KI-Governance im Unternehmen: Generative KI sicher und compliant einführen

In immer mehr Betrieben nutzen Mitarbeiter ChatGPT, Microsoft Copilot oder andere KI-Tools im Arbeitsalltag – meist ohne dass die Geschäftsführung davon weiß oder Regeln existieren. Branchenverbände wie OWASP arbeiten mittlerweile an Frameworks, die KI-Risiken mit konkreten Compliance-Anforderungen verknüpfen. Für KMU bedeutet das: KI-Governance ist kein Thema mehr für die Zukunft, sondern eine Aufgabe, die jetzt angegangen werden sollte.

Warum KI-Governance für KMU relevant wird

Generative KI verspricht enorme Produktivitätsgewinne – vom automatisierten Textentwurf bis zur Codegenerierung. Gleichzeitig entstehen neue Risikoflächen, die klassische IT-Sicherheitskonzepte nicht abdecken: Mitarbeiter kopieren vertrauliche Kundendaten in öffentliche Chatbots, KI-Tools erhalten API-Schlüssel mit weitreichenden Berechtigungen, und niemand im Unternehmen kann sagen, welche KI-Dienste überhaupt im Einsatz sind. Diese unkontrollierte Nutzung wird zunehmend als “Schatten-KI” bezeichnet – ein Pendant zur bekannten Schatten-IT, nur mit deutlich höherem Datenrisiko.

Sicherheitsforscher und Standardisierungsgremien reagieren darauf mit neuen Frameworks, die KI-spezifische Risiken systematisch mit bestehenden Compliance-Anforderungen wie der DSGVO verknüpfen. Für ostdeutsche KMU, die oft ohne dedizierte IT-Sicherheitsabteilung arbeiten, ist das eine wichtige Orientierung – denn die Verantwortung für den sicheren Umgang mit KI liegt am Ende immer bei der Geschäftsführung.

Die drei größten KI-Risiken für Unternehmen

• Datenabfluss durch öffentliche KI-Dienste: Werden Kundendaten, Verträge oder Quellcode in kostenlose Chatbot-Oberflächen eingegeben, verlässt das Unternehmen häufig die Kontrolle darüber, was mit diesen Daten geschieht.
• Ungeprüfte KI-generierte Inhalte: Von KI erstellte Texte, Analysen oder sogar Programmcode enthalten regelmäßig Fehler oder Halluzinationen, die ohne menschliche Prüfung in Verträge, Angebote oder Software einfließen.
• Fehlende Nachvollziehbarkeit: Ohne dokumentierte Richtlinien lässt sich im Ernstfall – etwa bei einer DSGVO-Anfrage oder einem Sicherheitsvorfall – nicht mehr rekonstruieren, welche Daten wohin geflossen sind.

Was KI-Governance konkret bedeutet

KI-Governance ist kein einzelnes Tool, sondern ein Regelwerk aus organisatorischen und technischen Maßnahmen. Ziel ist es, den Nutzen generativer KI zu erhalten, ohne unkontrollierte Risiken einzugehen. Für ein KMU bedeutet das in der Praxis: klare Regeln, wer welche KI-Tools mit welchen Daten nutzen darf, technische Kontrollen, die diese Regeln durchsetzen, und ein Prozess, der neue KI-Dienste vor der Einführung prüft.

Unterschied zu klassischer IT-Sicherheit

Klassische IT-Sicherheitskonzepte adressieren Netzwerke, Endgeräte und Zugriffsrechte. KI-Governance ergänzt das um Fragen, die bei herkömmlicher Software selten relevant sind: Wo werden Eingaben verarbeitet und gespeichert? Fließen sie in das Training des Modells ein? Welche Ausgaben benötigen zwingend eine menschliche Prüfung, bevor sie verwendet werden? Diese Fragen lassen sich nicht mit einer Firewall beantworten, sondern erfordern verbindliche Richtlinien und Schulung.

Praxisteil: KI-Governance in 6 Schritten einführen

1. Bestandsaufnahme durchführen

Zunächst muss geklärt werden, welche KI-Tools im Unternehmen bereits genutzt werden – offiziell und inoffiziell. Eine kurze, anonyme Mitarbeiterbefragung deckt oft überraschend viele Schatten-KI-Anwendungen auf.

2. Nutzungsrichtlinie erstellen

Eine verständliche, verbindliche Richtlinie legt fest, welche Daten niemals in externe KI-Tools eingegeben werden dürfen (Kundendaten, Gesundheitsdaten, Verträge, Quellcode mit Geschäftsgeheimnissen) und welche KI-Dienste freigegeben sind.

3. Freigegebene Tools mit Unternehmenskonten nutzen

Business- oder Enterprise-Varianten von KI-Diensten bieten in der Regel vertragliche Zusicherungen zur Datenverarbeitung, die kostenlose Consumer-Versionen nicht liefern. Wo möglich, sollten Unternehmen ausschließlich diese Varianten einsetzen.

4. Technische Kontrollen ergänzen

Firewall- und DNS-Filterregeln können den Zugriff auf nicht freigegebene KI-Dienste einschränken. API-Schlüssel für KI-Integrationen gehören in einen Passwortmanager statt in Klartext-Konfigurationsdateien und sollten mit minimalen Berechtigungen ausgestattet sein.

5. Vier-Augen-Prinzip für KI-Ausgaben etablieren

Verträge, Angebote, Code oder Kundenkommunikation, die mithilfe von KI erstellt wurden, sollten vor der Verwendung von einer verantwortlichen Person geprüft werden – insbesondere bei rechtlich relevanten Inhalten.

6. Neue KI-Dienste vor Einführung prüfen

Statt neue KI-Tools spontan im Team auszuprobieren, sollte ein kurzer, definierter Prüfprozess vorgeschaltet werden: Wo sitzt der Anbieter, wie werden Daten verarbeitet, existiert ein Auftragsverarbeitungsvertrag nach DSGVO?

Rexoma unterstützt KMU in Dresden bei KI-Governance

Sie möchten die Chancen generativer KI nutzen, ohne die Kontrolle über Ihre Unternehmensdaten zu verlieren? Rexoma unterstützt KMU in Dresden, Sachsen und ganz Ostdeutschland dabei, KI-Nutzungsrichtlinien zu erarbeiten, technische Schutzmaßnahmen umzusetzen und bestehende IT-Sicherheitskonzepte um KI-spezifische Risiken zu erweitern. Sprechen Sie uns an, wenn Sie KI-Governance strukturiert einführen möchten.

FAQ

Brauchen auch kleine Unternehmen mit wenigen Mitarbeitern eine KI-Richtlinie? Ja. Schon ein einzelner Mitarbeiter, der Kundendaten in einen öffentlichen Chatbot eingibt, kann einen DSGVO-relevanten Vorfall auslösen. Die Unternehmensgröße schützt nicht vor diesem Risiko.

Dürfen Mitarbeiter ChatGPT grundsätzlich weiter nutzen? Das lässt sich pauschal nicht beantworten. Entscheidend ist, welche Daten eingegeben werden und ob eine Business-Version mit entsprechenden Datenschutzzusicherungen genutzt wird.

Was ist der Unterschied zwischen Schatten-IT und Schatten-KI? Schatten-IT bezeichnet nicht genehmigte Software oder Geräte im Unternehmensnetzwerk. Schatten-KI ist die unkontrollierte Nutzung von KI-Diensten, bei der zusätzlich das Risiko besteht, dass Eingaben dauerhaft außerhalb des Unternehmens gespeichert werden.

Reicht eine schriftliche Richtlinie ohne technische Kontrollen aus? Nein. Richtlinien werden in der Praxis nicht immer eingehalten. Technische Maßnahmen wie Filterregeln oder freigegebene Business-Tools setzen die Vorgaben verlässlicher durch.

Wie oft sollte eine KI-Richtlinie überarbeitet werden? Angesichts der schnellen Entwicklung im KI-Bereich empfiehlt sich eine Überprüfung mindestens einmal jährlich oder immer dann, wenn neue KI-Tools im Unternehmen eingeführt werden sollen.