Künstliche Intelligenz ist in vielen Unternehmen längst Teil des Arbeitsalltags. Mitarbeiter erstellen Texte, fassen Dokumente zusammen, analysieren Tabellen oder lassen sich bei der Entwicklung von Software unterstützen. Auch in Personalabteilungen, im Kundenservice, im E-Commerce und in der Logistik kommen zunehmend KI-gestützte Funktionen zum Einsatz.
Gleichzeitig herrscht in vielen Unternehmen Unsicherheit: Welche Daten dürfen eingegeben werden? Wie zuverlässig sind die Ergebnisse? Wer kontrolliert sie? Und was verlangt der EU AI Act?
Die naheliegende Reaktion ist häufig, den Einsatz von KI möglichst stark einzuschränken. Das löst das eigentliche Problem jedoch nur selten. Denn KI wird oft trotzdem verwendet – dann möglicherweise über private Accounts, ohne klare Regeln und außerhalb der vorgesehenen Unternehmenssysteme.
Statt eines pauschalen Verbots braucht es deshalb einen kontrollierten Umgang mit KI: geeignete Werkzeuge, klare Verantwortlichkeiten, nachvollziehbare Prozesse und Mitarbeiter, die Chancen und Grenzen der Technologie verstehen.
Der EU AI Act ist ein europäischer Rechtsrahmen für die Entwicklung und Nutzung künstlicher Intelligenz. Er verfolgt einen risikobasierten Ansatz: Je stärker ein KI-System Sicherheit, Grundrechte oder wichtige Entscheidungen beeinflussen kann, desto umfangreicher sind die Anforderungen.
Dabei betrifft die Verordnung nicht nur Hersteller und Entwickler von KI-Systemen. Auch Unternehmen, die KI-Systeme im eigenen Arbeitsalltag einsetzen, können als sogenannte Betreiber beziehungsweise „Deployer“ Verantwortung tragen.
Für die meisten mittelständischen Unternehmen ist vor allem Artikel 4 relevant. Dieser verpflichtet Anbieter und Betreiber von KI-Systemen dazu, bei ihren Mitarbeitern und weiteren beteiligten Personen ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Diese Vorgabe gilt bereits seit dem 2. Februar 2025.
Dabei gibt es keine einheitliche Schulung, die für jedes Unternehmen und jeden Mitarbeiter gleichermaßen geeignet wäre. Nach den Hinweisen des europäischen AI Office sollen unter anderem berücksichtigt werden:
- das technische Vorwissen und die Erfahrung der Mitarbeiter,
- die eingesetzten KI-Systeme,
- der konkrete Verwendungszweck,
- mögliche Risiken und betroffene Personen,
- der organisatorische Kontext der Nutzung.
Eine allgemeine Einführung kann deshalb sinnvoll sein, reicht aber nicht in jedem Fall aus. Wer KI lediglich zur Ideenfindung nutzt, benötigt anderes Wissen als ein Mitarbeiter, der Bewerbungen bewertet, Kundendaten analysiert oder automatisierte Entscheidungen vorbereitet.
In vielen Diskussionen wird KI-Kompetenz darauf reduziert, bessere Anweisungen – sogenannte Prompts – zu formulieren. Für Unternehmen ist das zu wenig.
Mitarbeiter sollten auch einschätzen können:
- welche Informationen in ein KI-System eingegeben werden dürfen,
- wann personenbezogene oder vertrauliche Daten betroffen sind,
- warum KI überzeugend klingende, aber falsche Ergebnisse erzeugen kann,
- wie Ergebnisse fachlich kontrolliert werden,
- wo Verzerrungen und unfaire Bewertungen entstehen können,
- wann eine menschliche Entscheidung zwingend erforderlich bleibt.
Entscheidend ist also nicht nur, ob jemand ein KI-Tool bedienen kann. Entscheidend ist, ob die Person beurteilen kann, wann dessen Einsatz sinnvoll, riskant oder ungeeignet ist.
In der Praxis erleben wir häufig ein widersprüchliches Bild: Unternehmen setzen selbst KI-Funktionen ein, schränken deren Nutzung durch Dienstleister aber stark ein oder untersagen sie vollständig.
Der Wunsch nach Datenschutz und Kontrolle ist nachvollziehbar. Ein pauschales Verbot kann dennoch zu schlechteren Ergebnissen führen.
Ein erfahrener IT- oder E-Commerce-Dienstleister kann KI beispielsweise nutzen, um:
- große Datenmengen schneller zu strukturieren,
- Fehlerbilder und Protokolle vorzubereiten,
- Dokumentationen zu erstellen,
- Programmcode zu prüfen,
- Testfälle zu entwickeln,
- wiederkehrende Aufgaben zu automatisieren.
Das bedeutet nicht, dass Ergebnisse ungeprüft übernommen werden. Im Gegenteil: Der sinnvolle Einsatz von KI setzt Fachwissen voraus. Nur wer den jeweiligen Prozess, die eingesetzten Systeme und die fachlichen Zusammenhänge versteht, kann Fehler erkennen und Ergebnisse richtig bewerten.
Problematisch wird es deshalb nicht allein dadurch, dass KI eingesetzt wird. Problematisch wird es, wenn unklar ist, welches Werkzeug verwendet wird, welche Daten verarbeitet werden, wer die Ergebnisse kontrolliert und wofür sie eingesetzt werden.
Statt zwischen „KI erlaubt“ und „KI verboten“ zu unterscheiden, sollten Unternehmen konkrete Nutzungsszenarien bewerten.
Im E-Commerce kann KI an vielen Stellen unterstützen. Gleichzeitig treffen hier besonders viele sensible Prozesse und Daten aufeinander.
Mögliche Einsatzbereiche sind beispielsweise:
- Erstellung und Überarbeitung von Produkttexten,
- Zuordnung und Pflege von Produktdaten,
- Analyse von Bestellungen und Retouren,
- Prognosen für Bestände und Nachfrage,
- Unterstützung im Kundenservice,
- Auswertung von Shop-, ERP- und Marktplatzdaten,
- Entwicklung und Dokumentation von Schnittstellen,
- Erkennung ungewöhnlicher Bestell- oder Prozessmuster.
Dabei entstehen unterschiedliche Risiken.
Ein KI-generierter Produkttext kann falsche Eigenschaften oder rechtlich problematische Aussagen enthalten. Eine fehlerhafte Datenzuordnung kann dazu führen, dass Produkte falsch kategorisiert werden. Werden Kunden-, Bestell- oder Mitarbeiterdaten in ungeeignete öffentliche Tools übertragen, können Datenschutz und Vertraulichkeit betroffen sein.
Auch vermeintlich einfache Aufgaben benötigen deshalb klare Grenzen. Für einen Händler reicht es nicht, seinen Mitarbeitern lediglich den Zugang zu einem KI-Werkzeug bereitzustellen. Es muss geregelt sein, welche Daten verwendet werden dürfen, welche Ergebnisse kontrolliert werden müssen und wann ein Mitarbeiter oder Fachexperte die Verantwortung übernimmt.
Fehlen geeignete Unternehmenslösungen, suchen sich Mitarbeiter häufig selbst einen Weg. Sie verwenden private Accounts, kopieren Inhalte in öffentlich zugängliche KI-Dienste oder installieren nicht freigegebene Erweiterungen.
Dieser unkontrollierte Einsatz wird häufig als Shadow AI bezeichnet.
Ein vollständiges Verbot verhindert Shadow AI nicht automatisch. Es kann sie sogar begünstigen, weil die tatsächliche Nutzung für das Unternehmen unsichtbar wird.
Ein praxistauglicher Ansatz sollte deshalb mindestens vier Fragen beantworten:
- Welche KI-Systeme werden im Unternehmen bereits genutzt?
- Welche Anwendungen sind freigegeben?
- Welche Daten dürfen dort verarbeitet werden?
- Wer kontrolliert Ergebnisse und entscheidet über kritische Anwendungen?
Erst auf dieser Grundlage lassen sich passende Regeln und Schulungsmaßnahmen entwickeln.
Der Einstieg muss nicht mit einem umfangreichen Compliance-Projekt beginnen. Für viele mittelständische Unternehmen ist ein schrittweises Vorgehen sinnvoll.
1. Bestehende KI-Nutzung erfassen
Unternehmen sollten zunächst klären, welche KI-Funktionen bereits offiziell oder inoffiziell genutzt werden. Dazu gehören nicht nur ChatGPT und Microsoft Copilot. Auch ERP-, HR-, Shop-, Analyse- und Supportsysteme können KI-Komponenten enthalten.
2. Anwendungsfälle nach Risiko unterscheiden
Eine Unterstützung bei der Formulierung interner Texte ist anders zu bewerten als eine KI-gestützte Vorauswahl von Bewerbern oder eine automatisierte Entscheidung über Kunden.
Je größer die Auswirkungen auf Menschen, Geschäftsprozesse oder sensible Daten sind, desto klarer müssen Prüfung und Verantwortlichkeit geregelt sein.
3. Verbindliche Nutzungsregeln schaffen
Eine interne KI-Richtlinie sollte verständlich und praktisch nutzbar sein. Sie kann unter anderem festlegen:
- welche Werkzeuge erlaubt sind,
- welche Daten nicht eingegeben werden dürfen,
- welche Ergebnisse überprüft werden müssen,
- wie KI-generierte Inhalte gekennzeichnet oder dokumentiert werden,
- wer bei Unsicherheiten entscheidet.
4. Mitarbeiter passend zu ihrer Rolle qualifizieren
Nicht jeder Mitarbeiter benötigt dieselbe Schulung. Marketing, Personalabteilung, Entwicklung, Geschäftsführung und Kundenservice arbeiten mit unterschiedlichen Daten und Risiken.
Die EU-Kommission betont entsprechend einen kontext- und risikobasierten Ansatz. Allein auf Bedienungsanleitungen zu verweisen, kann dabei unzureichend sein.
5. Schulungen und Maßnahmen dokumentieren
Unternehmen sollten nachvollziehbar festhalten, welche Mitarbeiter welche Informationen oder Schulungen erhalten haben. Auch interne Richtlinien, Freigaben und Aktualisierungen sollten zentral dokumentiert werden.
Mit einem Lernmanagementsystem wie dem LMS von Factorial können Unternehmen Schulungsinhalte zentral bereitstellen, unterschiedlichen Mitarbeitergruppen zuweisen und den Bearbeitungsstand dokumentieren.
Das kann insbesondere dabei helfen:
- rollenbezogene KI-Schulungen zu organisieren,
- Teilnahme und Fortschritt zentral zu erfassen,
- Dokumente und Richtlinien bereitzustellen,
- Nachweise für interne Prüfungen vorzuhalten,
- Schulungsmaßnahmen regelmäßig zu aktualisieren.
Damit unterstützt Factorial einen wichtigen organisatorischen Teil der KI-Governance. Welche Inhalte erforderlich sind und welche Regeln für die jeweiligen Anwendungsfälle gelten, muss jedoch individuell anhand der eingesetzten Systeme, Daten und Risiken festgelegt werden.
Aus unserer Erfahrung ist KI weder eine universelle Lösung noch ein Risiko, das sich durch Verbote vollständig beseitigen lässt.
Richtig eingesetzt kann sie Mitarbeiter entlasten, Informationen schneller aufbereiten und wiederkehrende Aufgaben vereinfachen. Sie ersetzt jedoch weder Fachwissen noch Verantwortung.
Gerade in komplexen E-Commerce- und IT-Umgebungen müssen Ergebnisse überprüft werden können. Wer die Zusammenhänge zwischen ERP, Shop, Lager, Versand, Schnittstellen und Daten nicht kennt, kann schwer beurteilen, ob eine KI-generierte Empfehlung tatsächlich richtig ist.
Der EU AI Act sollte nicht als Anlass dienen, KI pauschal auszubremsen. Er macht vielmehr deutlich, dass Unternehmen Verantwortung für den Umgang mit der Technologie übernehmen müssen.
Dazu gehören ein Überblick über die eingesetzten Systeme, passende Nutzungsregeln, ein bewusster Umgang mit Daten, fachliche Kontrollen und eine Qualifizierung, die zur tatsächlichen Arbeit der Mitarbeiter passt.
Tools wie Factorial können dabei helfen, Schulungen und Nachweise zentral zu organisieren. Entscheidend bleibt jedoch, dass Unternehmen ihre eigenen KI-Anwendungsfälle verstehen und klare Verantwortlichkeiten schaffen.
eloquium unterstützt Unternehmen bei der Einführung digitaler Prozesse und Systeme – von ERP und E-Commerce bis zu Schnittstellen, Automatisierung und Factorial. Gemeinsam prüfen wir, wie neue Technologien sinnvoll in bestehende Abläufe integriert werden können, ohne Kontrolle, Datenschutz und Praxistauglichkeit aus dem Blick zu verlieren.
Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar.
Diese Gedanken haben wir zuerst auf LinkedIn geteilt – folgen Sie uns dort für weitere Einblicke.