--- title: "KI-Richtlinie im Unternehmen | DataRoad IT" description: "Fünf Regeln auf einer Seite, um ChatGPT und Copilot ohne Datenabfluss zu nutzen: freigegebene Tools, Tabu-Daten, geprüfte Zugriffe. Unverbindliches Angebot." language: de url: https://www.dataroad-it.com/de/ki-richtlinie-chatgpt-copilot-unternehmen/ source: https://www.dataroad-it.com/de/ki-richtlinie-chatgpt-copilot-unternehmen/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Fünf Regeln auf einer Seite, um ChatGPT und Copilot ohne Datenabfluss zu nutzen: freigegebene Tools, Tabu-Daten, geprüfte Zugriffe. Unverbindliches Angebot. # KI-Richtlinie im Unternehmen: fünf Regeln für ChatGPT und Copilot Auf einen Blick Für Entscheider mit wenig Zeit. - 01 45 % der Beschäftigten nutzen KI bei der Arbeit, 67 % mit privaten Konten (Verizon, 2026). - 02 Copilot zeigt, was die Berechtigungen erlauben: Prüfen Sie Zugriffe vor der Aktivierung. - 03 Eine KI-Richtlinie passt in fünf Regeln auf einer Seite, unterschrieben von der Leitung. - 04 Seit dem 2. Februar 2025 verlangt der AI Act von jedem Unternehmen KI-Kompetenz. ### In diesem Artikel **Eine KI-Richtlinie im Unternehmen kostet ein Meeting und ein DIN-A4-Blatt. Sie nicht zu haben, kann die Vertraulichkeit von Kunden, Gehältern und Verträgen kosten.** Bevor Sie das Team ChatGPT breit nutzen lassen oder Copilot aktivieren, muss die Geschäftsleitung drei Dinge festlegen: die zugelassenen Werkzeuge und das verwendete Konto, die Informationen, die immer außen vor bleiben, und wer in Microsoft 365 was öffnen kann. Im Folgenden erklären wir die Reihenfolge, die DataRoad bei Kunden anwendet, und was der AI Act KMU bereits vorschreibt. ## Nutzen Ihre Mitarbeitenden KI bereits ohne Erlaubnis? Sehr wahrscheinlich ja. Der jährliche Verizon-Bericht zu Datenschutzverletzungen (Ausgabe 2026) zeigt, dass 45 % der Menschen KI regelmäßig auf Arbeitsrechnern nutzen, gegenüber 15 % ein Jahr zuvor. Schlimmer: 67 % melden sich bei diesen Diensten mit Konten an, die das Unternehmen nicht kontrolliert. KI, die am Unternehmen vorbei genutzt wird, die sogenannte Schatten-KI, ist zur dritthäufigsten internen, nicht böswilligen Ursache von Datenlecks geworden. Ein Verbot löst das also nicht. Ohne offizielle Alternative nutzt das Team Smartphone und privates Konto, und das Unternehmen verliert den Überblick darüber, was hinausgeht. ## Welche Daten werden mit einem privaten Konto preisgegeben? Alles, was in den Chat kopiert wird. Die Beispiele sind banal: ein Kontoauszug zur Zusammenfassung, die Nachricht eines Kunden, vom Vertrieb umformuliert, eine Leistungsbeurteilung, von der Personalabteilung aufpoliert. Was alles ändert, sind die Nutzungsbedingungen. In den Verbraucherversionen kann OpenAI die Unterhaltungen zum Training seiner Modelle verwenden, sofern der Nutzer diese Einstellung nicht deaktiviert. In den Business-Abonnements und in der API ist das Standardverhalten umgekehrt: Die Inhalte bleiben vom Training ausgeschlossen. Die Grenze zwischen beiden Welten ist ein vom Unternehmen verwaltetes Business-Konto. **Einfacher Vergleich:** Ein Geschäft mit KI über ein privates Konto zu besprechen, ist wie am Telefon in einem vollen Zug zu verhandeln. Mit einem Business-Konto findet das Gespräch in einem geschlossenen Raum statt, mit Hausregeln und Protokoll, wer anwesend war. ## Kann Copilot vertrauliche Dateien offenlegen? Ja, wenn die Berechtigungen bereits falsch sind. Microsoft 365 Copilot bricht keine Tür auf: Laut Microsoft-Dokumentation liefert er nur Informationen, auf die der Nutzer bereits mindestens Lesezugriff hat. Die Gefahr liegt in Freigaben, die niemand geprüft hat. Genau das finden wir in Audits regelmäßig. Ein Ordner der Geschäftsleitung, offen für die gesamte Organisation. Ein vor drei Jahren erstellter Link zur Gehaltsliste, gültig für jeden Kollegen. Eine SharePoint-Site eines abgeschlossenen Projekts, ohne Einschränkungen. Jahrelang blieb das unbemerkt. Mit Copilot kann eine Frage zur Vergütung des Vertriebsteams sofort beantwortet werden. Die Reihenfolge ist nicht verhandelbar: zuerst Zugriffe in SharePoint, OneDrive und Teams bereinigen, dann Copilot für eine kleine Gruppe öffnen. Es geht darum, das [Microsoft 365 des Unternehmens](https://www.dataroad-it.com/de/microsoft-365-unternehmen-verwaltung/) richtig zu konfigurieren, nicht darum, mehr Lizenzen zu kaufen. ## Welche Regeln sollte die KI-Richtlinie enthalten? Fünf genügen. Sie passen auf eine Seite, und unterschreiben muss die Geschäftsleitung, nicht der Techniker. | Regel | Anwendung | Verantwortlich | | --- | --- | --- | | **1. Geschlossene Werkzeugliste** | Nur zugelassene Werkzeuge, immer mit Firmenzugang; keine privaten Konten für berufliche Themen. | Geschäftsleitung und IT | | **2. Verbotene Informationen** | Keine personenbezogenen Daten von Kunden oder Team, keine klinischen Informationen, Gehälter, Zugangsdaten, Verträge oder vertraulichen Angebote. | Alle Nutzer | | **3. Erst Zugriffe bereinigen** | Freigaben und offene Links in SharePoint, OneDrive und Teams geprüft; Copilot startet in einer Pilotgruppe. | IT | | **4. Prüfung durch einen Menschen** | Die KI liefert den Entwurf; jemand prüft Zahlen, Namen und Fakten, bevor das Dokument den Kunden erreicht. | Direkte Vorgesetzte | | **5. Schulung mit Nachweis** | Eine kurze Sitzung für das ganze Team und eine aufbewahrte Anwesenheitsliste: der Nachweis der gesetzlich verlangten Kompetenz. | Personalabteilung | Binden Sie sie in die [internen Sicherheitsrichtlinien](https://www.dataroad-it.com/de/cybersecurity-sieben-richtlinien-unternehmen/) ein, die jede Organisation mit mehr als 10 Personen dokumentiert haben sollte. ### Checkliste vor dem ersten Pilotprojekt - **Authentifizierung** MFA für alle Konten aktiv, ohne Ausnahmen. - **Austritte** Nutzer, die gegangen sind, gelöscht und Lizenzen zurückgegeben. - **Öffentliche Links** Links „jeder mit dem Link“ geprüft und wo möglich deaktiviert. - **Geschützte Bereiche** Geschäftsleitung, Personal und Finanzen nur für die, die sie brauchen. - **Testgruppe** 5 bis 10 Nutzer, mit festem Termin für die Auswertung. ## Was verlangt der AI Act heute von einem KMU? KI-Kompetenz. Die Verordnung (EU) 2024/1689 gilt seit dem 1. August 2024 und wird gestaffelt angewendet. Für ein Unternehmen, das ChatGPT oder Copilot im Arbeitsalltag nutzt, zählen drei Punkte: - **Seit dem 2. Februar 2025** Gelten die verbotenen Praktiken und Artikel 4. Wer KI einsetzt, muss sicherstellen, dass die Menschen ausreichend vorbereitet sind, um sie mit Urteilsvermögen zu nutzen. - **Juli 2026** Die Verordnung (EU) 2026/1744, bekannt als digitaler KI-Omnibus, verschob die Pflichten für Hochrisiko-Systeme auf den 2. Dezember 2027 (eigenständige Systeme) und den 2. August 2028 (in Produkte eingebettete Systeme). Die KI-Kompetenz blieb Pflicht. - **Hohes Risiko** Umfasst zum Beispiel Bewerberauswahl, Biometrie und kritische Infrastrukturen. Wenn KI bei der Personalauswahl mitwirkt, holen Sie eine rechtliche Einschätzung ein. Wer KI nutzt, um Nachrichten zu formulieren, Berichte zusammenzufassen oder Angebote zu erstellen, braucht keine Zertifizierung. Er muss nachweisen, dass das Team das Werkzeug kennt, weiß, wo es versagt, und sorgfältig mit Daten umgeht. Regel 5 sichert diesen Nachweis. DataRoad leistet keine Rechtsberatung. Wir setzen den technischen Teil um (Konten, Zugriffe, Protokolle) und unterstützen die Vorbereitung der Schulung. ## Wie funktioniert das in einem Unternehmen mit drei Büros? [Velv by OnRising](https://www.dataroad-it.com/de/velv-onrising-200-arbeitsplaetze-nearshore/) entwickelt Software in Porto, Lissabon und Rio de Janeiro, mit rund 200 von DataRoad in IT Unlimited betreuten Arbeitsplätzen. Fast die Hälfte des Umsatzes (45 %) stammt von internationalen Kunden, und der Vertrag umfasst Firewall, Netzwerksicherheit und Schutzrichtlinien. Für ein solches Team ist die Entscheidung, welche Kundeninformationen durch eine KI gehen dürfen, Routine, und die Regel muss in allen drei Städten gleich sein. Die KI-Richtlinie kommt in das bestehende Richtlinienpaket und wird vom selben Team umgesetzt, das Identitäten, Zugriffe und Geräte verwaltet. ## Wo fangen Sie noch diese Woche an? - **Fragen**: finden Sie heraus, welche KI-Dienste das Team heute nutzt. - **Offiziell machen**: wählen Sie ein Werkzeug und geben Sie ihm Business-Konten. - **Prüfen**: lassen Sie die Zugriffe vor jedem Copilot-Test prüfen. Ohne flächendeckende MFA ist das die Priorität: der Einstieg in ein [Zero-Trust-Modell für KMU](https://www.dataroad-it.com/de/zero-trust-kmu-90-tage-plan/). Und vergessen Sie nicht, dass auch Angreifer KI nutzen: Es lohnt sich, [die Menschen auf Phishing und Deepfakes vorzubereiten](https://www.dataroad-it.com/de/phishing-deepfake-awareness-team/). ## Häufige Fragen zur KI-Richtlinie ### Sollten wir ChatGPT im Firmennetz blockieren? Das ist nicht die beste Option. Eine Sperre ohne Alternative verlagert die Nutzung auf Smartphones und private Konten; sicherer ist es, ein Business-Werkzeug offiziell einzuführen und die verbotenen Daten aufzulisten. ### Kann ein Mitarbeiter über Copilot sehen, was er nicht sehen sollte? Nur wenn er diesen Zugriff bereits hat. Copilot verstärkt lediglich falsch vergebene Berechtigungen (für alle offene Ordner, alte Links) und deshalb kommt die Zugriffsprüfung immer vor der Aktivierung. ### Muss auch ein Unternehmen mit 15 Personen die KI-Kompetenz erfüllen? Ja. Artikel 4 des AI Act gilt seit dem 2. Februar 2025 für jede berufliche Nutzung von KI, unabhängig von der Größe; schriftliche Regeln, eine kurze Sitzung und eine Anwesenheitsliste sind das vernünftige Minimum, und die rechtliche Bewertung obliegt Ihrem Anwalt. ### Erfordert sichere KI-Nutzung den Kauf von Lizenzen? Nein. Das Wesentliche ist die Konfiguration dessen, was das Unternehmen bereits bezahlt (MFA, geprüfte Zugriffe, Business-Konten in den gewählten Werkzeugen) und erst danach rechtfertigen sich Copilot-Lizenzen. ## Nächster Schritt: KI-Richtlinie und geprüfte Zugriffe in 10 Werktagen DataRoad prüft die Freigaben Ihres Microsoft 365, zeigt Ihnen, was Copilot sichtbar machen würde, und liefert das unterschriftsreife Regelblatt. Der Schutz ist Teil des [Tarifs IT Unlimited Premium](https://www.dataroad-it.com/de/it-unlimited-premium-vor-ort-service/) und unserer vollständigen [Managed Cybersecurity](https://www.dataroad-it.com/de/cybersicherheit-unternehmen/). Fordern Sie ein unverbindliches Angebot an. **Ab 10 Arbeitsplätzen · Servicevertrag · Support remote, vor Ort und telefonisch.** Rufen Sie an: +351 211 459 950 * oder schreiben Sie an sales@dataroad.pt. **Anruf ins portugiesische Festnetz.* ## Konsultierte Quellen - [Verizon DBIR 2026 (Executive Summary)](https://www.verizon.com/business/resources/executivebriefs/2026-dbir-executive-summary.pdf) - [Microsoft Learn: Datenschutz und Datensicherheit in Copilot](https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-privacy) - [OpenAI: Verwendung von Daten zum Modelltraining](https://openai.com/policies/how-your-data-is-used-to-improve-model-performance/) - [EUR-Lex: Text des AI Act, Verordnung (EU) 2024/1689](https://eur-lex.europa.eu/legal-content/PT/TXT/?uri=CELEX:32024R1689) - [EUR-Lex: digitaler KI-Omnibus, Verordnung (EU) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/por) - [Europäische Kommission: neue Termine für Hochrisiko-Systeme](https://digital-strategy.ec.europa.eu/en/news/eu-agrees-simplify-ai-rules-boost-innovation-and-ban-nudification-apps-protect-citizens) Gewählt von renommierten und internationalen Unternehmen ★★★★★ 5,0 · 52 Google-Bewertungen ★★★★★ 5,0 · 52 Google-Bewertungen DataRoad ## Verwandte Artikel [Managed IT und CybersicherheitTeams auf Reisen: Laptops, Handys und öffentliches WLAN sichernDas echte Reiserisiko ist ein verlorener, unverschlüsselter Laptop, nicht das Hotel-WLAN. Mit Verschlüsselung, MFA und zentraler Verwaltung …12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/cybersecurity-teams-auf-reisen-laptop-wlan/)[Managed IT und CybersicherheitExterne Angriffsfläche: was das Internet von Ihrer Firma siehtAutomatisierte Angriffe suchen verwundbare Versionen, die Firmengröße spielt keine Rolle. 2025 verzeichnete CERT.PT 3.864 Vorfälle, 40 % meh…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/externe-angriffsflaeche-unternehmen/)[Managed IT und CybersicherheitNOC und Managed Cybersecurity: wer Ihr KMU überwacht, und wannEntscheidend ist nicht ein SOC, sondern wer samstags um 22 Uhr den Alarm erhält und was dann passiert. Bei DataRoad sind Nächte, Wochenenden…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/noc-soc-managed-cybersecurity-kmu/)[Managed IT und CybersicherheitMicrosoft-365-Sicherheit: die 10 Kontrollen des UnternehmensIn Microsoft 365 gehört die Plattform Microsoft, die Schlüssel gehören Ihnen. Laut Microsoft stoppen MFA und das Blockieren veralteter Authe…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/microsoft-365-sicherheit-geteilte-verantwortung/)[Managed IT und CybersicherheitDSGVO und Managed Cybersecurity: 10 technische KontrollenOhne dokumentierte technische Maßnahmen wird eine Datenpanne vom IT-Vorfall zum Problem mit der Aufsichtsbehörde. Zehn Kontrollen in drei Bl…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/dsgvo-technische-massnahmen-it-infrastruktur/)[Managed IT und CybersicherheitGeleakte Passwörter: Domain prüfen und Lücke in 5 Tagen schließenDas Risiko ist nicht die E-Mail im Datenleck, sondern dasselbe Passwort für ein Firmenkonto. Betroffenes ändern, MFA für alle Konten und ein…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/zugangsdaten-datenleck-domain-pruefen/)[Managed IT und CybersicherheitAsset-Inventar: Grundlage für IT-Bestandsverwaltung und NIS2Ohne Asset-Inventar gibt es keine geplante Erneuerung, keine nachweisbare Sicherheit und keine Antwort an das CNCS. NIS2-Einrichtungen müsse…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/it-asset-inventar-nis2/)[Managed IT und CybersicherheitBreak-Glass-Konten in Microsoft 365: die Versicherung der FirmaEin ausgesperrter Admin kann E-Mail, Teams und Dateien tagelang unverwaltet lassen. Break-Glass-Konten sind der Reserve-Administrator, wenn …12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/break-glass-konten-microsoft-365-notfall/)[Managed IT und CybersicherheitWindows 365 im Unternehmen: wann der Cloud-PC Kosten senktDer Cloud-PC lohnt sich für Berater, Saisonkräfte, Teams ohne Büro und gemischte Mac-/Windows-Umgebungen. Für Video, CAD oder schwaches Inte…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/windows-365-cloud-pc-kosten-unternehmen/) Zahlen, die Sie prüfen können **11** Jahre am Markt **232** Kunden **< 10 Min.** durchschnittliche Reaktionszeit **15+** IT-Herstellerzertifizierungen **10+** Länder mit betreuten Kunden **5,0 ★** 52 Google-Bewertungen Transparenz ## Was viele Anbieter verschweigen, veröffentlichen wir. [Pläne und Preise ansehen →](https://www.dataroad-it.com/it-unlimited/) - **Preise offen** Essential ab 395 €/Monat zzgl. MwSt., Premium ab 750 € und Premium 365 ab 1.200 €. - **Keine Bindung** Jahresvertrag, keine Bindung und keine Einrichtungskosten. - **Alles schriftlich** Leistungsumfang und Preis, bevor Sie unterschreiben. - **Support ohne Stundenzählung** Remote und telefonisch in jedem Plan; Vor-Ort-Support ab Premium. Partner und Zertifizierungen DataRoad · Managed IT für Unternehmen ## One StepAhead of IT. Ein Partner, der für die gesamte IT verantwortlich ist, mit vertraglich festgelegten Reaktionszeiten und einer festen Monatspauschale. - **11** Jahre am Markt, seit 2015 - **5 ★** bei Google · 52 Bewertungen - **232** betreute Kunden We do **IT** right. DataRoad IT Unlimited ## Hängt Ihre IT von einer einzigen Person ab? Dokumentation, Inventar und ein Ansprechpartner, der für alles geradesteht. [Unverbindliches Angebot anfordern →](https://www.dataroad-it.com/de/#contact)+351 211 459 950 **Anruf ins portugiesische Festnetz · Mehr als 10 Arbeitsplätze · Supportvertrag · Remote-, Vor-Ort- und Telefonsupport[Unsicher, was Sie brauchen? Sprechen Sie mit dem Assistenten →](https://www.dataroad-it.com/de/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/de/ki-richtlinie-chatgpt-copilot-unternehmen/