KI im Unternehmen: die drei Fragen, die vor dem Werkzeug kommen

Die Frage, die in Betrieben zuerst gestellt wird, lautet: Welches Werkzeug nehmen wir? Sie ist die dritte in der Reihenfolge. Davor stehen zwei andere, und wer sie überspringt, kauft eine Lizenz und stellt sechs Wochen später fest, dass er sie nicht einsetzen darf.

Frage eins: Wessen Daten gehen da hinein?

Ein Sprachmodell verarbeitet, was man ihm gibt. Wenn das Kundendaten sind, ist es eine Auftragsverarbeitung, und dann braucht es einen Vertrag nach Artikel 28 DSGVO.

Der praktische Fallstrick liegt nicht bei den offensichtlichen Daten. Er liegt in den beiläufigen. Ein Angebot, das man zur Formulierungshilfe einwirft, enthält den Kundennamen. Ein Fehlerprotokoll enthält Serveradressen. Eine E-Mail, die man zusammenfassen lässt, enthält alles, was darin steht.

Die Frage ist deshalb nicht „verarbeiten wir personenbezogene Daten mit KI“, sondern „was landet in der Praxis in dem Eingabefeld“. Die Antwort darauf kennt nicht die Geschäftsführung, sondern derjenige, der damit arbeitet.

Frage zwei: Wem gehört, was herauskommt?

[BELEG NÖTIG: Die urheberrechtliche Einordnung präzise fassen. Der Kern ist, dass § 2 Abs. 2 UrhG eine persönliche geistige Schöpfung verlangt. Vor der Veröffentlichung mit der Darstellung im Rechtsleitfaden abgleichen und den Stand der Rechtsprechung prüfen.]

Für den Betrieb heißt das praktisch: Ein Text oder ein Bild, das ohne nennenswerte eigene Bearbeitung entstanden ist, gehört niemandem, und niemandem gehören heißt auch, dass jeder es verwenden darf. Wer damit ein Logo gestaltet, hat kein Logo, das er verteidigen kann.

Der zweite Teil derselben Frage geht in die andere Richtung: Verletzt das Ergebnis fremde Rechte? Ein Modell, das mit geschütztem Material trainiert wurde, kann Passagen daraus reproduzieren. Die Haftung dafür trägt, wer veröffentlicht.

Frage drei: Welches Werkzeug

Erst jetzt. Und die Antwort hängt von den ersten beiden ab. Wenn Kundendaten hineingehen, kommen nur Anbieter mit Auftragsverarbeitungsvertrag und Verarbeitung im europäischen Rechtsraum in Frage, oder ein Modell im eigenen Haus. Wenn keine Kundendaten hineingehen, ist die Auswahl deutlich größer.

Diese Reihenfolge klingt selbstverständlich und wird trotzdem selten eingehalten, weil die Werkzeugfrage die einzige ist, die Spaß macht.

Was daraus folgt

Die verbreitete Sorge, KI im Betrieb sei rechtlich ein Minenfeld, ist übertrieben. Die meisten Anwendungen in kleinen Betrieben sind harmlos: Formulierungshilfe für Texte ohne Personenbezug, Zusammenfassungen eigener Notizen, Recherche.

Die unbequeme Gegenthese: Genau weil es meistens harmlos ist, entsteht die Gewohnheit, alles hineinzuwerfen. Und dann liegt eines Tages eine Kundenliste in einem Eingabefeld, weil es schneller ging.

Eine schriftliche Regel, wer was womit machen darf, ist deshalb kein Bürokratismus. Sie ist die einzige Maßnahme, die dieses Muster durchbricht, und sie passt auf eine Seite.