1 · Ausgangslage
Worum es geht
Vielleicht kennen Sie die Situation schon. Ein Mitarbeiter nutzt ChatGPT, um einen Text zu verbessern. Ein anderer lässt sich eine Excel-Auswertung erklären. Jemand aus dem Vertrieb kopiert eine Kundenanfrage hinein. Und irgendwann stellen Sie sich die Frage: Was geben wir dieser KI eigentlich alles von uns?
Solange Sie privat mit KI herumprobieren, ist das überschaubar. Sobald KI aber im Unternehmen genutzt wird, arbeiten Ihre Mitarbeiter möglicherweise mit Kundendaten, Kalkulationen, Verträgen, technischen Informationen oder internem Wissen.
Dann wird Datenschutz zu einer ganz praktischen Managementfrage:
2 · Bedeutung
Warum diese Entscheidung fundamental ist
Datenschutz klingt nach Compliance und wandert deshalb schnell zum Datenschutzbeauftragten oder in ein Regelwerk, das niemand liest. Das ist der Fehler. Denn was in Ihren KI-Systemen landet, entscheidet über zwei Dinge, die für Ihr Unternehmen zentral sind.
Erstens: worauf Ihr Wettbewerbsvorteil beruht. Rezepturen, Kalkulationen, Kundenwissen, Erfahrungen aus Jahren — das sind die Informationen, die Ihr Unternehmen unterscheidbar machen. Wer sie leichtfertig aus der Hand gibt, verschenkt einen Teil dessen, wofür er über Jahre bezahlt hat.
Zweitens: das Vertrauen, das andere Ihnen entgegenbringen. Kunden geben Ihnen ihre Daten, Mitarbeiter geben Ihnen ihre Daten, Lieferanten geben Ihnen ihre Daten — im Vertrauen darauf, dass Sie damit verantwortungsvoll umgehen. Wenn dieses Vertrauen einmal beschädigt ist, bekommen Sie es schwer zurück.
Wer diese Entscheidung nicht bewusst trifft, überlässt sie entweder dem Bauchgefühl einzelner Mitarbeiter oder dem Standard des KI-Anbieters. Beides ist keine bewusste Wahl.
Merksatz
Die Kunst besteht nicht darin, für alles dieselbe Regel zu machen, sondern den Schutz dem tatsächlichen Risiko anzupassen.
3 · Hintergrund
Was hinter der Entscheidung steht
Daten sind für Ihre KI der Rohstoff. Ohne Daten kann sie nichts leisten. Je mehr und je besser die Daten, desto nützlicher wird sie. Gleichzeitig sind es genau diese Daten, die Sie schützen wollen. Darin liegt die eigentliche Spannung.
Drei Größen müssen Sie im Blick behalten:
- Welche Daten haben Sie? Öffentliche Informationen unterscheiden sich von normalen internen Daten, diese wiederum von vertraulichen Geschäftsinformationen, personenbezogenen Daten oder echten Geschäftsgeheimnissen.
- Was passiert mit ihnen? Welche Daten gehen an welche KI? Wo werden sie verarbeitet? Werden sie gespeichert? Wer kann darauf zugreifen? Werden sie für andere Zwecke weiterverwendet?
- Wozu werden sie verwendet? Eine KI, die einen öffentlichen Marketingtext formuliert, hat andere Anforderungen als eine, die Kundenfälle bearbeitet oder auf interne Produktinformationen zugreift.
Die Grundentscheidung ist keine technische, sondern eine gestalterische: Wie stark differenzieren Sie die Nutzung — und wo ziehen Sie die Grenzen?
Schokoladenfirma
Bei der Recherche nach öffentlich bekannten Kakaolieferanten arbeitet die KI mit öffentlichen Daten. Kein Problem. Sobald derselbe Mitarbeiter Einkaufspreise, vertrauliche Lieferantenbewertungen oder eine neue Rezeptur eingibt, ist die Anwendung immer noch "Lieferantensuche" — die Datenlage ist aber eine völlig andere.
4 · Optionen
Die Optionen
5 · Konsequenzen
Was jede Option nach sich zieht
Wenn Sie einen einheitlichen Rahmen wählen
ist die Regel leicht zu verstehen und leicht zu kommunizieren. Ihre Mitarbeiter wissen jederzeit, was gilt. Der Preis dieser Klarheit: Sie richten die Regel meist am sensibelsten Datentyp aus. Damit wird KI für unkritische Aufgaben unnötig eingeschränkt, was die Nutzung bremst und Ihre Mitarbeiter dazu bringen kann, an der Regel vorbei zu arbeiten. Genau die unkontrollierte Nutzung, die Sie eigentlich verhindern wollten.
Wenn Sie eine abgestufte Nutzung wählen
bekommen Sie Alltagstauglichkeit. Einfache Aufgaben laufen unkompliziert, sensible Anwendungen bekommen den Schutz, den sie brauchen. Ihre Mitarbeiter können in ihrer täglichen Arbeit schnell erkennen, welche KI sie wofür verwenden dürfen. Dafür brauchen Sie eine saubere Einteilung — nicht perfekt, aber verständlich. Und Sie brauchen jemanden, der neue Anwendungen den Zonen zuordnet.
Wenn Sie fallweise entscheiden
bekommen Sie die genaueste Passung an die jeweilige Situation. Kein Fall wird über- oder unterreguliert. Dafür verlangt jede neue Anwendung eine eigene Entscheidung, mit klaren Zuständigkeiten und einem funktionierenden Prozess. Ohne das versanden die Entscheidungen, es entstehen Wartezeiten, und am Ende macht jeder das, was er für richtig hält.
6 · Zusammenhang
Was diese Entscheidung mit den anderen macht
Die Datenkontrolle ist eng mit dem KI-Standort verzahnt. Wer besonders sensible Daten stark schützen will, wird zwangsläufig in Richtung Private oder Hybrid gehen — der Standort ist dann keine freie Wahl mehr, sondern folgt der Datenkontrolle. Umgekehrt engt eine reine Cloud-Wahl die Datenkontrolle ein: Manche Daten werden dort nicht sinnvoll verarbeitet werden können.
Sie wirkt auf die Auswahl der KI-Systeme und Anbieter. Nicht jeder Anbieter erfüllt jede Schutzstufe. Ihre Datenkontrolle grenzt den Markt für Sie ein.
Sie wirkt auf die Rolle der Mitarbeiter und deren Kompetenz. Klare Regeln allein reichen nicht — Ihre Mitarbeiter müssen die Daten, mit denen sie täglich arbeiten, überhaupt einschätzen können. Das ist eine Kompetenz, die Sie aufbauen müssen.
Umgekehrt sollten zwei Dinge vorher geklärt sein: welchen KI-Standort Sie grundsätzlich wählen und wer im Unternehmen die Verantwortung für die KI-Nutzung trägt. Ohne diese beiden Klärungen entscheiden Sie über Daten im luftleeren Raum.
7 · Kriterien
Kriterien für die Wahl
Welche Daten haben Sie tatsächlich in Ihren ersten KI-Anwendungen?
Nicht die theoretische Datenlandschaft Ihres gesamten Unternehmens ist die Frage, sondern das, was in den ersten konkreten Anwendungen tatsächlich vorkommt. Fangen Sie dort an.
Wie schnell wird sich Ihre KI-Nutzung ausweiten?
Heute lässt ein Mitarbeiter einen Text zusammenfassen. In sechs Monaten greift ein KI-System vielleicht direkt auf Kundendaten oder interne Dokumente zu. Ihre Datenkontrolle muss mit dieser Entwicklung mitwachsen können.
Welche regulatorischen Anforderungen betreffen Sie?
DSGVO, branchenspezifische Vorschriften, vertragliche Zusagen an Kunden — vieles ist nicht verhandelbar und legt einen Mindeststandard fest. Klären Sie das früh, damit Sie nicht dieselbe Diskussion zweimal führen.
Wie viel Steuerung können Sie im Alltag leisten?
Fallweise Entscheidungen brauchen einen funktionierenden Entscheidungsprozess. Abgestufte Nutzung braucht klare Zuständigkeiten für die Zuordnung. Ein einheitlicher Rahmen braucht am wenigsten laufende Steuerung. Was ist in Ihrem Unternehmen realistisch?
Was verlieren Sie im schlimmsten Fall?
Wenn eines Ihrer Rezepturen, eine Ihrer Kalkulationen oder ein Ihrer Kundendaten aus der Kontrolle geraten würde — wie schwer wäre der Schaden? Diese Frage klärt, wie viel Aufwand für den Schutz gerechtfertigt ist.
8 · Fallen
Typische Fehlgriffe
9 · Revision
Wann und wie überprüfen
Datenkontrolle ist keine Entscheidung, die einmal fällt und dann liegen bleibt. Ihre KI-Nutzung entwickelt sich, und die Regeln müssen mitwachsen.
Eine Faustregel: einmal jährlich strukturiert überprüfen — und immer dann, wenn sich Wesentliches ändert:
- Neue KI-Anwendungen kommen hinzu, die andere Datenarten berühren.
- Bestehende Anwendungen greifen tiefer in interne Systeme.
- Ein neuer Anbieter oder eine neue Technologie verändert die technischen Möglichkeiten.
- Regulatorische Anforderungen ändern sich.
- Ein Vorfall — bei Ihnen oder in Ihrer Branche — zeigt eine Schwachstelle.
Was Sie sich sparen können, ist die tägliche Grundsatzdiskussion. Sie haben einen Rahmen gesetzt. Solange sich die Voraussetzungen nicht ändern, gilt er.
Was Sie erreicht haben
Ihre Mitarbeiter wissen nicht nur, dass sie mit KI vorsichtig umgehen sollen, sondern auch, wie sie KI mit Unternehmensdaten tatsächlich sicher nutzen können.
Weiterlesen im Modell
Die Datenkontrolle wirkt besonders eng mit den Entscheidungen zu KI-Standort, KI-Governance und Rolle der Mitarbeiter zusammen. Wer den einen Artikel gelesen hat, gewinnt beim nächsten schnell an Tiefe.