenze zwischen beidem klar gezogen und aufgeschrieben ist.
Was die KI-Verordnung von einem KMU verlangt
Artikel 4 der europäischen KI-Verordnung gilt seit dem 2. Februar 2025. Mit dem sogenannten Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) wurde er entschärft: Ein Unternehmen, das KI-Systeme einsetzt, muss nicht mehr sicherstellen, dass jeder Beschäftigte einen bestimmten Wissensstand erreicht. Es muss aber Maßnahmen ergreifen, die die KI-Kompetenz der Menschen fördern, die damit arbeiten. Das gilt für den Betrieb, in dem drei Leute ChatGPT benutzen, genauso wie für Entwickler von Hochrisiko-Anwendungen.
Ein festes Schulungsprogramm schreibt die Verordnung nicht vor. Verlangt wird, dass die Maßnahmen zur Rolle und zur tatsächlichen Nutzung passen und dass das Unternehmen sie belegen kann. In Deutschland ist die Bundesnetzagentur als Aufsichtsbehörde vorgesehen. Ein eigener Bußgeldtatbestand für Artikel 4 besteht derzeit nicht, was die Sache aber nicht erledigt: Entsteht durch falsche KI-Nutzung ein Schaden, steht die Frage im Raum, ob eine angemessene Unterweisung ihn verhindert hätte.
Praktisch heißt das zweierlei: eine kurze, verständliche Nutzungsrichtlinie und eine Unterweisung, die dokumentiert ist. Beides mache ich zusammen mit dir. Die IT-Sicherheitsschulung enthält ein eigenes Modul zum sicheren und datenschutzgerechten Umgang mit KI-Werkzeugen und deckt damit den Teil ab, der die Belegschaft betrifft.
Was in eine Nutzungsrichtlinie gehört
Welche Werkzeuge
Eine kurze Liste der freigegebenen Anwendungen. Alles andere ist damit nicht freigegeben, ohne dass man jedes Werkzeug einzeln verbieten muss.
Welche Daten
Klar benannt, was nie in ein Chatfenster gehört: Kundendaten, Personaldaten, Zugangsdaten, Kalkulationen, Verträge.
Wer prüft das Ergebnis
KI-Ausgaben sind Entwürfe. Wer sie verantwortet, bevor sie den Betrieb verlassen, muss benannt sein.
Wen man fragt
Ein Ansprechpartner für den Fall, dass jemand unsicher ist. Ohne den landet im Zweifel doch wieder alles im Chatfenster.
Abgrenzung: Ich bin Fachinformatiker und kein Rechtsanwalt. Ich leiste keine Rechtsberatung. Was ich mache, ist die technische Umsetzung, die Bestandsaufnahme und die Vorbereitung der Entscheidungen, die dein Datenschutzbeauftragter, dein Steuerberater oder dein Anwalt trifft. Diese Seite gibt den allgemeinen Stand wieder und ersetzt keine Prüfung deines Einzelfalls.
Häufige Fragen
Dürfen wir ChatGPT im Betrieb einfach so nutzen?
Was ist ein lokales Modell und wann lohnt es sich?
Was verlangt die KI-Verordnung konkret von uns?
Wir haben keinen Datenschutzbeauftragten. Ist das ein Problem?
Was kostet die Einführung?
Reicht ChatGPT Business für den Datenschutz?
