KI braucht ein neues Zuhause

Warum dieses Thema gerade jetzt?

  • KI ist vom Experiment zum Standard-Tool geworden
  • Gleichzeitig steigen Regulierung und Kundenerwartungen
  • „Schnell mal ausprobieren” wird im Unternehmen zum Risiko

Das Protokoll im Prompt

  • Team lädt „nur kurz” ein Kundenprotokoll hoch
  • Ergebnis gut, Datenschutzprüfung fehlt
  • Später Frage: Wo liegen diese Daten eigentlich?

Der geniale, aber falsche Output

  • KI liefert souveräne Antwort mit erfundenen Fakten
  • Entscheidung wird darauf gestützt
  • Schaden entsteht nicht durch böse Absicht, sondern durch blindes Vertrauen

Was passiert bei einem Prompt?

  • Eingabe verlässt dein Endgerät über API/Web-App
  • Verarbeitung läuft über mehrere Dienste (Auth, Routing, Modell)
  • Teile werden geloggt, gefiltert, ggf. für Qualitätssicherung genutzt
  • Ausgabe kommt zurück, wirkt „instant”, ist aber eine Servicekette

Die typische KI-Request-Kette

  • Client: Browser, Plugin, IDE, App
  • Gateway: Authentifizierung, Rate Limits, Policy Checks
  • Inferenz: Modell-Cluster erzeugt Token
  • Nachgelagert: Logging, Monitoring, QA, …

Wo fließen die Daten lang?

  • Region hängt von Anbieter, Vertrag und Konfiguration ab
  • Subprozessoren können beteiligt sein
  • Daten können im Transit, in Logs und in Backups landen
  • Ohne DPA/AVV bleibt das oft intransparent

Welche Datenarten sind kritisch?

  • Personenbezogene Daten
  • Geschäftsgeheimnisse und Quellcode
  • Vertrags-, Finanz- und Gesundheitsdaten

Haftung und Rechtsfragen: Wer trägt was?

  • Unternehmen bleibt verantwortlich für den Einsatz
  • Anbieter haftet nur im vertraglich definierten Rahmen
  • Mitarbeitende brauchen Leitplanken, keine Grauzonen
  • „Die KI hat’s gesagt” ist keine Rechtsverteidigung

Regulatorischer Rahmen (vereinfacht)

  • DSGVO: Rechtsgrundlage, Zweckbindung, Minimierung
  • AI Act: Risikoklassen, Pflichten, Transparenz
  • Branchenregeln: z.B. KRITIS, Finanzaufsicht, Medizin

Risikoanalyse im Unternehmen (4 Felder)

  • Datenschutzrisiko: Was darf rein?
  • Qualitätsrisiko: Was darf ungeprüft raus?
  • Betriebsrisiko: Abhängigkeit, Ausfälle, Lock-in
  • Reputationsrisiko: Vertrauen von Kunden und Partnern

Wofür KI nutzen?

  • Entwürfe, Zusammenfassungen, Ideation
  • Code-Assistenz mit Review-Prozess
  • Interne Wissenssuche mit sauberen Quellen
  • Support-Vorbereitung, nicht blindes Autoreply

Wofür lieber nicht (ohne starke Kontrollen)

  • Vollautomatische Rechts- oder HR-Entscheidungen
  • Verarbeitung sensibler Kundendaten in Public-Tools
  • „One-click” Entscheidungen mit Außenwirkung
  • Kritische Produktionseingriffe ohne Human Gate

Warum KI ein neues Zuhause brauchen kann

  • Datenresidenz und Souveränität werden wichtiger
  • Eigene Policies lassen sich besser durchsetzen
  • Private/Hybrid-Hosting kann Compliance vereinfachen
  • Kosten und Performance werden planbarer

Hosting-Modelle im Vergleich

  • Public SaaS: schnell, bequem, wenig Steuerung
  • Private Instanz: mehr Kontrolle, mehr Betriebsaufwand
  • On-Prem/Edge: maximale Kontrolle, hohe Komplexität
  • Hybrid: pragmatischer Mittelweg für viele Unternehmen

Was ist „KI-Transformation” wirklich?

  • Nicht: „Wir kaufen ein Tool”
  • Sondern: Prozesse, Rollen, Governance, Infrastruktur
  • Plus: Enablement der Teams und klare Verantwortlichkeiten
  • Ziel: messbarer Nutzen bei kontrollierbarem Risiko

Ein pragmatischer 90-Tage-Startplan

  • Tage 1-30: Use-Cases priorisieren, Datenklassen definieren
  • Tage 31-60: Guardrails, Richtlinien, Pilotbetrieb
  • Tage 61-90: Betriebsmodell, KPIs, Skalierungsentscheidung

Konkrete Guardrails für den Alltag

  • Prompt Policy: Was nie eingegeben werden darf
  • Output Policy: Was immer geprüft werden muss
  • Rollenmodell: Wer darf welche Tools wofür nutzen
  • Logging/Audits: Nachvollziehbarkeit statt Bauchgefühl

Fazit

  • KI-Einsatz ist immer auch Daten- und Rechtsarchitektur
  • Der größte Fehler ist nicht Nutzung, sondern unkontrollierte Nutzung
  • Gute KI-Strategie verbindet Tempo mit Verantwortung
  • Manchmal braucht KI deshalb ein neues Zuhause

Q&A

  • Welche Use-Cases wollt ihr als Erstes sicher machen?
  • Wo habt ihr heute die größte Intransparenz im Datenfluss?
  • Was wäre euer sinnvoller nächster 30-Tage-Schritt?