Zu wissen, welche Daten nicht in öffentliche KI-Dienste gehören, ist das eine. Dafür zu sorgen, dass sie tatsächlich nicht dort landen, das andere.
Viele Unternehmen setzen zunächst auf Schulungen und Sensibilisierung. Mitarbeitende sollen verstehen, welche Informationen sensibel sind und beim Einsatz von KI besondere Vorsicht walten lassen. Diese Awareness bleibt wichtig. Im Arbeitsalltag ist sie allein jedoch kein verlässlicher Schutzmechanismus. Denn:
- Mitarbeiter handeln oft aus Gewohnheit oder Zeitdruck
- Bedrohungen werden unterschätzt
- Richtlinien werden (unbewusst) ignoriert
- Mitarbeitern ist nicht klar, wie sensibel oder unternehmenskritisch die Daten wirklich sind
Rein organisatorische Maßnahmen reichen nicht aus. Es braucht technische Kontrolle und zentrale Durchsetzung.
Die Antwort darauf muss allerdings nicht darin bestehen, generative KI grundsätzlich aus dem Unternehmen zu verbannen. Externe KI-Systeme vollumfänglich zu verbieten oder lediglich einem eingeschränkten Benutzerkreis zu ermöglichen, schränkt das Risiko zwar ein, eliminiert aber nicht das Kernproblem. Schließlich soll KI dort, wo ihr Einsatz sinnvoll und erlaubt ist, auch als Arbeitswerkzeug genutzt werden können.
Technisch sind dabei zwei Kontrollebenen zu unterscheiden:
- Welche Nutzer dürfen auf welche KI-Dienste zugreifen?
- Welche Daten und Dokumente dürfen an diese Dienste übertragen werden?
