Ein KI-Verbot schafft noch keinen sicheren Arbeitsweg

Ein Unternehmen verbietet öffentliche KI-Dienste. Die Regel ist schnell kommuniziert und scheint das Risiko zu beseitigen. Die Aufgaben bleiben jedoch bestehen: Texte müssen zusammengefasst, Angebote vorbereitet, Protokolle strukturiert und Informationen gesucht werden. Wenn kein freigegebener Weg existiert, wandert ein Teil dieser Arbeit in private Konten und unsichtbare Werkzeuge.

Ein Verbot kann für bestimmte Daten, Entscheidungen oder Dienste notwendig sein. Als alleinige Strategie verwechselt es sichtbare Nutzung mit tatsächlicher Nutzung. Sicherheit entsteht erst, wenn Mitarbeitende einen verständlichen Arbeitsweg besitzen: Was ist erlaubt, mit welchen Daten, in welchem Werkzeug, mit welcher Prüfung und an wen geht ein neuer Fall?

Die zentrale Einheit der Steuerung ist deshalb nicht „KI ja oder nein“, sondern der konkrete Anwendungsfall.

Das Werkzeug allein bestimmt nicht das Risiko

Dieselbe Anwendung kann je nach Aufgabe sehr unterschiedliche Folgen haben. Eine Formulierungshilfe für einen öffentlichen Veranstaltungstext ist anders zu bewerten als die Analyse von Personalakten oder die automatische Entscheidung über Bewerbungen.

Vor einer Freigabe sollten mindestens sechs Fragen beantwortet werden:

1. Aufgabe: Was soll das System tatsächlich tun?
2. Daten: Welche Informationen werden eingegeben, abgerufen oder erzeugt?
3. Wirkung: Wofür wird das Ergebnis verwendet und wer ist betroffen?
4. Werkzeug: Welcher Anbieter, Vertrag, Betriebsmodus und welche Einstellungen gelten?
5. Prüfung: Wer kontrolliert Ergebnis, Quellen und mögliche Schäden?
6. Verantwortung: Wer darf den Fall freigeben, verändern und bei Problemen stoppen?

Ein freigegebener Anbieter macht nicht automatisch jeden Anwendungsfall zulässig. Umgekehrt muss eine risikoarme Aufgabe nicht denselben Prüfprozess durchlaufen wie eine KI-gestützte Personalentscheidung.

Der aktuelle Rechtsstand verlangt Kontext statt Einheitsschulung

Nach dem am 8. August 2026 geprüften Informationsstand der Europäischen Kommission gilt Artikel 4 des EU AI Act zur KI-Kompetenz bereits seit dem 2. Februar 2025. Die aktuelle Q&A der Kommission berücksichtigt auch die im Juli 2026 in Kraft getretene Änderung: Anbieter und Betreiber von KI-Systemen müssen Maßnahmen zur Entwicklung von KI-Kompetenz unterstützen, ohne dass ein bestimmtes individuelles Niveau, ein Zertifikat oder eine feste Governance-Struktur vorgeschrieben wird. Die Ausgestaltung soll Wissen, Erfahrung und Nutzungskontext berücksichtigen.

Das ist keine pauschale Compliance-Bestätigung für ein Unternehmen. Weitere Pflichten können sich aus konkretem Einsatz, Branche, Datenschutz, Arbeitsrecht, Urheberrecht oder anderen Regeln ergeben. Der Rechtsstand und die Einordnung des eigenen Anwendungsfalls sollten bei relevanten Risiken fachkundig geprüft werden.

Für die betriebliche Gestaltung folgt daraus ein sinnvoller Grundsatz: Eine allgemeine Präsentation über KI ist kein ausreichender Nutzungsrahmen. Personen müssen die Regeln und Risiken der Systeme verstehen, mit denen sie in ihrer Rolle tatsächlich arbeiten.

Konstruiertes Beispiel: Das Verbot macht den Transfer unsichtbar

Das folgende Beispiel ist konstruiert.

Ein Unternehmen untersagt die Nutzung öffentlicher generativer KI-Dienste. Gleichzeitig sollen Vertriebsmitarbeitende umfangreiche Vertragsentwürfe schneller zusammenfassen. Ein freigegebenes Werkzeug oder ein schneller Prüfweg für neue Anwendungsfälle existiert nicht.

Unter Zeitdruck kopiert ein Mitarbeiter einen Entwurf in einen privat registrierten Dienst. Das Ergebnis wird übernommen, der Datentransfer ist für die Organisation nicht sichtbar und die Vertrags- oder Datenschutzeinstellungen des Kontos sind unbekannt.

Das Beispiel rechtfertigt nicht die Eingabe des Dokuments. Es zeigt die Steuerungslücke: Die Organisation hat ein Verhalten untersagt, aber Aufgabe, Alternative, Qualifikation und Kontrolle nicht gestaltet. Ein belastbarer Rahmen hätte entweder einen geeigneten Arbeitsweg angeboten oder verständlich erklärt, warum dieser Fall nicht mit generativer KI bearbeitet werden darf.

Datenklassen müssen in Arbeitsregeln übersetzt werden

„Keine vertraulichen Daten eingeben“ ist zu abstrakt, wenn Mitarbeitende im Alltag entscheiden müssen, ob ein Angebot, eine Fehlerbeschreibung oder ein Gesprächsprotokoll vertraulich ist.

Eine nutzbare Regel verbindet vorhandene Informationsklassen mit Beispielen:

• Öffentlich: bereits freigegebene Website-Texte oder Produktinformationen können in dafür zugelassenen Werkzeugen bearbeitet werden.
• Intern: nicht öffentliche Arbeitsinformationen benötigen einen vertraglich und technisch freigegebenen Dienst sowie einen passenden Zweck.
• Vertraulich: Kunden-, Vertrags-, Personal-, Sicherheits- oder Geschäftsgeheimnisse benötigen eine ausdrückliche Freigabe des Anwendungsfalls und geeignete Schutzmaßnahmen.
• Besonders kritisch: Daten oder Entscheidungen mit hoher rechtlicher, sicherheitsbezogener oder persönlicher Wirkung können für generative KI ausgeschlossen oder einem spezialisierten Verfahren vorbehalten sein.

Die Klassen sind nur ein Muster. Sie müssen zur bestehenden Informationsklassifizierung passen. Entscheidend sind konkrete Beispiele, ein Ansprechpartner und eine Regel für gemischte Dokumente. Ein öffentlicher Text kann durch einen eingefügten Kundennamen oder eine interne Kalkulation seine Klasse ändern.

Werkzeugfreigabe braucht mehr als einen Produktnamen

„Tool X ist erlaubt“ lässt wichtige Bedingungen offen. Eine Freigabe sollte mindestens dokumentieren:

• zugelassene Edition, Vertrags- und Mandantenform,
• Identitäts- und Zugriffsmodell,
• Verarbeitung, Speicherung, Löschung und mögliche Weiterverwendung von Eingaben,
• zulässige Datenklassen und Anwendungsfälle,
• aktivierte Connectoren, Plugins und Datenquellen,
• Protokollierung und administrative Auswertbarkeit,
• Umgang mit Modell- und Funktionsänderungen,
• Support-, Export- und Beendigungsweg.

Der Beitrag „Lokales Sprachmodell oder Cloud-KI: Entscheidend ist das Betriebsmodell“ vertieft diese Entscheidung. Ein lokales Modell beseitigt nicht automatisch Qualitäts-, Rechte- oder Betriebsrisiken; ein Cloud-Dienst ist nicht allein wegen seines Betriebsorts ungeeignet.

Menschliche Prüfung muss eine echte Aufgabe sein

„Der Mensch prüft das Ergebnis“ ist nur dann eine Kontrolle, wenn die Person Zeit, Wissen, Informationen und Entscheidungsrecht besitzt.

Die Prüfung hängt von der Wirkung ab:

• Bei einer Formulierungshilfe kann sprachliche und sachliche Durchsicht genügen.
• Bei einer technischen Empfehlung müssen Quellen, Versionen und Randbedingungen geprüft werden.
• Bei einer Vertragszusammenfassung darf das Original nicht durch die Zusammenfassung ersetzt werden.
• Bei personenbezogenen Bewertungen können zusätzliche rechtliche und fachliche Grenzen gelten.
• Bei automatisierten Aktionen benötigt die Organisation Rechte, Schwellen und Abbruchbedingungen.

Das NIST Generative AI Profile beschreibt Risiken und Maßnahmen entlang der Funktionen Govern, Map, Measure und Manage. Es ist ein freiwilliger Orientierungsrahmen, keine Zertifizierung. Für den Mittelstand ist besonders nützlich, Risiken an Einsatzkontext und Lebenszyklus zu binden statt nur eine einmalige Toolprüfung durchzuführen.

Vier Wege sind verständlicher als eine lange Verbotsliste

Ein pragmatischer Nutzungsrahmen kann Anwendungsfälle in vier Wege einordnen:

Freigegeben

Der Anwendungsfall, die zulässigen Daten, das Werkzeug und die notwendige Prüfung sind beschrieben. Mitarbeitende können ohne Einzelantrag arbeiten.

Freigegeben mit Bedingungen

Die Nutzung ist erlaubt, wenn etwa Daten anonymisiert, Ergebnisse gegengeprüft oder bestimmte Connectoren deaktiviert werden. Die Bedingungen müssen direkt am Arbeitsweg auffindbar sein.

Vorher prüfen

Neue oder veränderte Fälle mit unklaren Daten, größerer Wirkung oder technischer Integration erhalten eine schnelle fachliche, technische und gegebenenfalls rechtliche Prüfung.

Nicht zulässig

Konkrete Aufgaben, Daten oder Werkzeuge sind ausgeschlossen. Die Begründung und eine mögliche Alternative werden genannt, soweit dies betrieblich sinnvoll ist.

Diese Einteilung ist kein universelles Risikomodell. Sie ist eine verständliche Oberfläche für zuvor getroffene Entscheidungen.

Die KI-Nutzungskarte

Für freigegebene und zu prüfende Fälle genügt häufig eine kompakte Karte.

Feld	Entscheidung
Aufgabe	konkreter Zweck und erwartetes Arbeitsergebnis
Nutzer	Rollen, Kenntnisse und notwendige Qualifizierung
Daten	Quellen, Klassen, Personenbezug und ausgeschlossene Inhalte
Werkzeug	Dienst, Edition, Mandant, Einstellungen und Connectoren
Ausgabe	mögliche Fehler, Kennzeichnung und erlaubte Weiterverwendung
Prüfung	verantwortliche Rolle, Methode und notwendige Quellen
Wirkung	betroffene Personen, Prozesse und mögliche Schäden
Protokollierung	benötigter Nachweis ohne unnötige Inhaltsüberwachung
Owner	fachliche und technische Verantwortung
Eskalation	Ansprechpartner für neue Fälle, Vorfälle und Stoppentscheidung
Review	Auslöser durch Modell-, Vertrags-, Daten- oder Prozessänderung

Die Karte macht aus einer allgemeinen Richtlinie eine konkrete Arbeitsanweisung. Wiederkehrende risikoarme Fälle können als Muster freigegeben werden, statt jeden Prompt einzeln genehmigen zu lassen.

Qualifizierung muss rollen- und fallbezogen sein

Alle Mitarbeitenden benötigen ein gemeinsames Grundverständnis: Grenzen generierter Aussagen, Umgang mit Daten, erlaubte Werkzeuge, Kennzeichnung und Meldeweg. Darüber hinaus unterscheiden sich die Anforderungen.

Ein Entwickler mit API-Zugriff muss Prompt Injection, Berechtigungen, Protokollierung und Abbruchbedingungen verstehen. Eine Führungskraft, die KI-Ausgaben für Personalentscheidungen nutzen möchte, benötigt eine andere fachliche und rechtliche Einordnung. Eine Person, die öffentliche Texte entwirft, braucht vor allem sichere Datenregeln und eine verlässliche Qualitätsprüfung.

Die Kommission stellt in ihrer aktuellen Auslegung klar, dass unterschiedliche Lernansätze entsprechend Wissen und Nutzungskontext angemessen sein können. Dokumentiert werden können nicht nur Schulungen, sondern auch Leitfäden, Übungen, Sprechstunden und andere geeignete Maßnahmen. Entscheidend ist, ob sie das reale Verhalten unterstützen.

Ein schneller Klärungsweg verhindert Schattennutzung

Neue Aufgaben werden schneller entstehen als Richtlinien aktualisiert werden können. Deshalb braucht es einen erreichbaren Weg für Fragen:

• eine bekannte Anlaufstelle,
• wenige Pflichtangaben zum Anwendungsfall,
• eine Reaktionszeit passend zum Arbeitsalltag,
• Beteiligung von IT, Fachbereich und weiteren Stellen nach Risiko,
• dokumentierte Entscheidung, die später wiederverwendet werden kann.

Wenn jede Frage mehrere Wochen dauert, umgehen Mitarbeitende den Prozess oder verzichten auf sinnvolle Verbesserungen. Wenn jede Idee sofort erlaubt wird, existiert keine Steuerung. Der Klärungsweg ist damit selbst ein Service, dessen Aufwand und Wirkung beobachtet werden sollten.

Wann ein Verbot richtig ist

Ein ausdrückliches Verbot bleibt sinnvoll, wenn ein Dienst die grundlegenden Anforderungen nicht erfüllt, besonders sensible Daten betroffen sind, eine Wirkung nicht angemessen kontrolliert werden kann oder eine verbindliche Prüfung noch aussteht. Es kann auch als zeitlich begrenzte Sofortmaßnahme nach einem Vorfall notwendig sein.

Das Verbot sollte Ziel, Geltungsbereich, Dauer oder Prüfauslöser und mögliche Alternativen nennen. „Keine KI“ ist dagegen so breit, dass selbst integrierte Funktionen in vorhandener Software schwer einzuordnen sind.

Ein sicherer KI-Arbeitsweg beginnt nicht mit einer möglichst langen Liste erlaubter Produkte. Er beginnt mit Aufgaben, Daten und Wirkung. Wenn die Organisation daraus klare Wege, passende Werkzeuge, echte Prüfung und erreichbare Verantwortung ableitet, wird Nutzung sichtbar und steuerbar. Genau das kann ein pauschales Verbot allein nicht leisten.