Ihr Kollege nutzt einen KI-Assistenten, um seine Besprechungsprotokolle zu erstellen. Ein anderer verwendet ihn, um Bewerbungen zu sortieren. Ein dritter generiert visuelle Inhalte für eine Kundenpräsentation. Keiner dieser Einsätze wurde von der Geschäftsführung genehmigt, und niemand weiß genau, welche Tools im Einsatz sind. Dieses Szenario betrifft heute die Mehrheit der französischen KMU, und die Verpflichtungen im Zusammenhang mit dem AI Act sowie der NIS2-Richtlinie machen diese Grauzone zunehmend riskant.
Informelle KI-Nutzung im Unternehmen: Kartografieren, bevor reguliert wird
Bevor eine Charta erstellt oder etwas verboten wird, besteht der erste Schritt darin, zu wissen, was tatsächlich passiert. Ein KMU, dessen Mitarbeiter ChatGPT, Copilot, Gemini oder ein ähnliches Tool nutzen, kann als “Bereitsteller” im Sinne des AI Act betrachtet werden. Dieser Status erfordert, die Nutzungen zu identifizieren, die Risiken zu bewerten und die Teams zu schulen.
Das Problem ist, dass diese Tools ohne IT-Validierung installiert werden. Ein Mitarbeiter erstellt ein kostenloses Konto, fügt Kundendaten ein, erhält ein zufriedenstellendes Ergebnis und macht am nächsten Tag weiter. Das Tool wird zur Gewohnheit, nicht zu einer genehmigten technischen Wahl.
Um diese Praktiken zu kartografieren, reicht ein anonymes Fragebogen, das an die Teams gesendet wird, als Ausgangspunkt. Drei Fragen geben bereits eine nützliche Sicht: Welches Tool verwenden Sie, für welche Aufgabe und welche Daten übermitteln Sie?
Diese Erfassung ermöglicht es, die Nutzungen mit geringem Risiko (Umformulierung interner Texte) von denen zu unterscheiden, die ein echtes Problem darstellen (Sortierung von Lebensläufen, Analyse personenbezogener Daten). Sie finden auch IT-Informationen auf Planet X Tech, die diese Unterscheidungen zwischen Risikoniveaus detailliert erläutern.
AI Act und NIS2: Was die Regulierung bereits von KMU verlangt
Vielleicht haben Sie gelesen, dass einige Fristen des AI Act verschoben wurden. Das ist teilweise wahr. Der regulatorische Zeitplan wurde auf 2026 geändert, aber die Anforderungen an Schulung und Transparenz bleiben bestehen. Bis zur letzten Minute zu warten, um zu handeln, bedeutet, eine schwer abzubauende Compliance-Schuld anzuhäufen.
Konkret verlangt der AI Act von den Bereitstellern, dass sie sicherstellen, dass die Personen, die KI-Systeme nutzen, über ein ausreichendes Verständnis dieser Tools verfügen. Für ein KMU mit zwanzig Mitarbeitern bedeutet dies, dass ein Mindestmaß an dokumentierter Sensibilisierung vorhanden sein muss, auch wenn es informell ist.
NIS2 erweitert den Rahmen weit über die klassische Cybersicherheit hinaus
Die französische Umsetzung von NIS2 bleibt ein wichtiger Punkt. Das geplante System sieht eine erhöhte Verantwortung der Führungskräfte für das Risikomanagement vor, einschließlich der Risiken in der Lieferkette. Auch Softwareanbieter sind betroffen, was über den traditionellen Ansatz hinausgeht, der sich nur auf das interne Informationssystem konzentriert.
Unter den Verpflichtungen, die NIS2 vorsieht, betreffen mehrere direkt die Nutzung von nicht überwachten KI-Tools:
- Das Management von Lieferantenrisiken, was die Cloud-Dienste und KI-APIs umfasst, die von Mitarbeitern ohne formalisierte Verträge genutzt werden.
- Die starke Authentifizierung und die Geschäftskontinuität, zwei Bereiche, die gefährdet sind, wenn Daten auf nicht kontrollierten Plattformen zirkulieren.
- Die gestaffelte Meldung von Vorfällen, die voraussetzt, dass man weiß, welche Tools im Spiel sind, wenn ein Datenleck auftritt.
Die Verbindung zwischen informeller KI und Cybersicherheit ist direkt: Ein nicht inventarisiertes KI-Tool ist ein blinder Fleck im Incident Management.
Die Nutzung von KI regeln, ohne die Produktivität zu blockieren
Alle KI-Tools zu verbieten, funktioniert nicht. Mitarbeiter, die durch diese Assistenten Zeit gespart haben, werden das Verbot umgehen, und das Unternehmen wird an Produktivität verlieren, ohne das Risiko zu verringern. Der effektive Ansatz beruht auf einem klaren Rahmen, der unterscheidet, was erlaubt ist, was eine Validierung benötigt und was verboten ist.
Drei Kategorien zur Strukturierung einer internen KI-Charta
Die Logik ist einfach. Klassifizieren Sie jede Nutzung, die während der Kartografierung identifiziert wurde, in eine dieser Kategorien:
- Freie Nutzung: Umformulierung interner Texte, Suche nach allgemeinen Informationen, Brainstorming. Keine sensiblen Daten verlassen das Unternehmen.
- Regulierte Nutzung: Erstellung von Inhalten für Kunden, Zusammenfassung von Dokumenten, die Geschäftsdaten enthalten. Diese Nutzungen erfordern eine Genehmigung des Verantwortlichen und die Verwendung eines genehmigten Tools.
- Verbotene Nutzung: Jede Verarbeitung, die personenbezogene Daten (Lebensläufe, Kundendaten, medizinische Daten) auf einem nicht vertraglich geregelten Tool umfasst. Diese Fälle fallen direkt unter den AI Act, wenn sie hochriskante Systeme betreffen.
Dieses Raster muss nicht am ersten Tag perfekt sein. Es muss existieren, kommuniziert werden und sich weiterentwickeln, während die Regulierung präziser wird.
Schulen, ohne jeden Mitarbeiter in einen Juristen zu verwandeln
Der AI Act verlangt, dass die Benutzer die Tools, die sie verwenden, verstehen. In der Praxis reicht eine einstündige Sitzung pro Quartal, die die Grundlagen abdeckt, für ein KMU aus: Welche Daten dürfen niemals in einen KI-Assistenten eingefügt werden, wie man eine generierte Antwort überprüft, an wen man eine zweifelhafte Nutzung melden kann.
Das effektivste Format bleibt das konkrete Beispiel. Zeigen Sie einen realen Fall, in dem ein KI-Assistent eine falsche, aber glaubwürdige Antwort produziert hat. Zeigen Sie einen Export eines Gesprächs, das Kundendaten enthält. Diese Demonstrationen hinterlassen einen stärkeren Eindruck als ein zehnseitiges Dokument zur regulatorischen Compliance.
Daten, Sicherheit und Governance: das technische Fundament legen
Die Kartografierung der Nutzungen und die interne Charta reichen nicht aus, wenn die technische Infrastruktur nicht mithält. Ein oft vernachlässigter Punkt betrifft die Daten, die durch diese Tools fließen. Wenn ein Mitarbeiter eine Excel-Tabelle in einen kostenlosen KI-Assistenten einfügt, können diese Daten potenziell gespeichert und zur Schulung des Modells verwendet werden.
Die technische Antwort besteht darin, Tools mit vertraglichen Garantien für die Datenverarbeitung auszuwählen. Mehrere Anbieter bieten mittlerweile professionelle Versionen an, bei denen die Daten weder gespeichert noch für das Training wiederverwendet werden. Die Mehrkosten sind im Vergleich zum Risiko eines Datenlecks gering.
Im Hinblick auf die Governance sollte eine verantwortliche Person (auch in Teilzeit) benannt werden, um die Fragen im Zusammenhang mit KI zu zentralisieren und zu vermeiden, dass jede Abteilung ihre eigenen Regeln erfindet. Diese Person muss kein Spezialist für künstliche Intelligenz sein. Sie sollte die internen Prozesse kennen und wissen, wie man Anfragen an die richtigen Ressourcen weiterleitet, sei es rechtlich oder technisch.
Die Herausforderung für die kommenden Monate besteht nicht darin, alles zu verschließen, sondern von einer Situation, in der niemand weiß, was passiert, zu einem Rahmen überzugehen, in dem die Nutzungen sichtbar, klassifiziert und anpassbar sind. Unternehmen, die dieses Fundament vor dem vollständigen Inkrafttreten des AI Act und von NIS2 gelegt haben, werden erheblich Zeit bei der endgültigen Compliance gewinnen.
