KI im Unternehmen: Produktiv nutzen, Risiken im Griff behalten

ChatGPT, Microsoft Copilot und Co. sind in vielen Büros längst Alltag – oft schneller, als IT-Abteilung und Geschäftsführung hinterherkommen. Damit KI im Unternehmen produktiv statt riskant wird, braucht es klare Regeln, die richtigen Werkzeuge und einen Blick auf die Rechtslage. Wir zeigen, worauf es jetzt ankommt.

Schatten-KI: Das unterschätzte Risiko

In vielen Unternehmen nutzen Mitarbeitende KI-Tools auf eigene Faust – mit privaten Konten und ohne Freigabe. Gut gemeint, aber riskant: Was in einen öffentlichen Chatbot eingegeben wird, verlässt das Unternehmen. Kundendaten, Angebote, Verträge oder interner Quellcode können so bei einem Anbieter landen, mit dem es keinen Vertrag gibt – und je nach Einstellungen sogar zum Training von Modellen verwendet werden.

Das ist nicht nur ein Datenschutzproblem nach DSGVO, sondern kann auch Geschäftsgeheimnisse und Vertraulichkeitsvereinbarungen mit Kunden verletzen.

Copilot & Co.: KI sieht, was Mitarbeitende sehen dürfen

Unternehmenslösungen wie Microsoft 365 Copilot arbeiten innerhalb Ihrer eigenen Umgebung und greifen auf E-Mails, Dateien und Teams-Chats zu. Der Haken: Die KI respektiert die vorhandenen Berechtigungen – und die sind in vielen Unternehmen über Jahre gewachsen. Ein falsch freigegebener Ordner mit Gehaltslisten fiel bisher kaum auf. Mit KI-Suche findet ihn plötzlich jeder, der die richtige Frage stellt.

Bevor KI-Assistenten flächendeckend eingeführt werden, sollten Berechtigungen, Freigaben und die Klassifizierung sensibler Daten deshalb gründlich aufgeräumt werden.

Neue Angriffsmaschen: Deepfakes und KI-Phishing

Auch Angreifer nutzen KI. Phishing-Mails sind heute fehlerfrei formuliert und gezielt auf Empfänger zugeschnitten. Noch gefährlicher sind Deepfakes: Gefälschte Stimmen oder sogar komplette Videokonferenzen mit vermeintlichen Vorgesetzten werden genutzt, um Überweisungen auszulösen. Ein bekannter Fall aus 2024 kostete ein internationales Unternehmen rund 25 Millionen US-Dollar.

Die wirksamste Gegenmaßnahme ist organisatorisch: Zahlungen und Kontoänderungen grundsätzlich über einen zweiten, unabhängigen Kanal bestätigen – egal, wie echt die Anfrage wirkt.

Was der EU AI Act für Unternehmen bedeutet

Mit der KI-Verordnung (AI Act) gibt es seit 2024 einen europäischen Rechtsrahmen für Künstliche Intelligenz. Für die meisten mittelständischen Unternehmen, die KI-Tools „nur“ nutzen, sind vor allem diese Punkte relevant:

• KI-Kompetenz: Seit Februar 2025 müssen Unternehmen, die KI einsetzen, die KI-Kompetenz ihrer Mitarbeitenden fördern. Mit der im Juli 2026 in Kraft getretenen Änderungsverordnung („Digital Omnibus“) wurde diese Pflicht zwar abgeschwächt – Schulung und klare Regeln bleiben aber der richtige Weg.
• Transparenz: Seit August 2026 gelten Transparenzpflichten, etwa wenn Kunden mit einem KI-Chatbot kommunizieren oder KI-generierte Inhalte veröffentlicht werden.
• Verbotene Praktiken wie bestimmte Formen der Manipulation oder des Social Scorings sind bereits seit Februar 2025 untersagt.
• Hochrisiko-KI: Die strengen Pflichten für Hochrisiko-Anwendungen, etwa KI bei der Bewerberauswahl, wurden auf Dezember 2027 verschoben. Wer solche Systeme plant, sollte sich trotzdem schon jetzt vorbereiten.

Fünf Schritte zum sicheren KI-Einsatz

• Bestandsaufnahme: Welche KI-Tools werden im Unternehmen bereits genutzt – offiziell und inoffiziell?
• KI-Richtlinie erstellen: Welche Tools sind erlaubt, welche Daten dürfen eingegeben werden, wer ist Ansprechpartner?
• Geeignete Tools bereitstellen: Business-Versionen mit Datenschutzvereinbarung statt privater Konten – wer gute Werkzeuge anbietet, verhindert Schatten-KI.
• Berechtigungen aufräumen, bevor KI-Assistenten Zugriff auf Unternehmensdaten erhalten.
• Mitarbeitende schulen: Chancen und Grenzen von KI, Umgang mit sensiblen Daten und das Erkennen von KI-gestützten Angriffen.

Wir unterstützen Sie

Als ISO 27001 zertifiziertes IT-Systemhaus helfen wir Ihnen, KI sicher und sinnvoll einzusetzen – von der KI-Beratung über die Einführung und Absicherung von Microsoft 365 und Copilot bis zur Sensibilisierung Ihrer Mitarbeitenden. Sprechen Sie uns an.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.