„Ich hab die Datei schnell in ChatGPT hochgeladen.“
Ein Satz, der in vielen Unternehmen wahrscheinlich inzwischen häufiger fällt.
KI-Tools wie ChatGPT, Microsoft Copilot und andere Anwendungen können im Arbeitsalltag enorm hilfreich sein. Texte formulieren, E-Mails zusammenfassen, Informationen aufbereiten oder Excel-Formeln erklären – vieles geht damit deutlich schneller.
Doch gerade weil die Nutzung so einfach ist, entsteht ein neues IT-Sicherheitsproblem:
Welche Daten dürfen deine Mitarbeiter eigentlich in eine KI eingeben?
Die Antwort sollte nicht lauten: „Alles, was gerade praktisch ist.“
Denn eine KI kann zwar beim Arbeiten helfen, sie sollte aber nicht automatisch Zugriff auf vertrauliche Unternehmensdaten bekommen.
Das Problem ist nicht die KI – sondern die Daten
Wenn ein Mitarbeiter eine öffentliche KI-Anwendung nutzt, um einen Text zu verbessern, ist das zunächst einmal kein Sicherheitsproblem.
Problematisch wird es, wenn dabei Informationen verwendet werden, die eigentlich nicht für eine externe Verarbeitung gedacht sind.
Zum Beispiel:
- Kundendaten
- Verträge
- Angebote und Kalkulationen
- interne Preislisten
- Personalinformationen
- technische Dokumentationen
- Passwörter und Zugangsdaten
- interne E-Mails
- Geschäftsgeheimnisse
Der Mitarbeiter denkt dabei vielleicht gar nicht an IT-Sicherheit, er möchte lediglich schnell ein Problem lösen.
Genau das macht das Thema so schwierig.
„Aber die KI sieht doch nur diesen einen Text?“
Auch diese Annahme ist zu einfach.
Bei der Nutzung eines KI-Dienstes werden Eingaben verarbeitet. Welche Daten dabei wie verarbeitet, gespeichert oder anderweitig verwendet werden, hängt vom jeweiligen Anbieter, Produkt und Tarif sowie von den konkreten Einstellungen ab.
Deshalb solltest du nicht davon ausgehen, dass eine Information automatisch vertraulich bleibt, nur weil du sie in ein Chatfenster eingibst.
Gerade bei kostenlosen oder privat genutzten KI-Diensten solltest du besonders vorsichtig sein.
Das bedeutet nicht, dass du KI nicht nutzen solltest.
Es bedeutet:
Du solltest wissen, welche Daten du welchem Dienst anvertraust.
Ein Beispiel aus dem Büroalltag
Stell dir vor, ein Mitarbeiter bekommt folgende E-Mail von einem Kunden:
„Könntest du bitte prüfen, warum sich die Lieferung verzögert? Unsere Kundennummer ist 4711 und die Bestellung betrifft Projekt XY bei unserem Kunden ABC GmbH.“
Der Mitarbeiter möchte schnell eine passende Antwort formulieren.
Also kopiert er die komplette E-Mail in ChatGPT und schreibt:
„Formuliere daraus bitte eine professionelle Antwort an den Kunden.“
Das Ergebnis kann durchaus gut sein.
Die Frage ist aber: Musste die KI wirklich die Kundennummer, den Projektnamen und den Kundennamen kennen?
Wahrscheinlich nicht.
Der Mitarbeiter hätte auch schreiben können:
„Formuliere eine freundliche Antwort auf eine Kundenanfrage zu einer Lieferverzögerung.“
Das Ergebnis wäre vielleicht etwas allgemeiner – aber das Risiko wäre deutlich geringer.
Die einfachste Regel: So wenig Daten wie möglich
Eine sehr praktische Grundregel für den Umgang mit KI lautet:
Gib einer KI nur die Informationen, die sie für die Aufgabe wirklich benötigt.
Du kannst beispielsweise personenbezogene oder vertrauliche Informationen anonymisieren.
Statt:
„Herr Müller von der Müller GmbH hat sich über Rechnung 2026-4711 beschwert …“
kannst du schreiben:
„Ein Kunde hat sich über eine Rechnung beschwert …“
Für die eigentliche Aufgabe, beispielsweise das Formulieren einer freundlichen Antwort, reicht diese Information häufig vollkommen aus.
Welche Daten solltest du nicht einfach in eine KI kopieren?
Hier lohnt sich eine klare Unternehmensregel.
Ohne vorherige Prüfung sollten Mitarbeiter insbesondere keine folgenden Informationen in beliebige öffentliche KI-Dienste eingeben:
Personenbezogene Daten
Namen, Adressen, Telefonnummern, E-Mail-Adressen, Personalinformationen oder andere Daten, über die Personen identifiziert werden können.
Vertrauliche Unternehmensinformationen
Interne Strategien, Kalkulationen, Preislisten, Angebote, Geschäftspläne oder Informationen über geplante Projekte.
Kundendaten
Besonders dann, wenn die Informationen Rückschlüsse auf konkrete Kunden, Aufträge oder Projekte ermöglichen.
Zugangsdaten
Das sollte eigentlich selbstverständlich sein – ist aber wichtig genug, um es ausdrücklich zu nennen:
Passwörter, API-Keys, Zugangstokens oder andere Geheimnisse gehören niemals in ein KI-Chatfenster.
Technische Informationen
Auch interne Netzwerkpläne, IP-Adressen, Firewall-Konfigurationen, Sicherheitskonzepte oder detaillierte Informationen über die eigene IT-Infrastruktur sollten nicht einfach in öffentliche KI-Dienste kopiert werden.
Und was ist mit Microsoft Copilot?
Hier wird es etwas interessanter.
Microsoft Copilot ist nicht einfach gleichbedeutend mit der Nutzung eines öffentlichen KI-Chats. Je nach Produkt und Konfiguration kann Copilot innerhalb der Microsoft-365-Umgebung auf Unternehmensdaten und Berechtigungen aufsetzen.
Das bedeutet aber nicht automatisch, dass alle Daten plötzlich sicher sind.
Denn auch bei Microsoft 365 gilt: Copilot kann nur so sicher sein wie die Berechtigungen und Sicherheitskonfiguration deiner Microsoft-365-Umgebung.
Wenn beispielsweise ein Mitarbeiter Zugriff auf einen sensiblen SharePoint-Ordner hat, kann eine KI-Anwendung, die innerhalb dieser Berechtigungsstruktur arbeitet, unter Umständen ebenfalls auf entsprechende Inhalte zugreifen.
Deshalb ist KI gleichzeitig auch ein guter Anlass, einmal die eigenen Berechtigungen zu überprüfen.
„Wir verbieten einfach ChatGPT.“
Das klingt zunächst nach einer einfachen Lösung, allerdings funktioniert das in der Praxis häufig nicht besonders gut.
Denn wenn Mitarbeiter KI für ihre Arbeit hilfreich finden, werden sie möglicherweise trotzdem versuchen, sie zu nutzen, beispielsweise über private Accounts oder auf dem eigenen Smartphone.
Dann hast du nicht weniger KI-Nutzung, sondern einfach nur weniger Kontrolle darüber.
Eine klare und verständliche Regel ist deshalb meistens sinnvoller als ein pauschales Verbot.
Eine einfache KI-Regel für KMU
Du brauchst dafür nicht unbedingt ein 30-seitiges KI-Regelwerk.
Eine einfache Grundregel kann bereits viel bewirken:
„Verwende KI gerne für deine Arbeit. Gib aber keine vertraulichen, personenbezogenen oder sicherheitsrelevanten Unternehmensdaten in nicht freigegebene KI-Dienste ein.“
Zusätzlich solltest du festlegen:
- Welche KI-Dienste im Unternehmen erlaubt sind
- Welche Dienste nicht genutzt werden dürfen
- Welche Daten verarbeitet werden dürfen
- Welche Daten vorher anonymisiert werden müssen
- Wer bei Unsicherheit gefragt werden kann
Das muss nicht kompliziert sein, wichtig ist vor allem, dass deine Mitarbeiter wissen, was erlaubt ist und wo die Grenze liegt.
Der 5-Fragen-KI-Check für Mitarbeiter
Bevor du eine Datei oder einen Text in eine KI kopierst, kannst du dir fünf einfache Fragen stellen:
1. Sind darin personenbezogene Daten enthalten?
Wenn ja: Können diese Informationen entfernt oder anonymisiert werden?
2. Sind darin vertrauliche Unternehmensinformationen enthalten?
Wenn ja: Gehört dieser KI-Dienst überhaupt zu den freigegebenen Anwendungen deines Unternehmens?
3. Enthält der Inhalt Passwörter oder andere Geheimnisse?
Wenn ja: Nicht hochladen.
4. Würdest du diese Datei einem externen Dienstleister geben?
Wenn du bei dieser Frage schon ein ungutes Gefühl hast, solltest du die Daten auch nicht einfach in eine KI kopieren.
5. Braucht die KI diese Information wirklich?
Wenn nicht: Weglassen oder anonymisieren.
KI-Sicherheit beginnt nicht bei der KI
Das vielleicht wichtigste Learning lautet:
KI-Sicherheit ist zu einem großen Teil klassische IT-Sicherheit.
Wer Zugriff auf welche Daten hat, welche Benutzerrechte existieren und welche Anwendungen genutzt werden dürfen, war schon vor ChatGPT wichtig.
Durch KI wird diese Frage allerdings noch wichtiger, denn KI kann Informationen sehr schnell durchsuchen, zusammenfassen und miteinander verknüpfen.
Je mehr Daten ein Benutzer sehen darf, desto mehr Informationen können unter Umständen auch in KI-gestützte Arbeitsprozesse einfließen.
Deshalb sind saubere Benutzerrechte, MFA, ein gutes Berechtigungskonzept und klare Regeln für den Umgang mit Unternehmensdaten auch im KI-Zeitalter wichtige Grundlagen.
Fazit: KI nutzen - aber mit klaren Regeln
ChatGPT, Copilot und andere KI-Tools können deinen Arbeitsalltag erheblich erleichtern, du musst sie deshalb nicht aus Angst vor IT-Sicherheitsproblemen verbieten.
Viel wichtiger ist, dass du weißt, welche Daten in welche KI-Anwendung gelangen dürfen.
Eine einfache Regel hilft dabei schon enorm:
So wenig Daten wie möglich – und nur so viele Informationen, wie die KI für die jeweilige Aufgabe wirklich benötigt.
Wenn deine Mitarbeiter diese Grundregel kennen und wissen, welche KI-Dienste im Unternehmen freigegeben sind, ist bereits viel gewonnen.
Du möchtest wissen, wie gut dein Unternehmen auf den sicheren Einsatz von KI vorbereitet ist?
Wir unterstützen KMU bei Microsoft 365, Benutzerrechten, IT-Sicherheit und der Entwicklung sinnvoller Regeln für den Einsatz moderner Technologien.
Matoni IT – IT, die einfach funktioniert. Sicher, zuverlässig und passend zu deinem Unternehmen.