Shadow AI: Ihre Leute arbeiten längst damit

Wer ein Angebot schneller fertig hat, wer einen zähen Text in zwei Minuten umformuliert, wer eine unübersichtliche Tabelle sortiert bekommt, macht seine Arbeit besser. Genau deshalb setzt sich die Nutzung durch, und zwar bei den engagierten Leuten zuerst.

Das Problem entsteht an einer anderen Stelle. Wer eine Kundenmail zum Umformulieren einfügt, überträgt Name, Anschrift und Anliegen an einen Dienst, mit dem Ihr Unternehmen keinen Vertrag hat. Es fühlt sich nicht wie eine Datenweitergabe an; es fühlt sich an wie ein besseres Textfeld.

Ein Verbot ohne Ersatz beendet die Nutzung nicht, es verlagert sie. Auf das private Handy, auf den Rechner zu Hause, auf einen Zugang, den niemand mitbekommt. Die Daten gehen weiterhin hinaus, nur erfahren Sie es jetzt nicht mehr.

Schlimmer ist der Nebeneffekt: Wer sich an das Verbot hält, arbeitet langsamer als die Kollegin, die es umgeht. Damit bestrafen Sie Regeltreue. Wenn dann ein Fehler auffliegt, war es niemand, und die Aufklärung kostet mehr als das ursprüngliche Risiko.

Wirksam wird eine Regel erst, wenn der erlaubte Weg der bequemere ist. Solange das freigegebene Werkzeug schlechter ist als das verbotene, gewinnt das verbotene.

Sind personenbezogene Daten in einen Dienst geraten, mit dem kein Vertrag besteht, liegt in der Regel eine Datenschutzverletzung vor. Artikel 33 DSGVO gibt Ihnen dann 72 Stunden, um sie der Aufsichtsbehörde zu melden, gerechnet ab Kenntnis. Diese Frist läuft, während Sie noch herausfinden, was überhaupt passiert ist.

Und hier wird die fehlende Bestandsaufnahme richtig teuer. Sie müssen angeben, welche Daten betroffen waren, wie viele Personen, und was Sie dagegen unternommen haben. Wenn niemand weiß, wer welches Werkzeug seit wann benutzt, ist keine dieser Fragen in drei Tagen beantwortbar.

Bei Berufsgeheimnisträgern kommt die strafrechtliche Ebene hinzu, und die richtet sich gegen die Person, nicht gegen das Unternehmen. Was dort gilt, steht unter Mitbestimmung und Berufsgeheimnis.

Fangen Sie mit einer Bestandsaufnahme an, die keine Folgen hat. Fragen Sie im Team, wer welche Werkzeuge benutzt, und sagen Sie vorher zu, dass daraus keine Konsequenzen entstehen. Wer sich rechtfertigen muss, schweigt, und dann planen Sie an der Wirklichkeit vorbei.

Danach brauchen Sie zwei Dinge gleichzeitig: ein freigegebenes Werkzeug, das die Arbeit wirklich erleichtert, und eine kurze Regel für den Rest. Die Regel muss zwei Fragen beantworten, nämlich welche Unterlagen nie in ein externes System gehören und an wen man sich wendet, wenn ein Fall unklar ist. Zwei Sätze, die jeder versteht, wirken besser als eine Richtlinie über sechs Seiten.

Wenn Ihre Unterlagen unter Schweigepflicht fallen, führt dieser Weg meist zu einem Modell im eigenen Haus, weil dann die Frage nach beteiligten Dritten entfällt. Welche Betriebsformen es gibt und was jede kostet, steht auf der Corporate-LLM-Übersicht.