KI im Unternehmen: die Regeln, die vor ChatGPT und Copilot gelten

8 Minuten Lesestunden · DataRoad

KI im Unternehmen Ohne Regeln gibt es keine Innovation – es ist ein Datenabfluss, der nur noch eintreten soll. Die kurze Antwort: Bevor Sie ChatGPT oder Copilot in die Praxis umsetzen, definieren Sie, welche Tools zugelassen sind, welche Daten niemals dorthin gelangen und wer was in Microsoft 365 sehen darf. Es sind Managemententscheidungen, nicht Informatikentscheidungen, und diese werden in einem Meeting getroffen.

KI wird bereits eingesetzt. Die Frage ist nur, wie.

Der Datenverletzungsbericht von Verizon aus dem Jahr 2026 hat die Aktivitäten auf den Computern der Unternehmen gemessen: 45% der Mitarbeiter nutzen bereits regelmäßig KI-Systeme in den Geräten des Unternehmens (im Vorjahr waren es 15%), und 67% greifen auf diese Dienste mit Konten zu, die nicht dem Unternehmen gehören. Die sogenannte “Shadow-AI” – Tools, die ohne Genehmigung eingesetzt werden – ist bereits die dritthäufigste nicht-schädliche interne Maßnahme in den Datendiebstahlergebnissen.

Verbot führt nicht zu Ergebnissen. Ohne eine genehmigte Instrumente und klare Regeln nutzen die Menschen das persönliche Konto und das Unternehmen verliert die Kontrolle darüber, was herauskommt.

Risiko 1: Kundendaten in kostenlosen Tools

Nichts davon ist böswillig: die Buchhaltung fügt einen Auszug zusammen, um ihn “zu veranschaulichen”, ein Verkäufer sendet eine E-Mail an einen Kunden, die Personalabteilung bittet um Hilfe, um eine Leistungsbewertung neu zu schreiben.

Das Problem liegt in den Nutzungsbedingungen. Die OpenAI beispielsweise gibt an, dass sie im Rahmen ihrer Dienste für Privatpersonen den Inhalt der Gespräche verwenden kann, um die Modelle zu trainieren, sofern der Nutzer diese Option nicht deaktiviert. In den Unternehmensplänen und in der API gilt das Gegenteil: Der Inhalt wird standardmäßig nicht für das Training verwendet. Der Unterschied zwischen den beiden Situationen besteht darin, dass die Konten der Unternehmen von der Firma verwaltet werden.

Risiko 2: Der Copilot sieht, was seine Berechtigungen zeigen

Microsoft 365 Copilot “befällt” nichts. Microsoft selbst erklärt, dass der Copilot nur Daten der Organisation anzeigt, für die jeder Benutzer zumindest die Leseberechtigung hat. Genau hier liegt das Risiko.

In unseren Audits stellen wir häufig alte Dateien vor, die niemand mehr überprüft hat: die Verteilungspartition “Alle”, ein Link “Jeder in der Organisation” aus dem Jahr 2013 für eine Lohndatei, eine SharePoint-Website eines alten Projekts, die für jedermann zugänglich ist. Bis heute hat niemand das bemerkt. Mit Copilot genügt es, zu fragen: “Welche Gehälter hat die Vertriebsmitarbeiter-Gruppe?” – und die Antwort kommt, sofern die Berechtigungen dies zulassen.

Die richtige Reihenfolge: Zuerst die Berechtigungen in SharePoint, OneDrive und Teams überprüfen; dann den Copilot an eine Pilotgruppe anschließen. Es ist eine Konfigurationsarbeit. Microsoft 365 for Business, Nicht ein neues Kauf.

Die 5 Regeln auf einer Seite

Eine A4-Seite für das gesamte Team, unterzeichnet von der Geschäftsführung – nicht von der IT.

Diese Regeln passen sich natürlich an die interne Cybersicherheitsrichtlinien Das sollte jeder Betrieb mit mehr als 10 Mitarbeitern schriftlich festlegen.

Checkliste vor dem Anschließen des Copilots

• Multiplikative Authentifizierung ist in allen Konten aktiv.
• Konten ehemaliger Mitarbeiter wurden entfernt und Lizenzen zurückgewonnen.
• Teilungslinks für “jeden” wurden überprüft und wo möglich deaktiviert.
• Verantwortlichkeiten für Direktion, Personalwesen und Finanzen mit eingeschränkter Zugriffsberechtigung für diejenigen, die sie benötigen.
• Definiertes Pilotteam (5 bis 10 Personen) und Frist für die Bewertung der Ergebnisse.

AI Act in einfachen Worten: Was bereits gilt

Die Europäische Verordnung über künstliche Intelligenz (Verordnung (EU) 2024/1689) gilt seit dem 1. August 2024 und wird schrittweise angewendet. Für ein KMU, das ChatGPT oder Copilot verwendet, ist das Wesentliche wie folgt:

• Ab dem 2. Februar 2025 Die verbotenen Praktiken gelten und Artikel 4 über die Kompetenz in KI: Unternehmen, die KI-Systeme verwenden, müssen Maßnahmen ergreifen, um sicherzustellen, dass ihr Personal über ausreichende Kenntnisse verfügt, um diese sachkundig zu nutzen.
• Im Juli 2026, Mit der Verordnung (EU) 2026/1744 – dem sogenannten “Omnibus Digital” über KI – wurden die Regeln für hochrisiko-Systeme verschoben: 2. Dezember 2027 für autonome Systeme und 2. August 2028 für die in Produkte integrierten Systeme. Die Pflicht zur Lesefertigkeit blieb bestehen.
• “Hoher Risiko” umfasst Anwendungen wie Rekrutierung, Biometrie oder kritische Infrastrukturen – wenn KI verwendet wird, um Kandidaten auszuwählen, sprechen Sie mit Ihrem Anwalt.

DataRoad bietet keine rechtliche Beratung an: Wir implementieren die technischen Maßnahmen – Konten, Berechtigungen, Protokolle – und helfen bei der Vorbereitung der Schulung.

Ein echter Fall: 200 Arbeitsplätze in drei Büros – dieselben Regeln

A Velv von OnRising, Die Softwareentwicklungsfirma mit Standorten in Porto, Lissabon und Rio de Janeiro beschäftigt rund 200 Mitarbeiter in IT-Leasing-Verträgen mit DataRoad. Die internationalen Kunden stellen 45 Prozent der Kundenbasis dar, und der Vertrag umfasst die Verwaltung der Firewall, die Netzwerk-Sicherheit und die Schutzrichtlinien.

In einem Unternehmen wie diesem ist die Frage “welche Kundendaten in eine KI-Lösung eingespeist werden können?” nicht theoretisch – und die Antwort muss in allen drei Büros gleich sein. Die KI-Richtlinien sind keine eigenständige Aufgabe: Sie fließen in die Richtlinien ein, die bereits das Unternehmen schützen und von derselben Gruppe angewendet werden, die Konten, Berechtigungen und Geräte verwaltet.

Was man diese Woche tun kann

Fragen Sie die Teammitglieder nach den KI-Tools, die sie verwenden, wählen Sie eine offizielle Tool mit einer Firmenkontonummer aus und fordern Sie eine Berechtigungsüberprüfung vor jedem Copilot-Pilot an. Wenn die Multifaktorauthentifizierung noch nicht gelöst ist, beginnen Sie damit: Das ist der erste Schritt. Zero Trust für KMU und schützt ihn mit oder ohne KI. Die KI steht auch auf der Seite des Angreifers: es lohnt sich die Teams zu Phishing und Deepfakes auszubilden.

Häufig gestellte Fragen

Muss ich ChatGPT in meinem Unternehmen verbieten?

Das Verbot ohne Alternativlösung bringt die Menschen in eine Situation, in der das Unternehmen keine Kontrolle hat. Es ist sicherer, eine Tool-Lösung mit einer Unternehmenskontonummer zu verwenden und festzulegen, dass dort niemals Daten eingegeben werden.

Kann der Copilot einem Mitarbeiter Dateien zeigen, die er nicht sehen sollte?

Der Copilot zeigt nur das an, was diese Person bereits zugelassen ist, zu sehen. Wenn die Berechtigungen falsch konfiguriert sind – beispielsweise gemeinsam mit allen gespeicherte Ordner oder veraltete Links – wird dieser Fehler vom Copilot sichtbar. Daher werden die Berechtigungen erneut festgelegt, bevor der Copilot aktiviert wird.

Gilt die Pflicht zur IT-Kenntnis in der KI auch für ein KMU?

Ja. Artikel 4 des AI Act gilt ab dem 2. Februar 2025 für alle, die KI-Systeme in ihrer beruflichen Tätigkeit verwenden, unabhängig von der Größe des Unternehmens. Kurze Schulungen, schriftliche Regeln und eine Anwesenheitsregistrierung sind ein guter Ausgangspunkt; für juristische Auskünfte wenden Sie sich an Ihren Anwalt.

Brauche ich neue Lizenzen, um KI sicher zu nutzen?

Nicht unbedingt. Großteil der Arbeit besteht darin, die bereits vorhandenen Funktionen der Firma zu konfigurieren: Mehrfache Authentifizierung, Überprüfung von Berechtigungen und Unternehmenskonten in den zugelassenen Tools. Die Copilot-Lizenzen ergeben nur Sinn, wenn diese Grundlage vorhanden ist.

KI-Regeln und Genehmigungen werden innerhalb von 10 Werktagen überprüft

Wir zeigen Ihnen die Zusammenfassungen Ihrer Microsoft 365-Anwendungen an, zeigen Ihnen, was der Copilot sichtbar machen würde und liefern Ihnen die fertig zu unterschreibende Regelseite. Für Unternehmen mit mehr als 10 Standorten · Supportvertrag · Remote- und lokaler Support · Telefonischer Support. Die Sicherheit ist in den Planen enthalten. IT Unlimited Premium, com Geführte Cybersicherheit von Kopf bis Fuß.

Quellen

• Verizon — 2026 Data Breach Investigations Report, Executive Summary
• Microsoft Learn — Daten, Privatsphäre und Sicherheit von Microsoft 365 Copilot
• OpenAI — Wie Ihre Daten zur Verbesserung der Modellleistung genutzt werden
• EUR-Lex — Verordnung (EU) 2024/1689 (Verordnung zur künstlichen Intelligenz)
• EUR-Lex — Verordnung (EU) 2026/1744 (Digitales Omnibus-Programm zur KI)
• Europäische Kommission — Abkommen zur Vereinfachung der KI-Regeln (neue Fristen für hohes Risiko)