Irgendjemand in deinem Team nutzt gerade ChatGPT. Vielleicht für eine Kunden-E-Mail. Vielleicht für ein Angebot. Vielleicht mit Daten, die dort nichts verloren haben. Und die ehrliche Wahrheit: Du weißt es wahrscheinlich nicht.
Genau das ist das Problem. Nicht die KI selbst. In den meisten kleinen und mittleren Unternehmen wird längst mit KI-Tools gearbeitet – nur eben heimlich, unkoordiniert und ohne Regeln. Das liegt nicht an dir. Sondern daran, dass diese Tools so leicht zugänglich sind, dass dein Team gar nicht auf eine offizielle Freigabe wartet. Ein Browser-Tab genügt.
In diesem Artikel zeige ich dir, was beim Einsatz von ChatGPT & Co. im Unternehmen wirklich gilt, welche Daten tabu sind, was der EU AI Act seit August 2026 von dir verlangt – und wie du in fünf Schritten eine KI-Richtlinie erstellst, die dein Team tatsächlich liest. Ein Hinweis vorab: Ich bin Informatiker und Marketing-Berater, kein Anwalt. Dieser Artikel ist Praxiswissen, keine Rechtsberatung. Für die verbindliche Einschätzung deines Einzelfalls gehört ein Datenschutz- oder Rechtsprofi an den Tisch.
Schatten-KI klingt dramatisch, beschreibt aber etwas ganz Alltägliches: Mitarbeiter nutzen KI-Tools ohne Freigabe, ohne Regeln und meist mit dem privaten Account. Nicht aus bösem Willen – sondern weil die Tools ihnen schlicht Arbeit abnehmen.
Beispiel: Stell dir eine Steuerkanzlei vor, in der eine Mitarbeiterin regelmäßig Mandanten-Schreiben mit dem kostenlosen ChatGPT vorformuliert. Sie kopiert dafür den bisherigen Schriftverkehr hinein – inklusive Name, Steuernummer und Einkommensdaten. Sie will nur schneller arbeiten. Aber die Kanzleileitung hat keine Ahnung, dass sensible Mandantendaten in einem Tool landen, über dessen Datenverarbeitung niemand im Haus die Kontrolle hat.
Ein Verbot löst dieses Problem nicht. Es verlagert die Nutzung nur tiefer in den Untergrund – vom Firmenrechner aufs private Handy. Was du brauchst, ist keine Verbotskultur, sondern klare Spielregeln plus eine sichere, freigegebene Alternative.
Lösung: Behandle Schatten-KI wie ein Prozess-Thema, nicht wie ein Disziplinar-Thema. Erst verstehen, wer heute was womit macht. Dann regeln. Dann freigeben.
Die entscheidende Frage ist nicht „KI ja oder nein?“. Die entscheidende Frage lautet: Welche Daten fließen in welches Tool?
Grob vereinfacht gibt es drei Kategorien, die du deinem Team wie ein Ampelsystem an die Hand geben kannst:
Grün – unkritisch: Allgemeine Texte ohne Personenbezug und ohne Betriebsgeheimnisse. Ein Blogartikel-Entwurf, eine Ideensammlung für Social Media, eine Formulierungshilfe für eine neutrale Info-Mail.
Gelb – nur mit freigegebenem Tool: Interne Dokumente, Angebote, Prozessbeschreibungen. Alles, was zwar kein Geschäftsgeheimnis ist, aber auch nicht in fremde Hände gehört. Solche Inhalte gehören nur in eine Business-Version mit vertraglicher Grundlage (dazu gleich mehr).
Rot – tabu für öffentliche Tools: Personenbezogene Daten von Kunden, Patienten, Mandanten oder Mitarbeitern. Gesundheitsdaten, Finanzdaten, Verträge, Kalkulationen, Zugangsdaten. Diese Daten haben in einem kostenlosen Consumer-Tool nichts verloren – egal wie praktisch es wäre.
Tipp: Drucke dieses Ampelsystem auf eine Seite und häng es dorthin, wo dein Team arbeitet. Eine simple Ampel wird gelesen. Ein 20-Seiten-Dokument nicht.
Ein Missverständnis, das mir immer wieder begegnet: „ChatGPT ist doch ChatGPT.“ Ist es nicht. Es gibt einen fundamentalen Unterschied zwischen der kostenlosen Consumer-Version und den Business-Varianten – und der liegt im Vertrag, nicht in der Technik.
Bei den geschäftlichen Versionen (etwa ChatGPT Team oder Enterprise, Microsoft 365 Copilot, Claude for Work oder europäischen Plattformen wie Langdock) schließt du einen Auftragsverarbeitungsvertrag (AVV) ab. Darin ist vertraglich geregelt, dass deine Eingaben nicht für das Training der Modelle verwendet werden und wo deine Daten verarbeitet werden. Genau diese vertragliche Grundlage verlangt die DSGVO, sobald personenbezogene Daten im Spiel sind.
Bei der kostenlosen Version mit privatem Account? Kein AVV, keine Kontrolle, keine vertragliche Zusicherung. Dein Mitarbeiter akzeptiert privat Nutzungsbedingungen – und dein Unternehmen trägt das Risiko.
Besser: Rechne kurz durch, was eine Team-Lizenz pro Kopf im Monat kostet, und vergleiche das mit dem Risiko eines Datenschutzvorfalls plus dem Zeitgewinn durch legale, sorgenfreie Nutzung. Aus meiner Erfahrung ist das eine der einfachsten Entscheidungen der ganzen KI-Einführung.
Der EU AI Act ist kein Zukunftsthema mehr. Die Verordnung tritt stufenweise in Kraft – und seit dem 2. August 2026 gilt ein Großteil der Pflichten, während die nationalen Aufsichtsbehörden ihre Arbeit aufnehmen. Die offiziellen Informationen dazu findest du bei der Europäischen Kommission.
Für dich als KMU-Inhaber sind vor allem zwei Punkte relevant:
Erstens die Schulungspflicht: Bereits seit Februar 2025 verlangt Artikel 4 der Verordnung, dass Unternehmen sicherstellen, dass Mitarbeiter, die KI einsetzen, über ausreichende KI-Kompetenz verfügen. Wenn dein Team mit ChatGPT arbeitet, musst du dafür sorgen, dass es die Risiken kennt.
Zweitens der Überblick: Du solltest wissen, welche KI-Systeme in deinem Unternehmen überhaupt im Einsatz sind. Ohne diese Inventur kannst du weder Risiken einschätzen noch Pflichten erfüllen. Und genau hier beißt sich die Katze in den Schwanz: Solange Schatten-KI regiert, ist eine ehrliche Inventur unmöglich.
Die Details zu Risikoklassen und Pflichten habe ich in einem eigenen Artikel aufgeschlüsselt: EU AI Act: Diese Pflichten gelten für KMU.
Eine KI-Richtlinie muss kein Bürokratie-Monster sein. Im Gegenteil: Je kürzer, desto wirksamer. So gehst du vor:
Schritt 1 – Bestandsaufnahme: Frag dein Team offen und ohne Vorwurf: Wer nutzt heute welche KI-Tools wofür? Versprich, dass es keine Konsequenzen gibt. Du brauchst ehrliche Antworten, keine Beichten.
Schritt 2 – Datenkategorien festlegen: Übernimm das Ampelsystem aus Abschnitt 2 und passe es an deine Branche an. Bei einem Arzt sind Patientendaten rot, bei einem Makler die Eigentümerdaten, beim Handwerker die Kundenadressen und Kalkulationen.
Schritt 3 – Tools freigeben: Lege fest, welche Tools in welcher Version erlaubt sind. Konkret, mit Namen und Account-Typ: „ChatGPT nur als Team-Version über den Firmen-Account, nicht mit privatem Login.“
Schritt 4 – Verantwortung klären: Eine Person im Betrieb ist Ansprechpartner für KI-Fragen. Nicht als Vollzeitjob – sondern damit niemand raten muss, wen er fragen soll.
Schritt 5 – Auf eine Seite bringen und besprechen: Fasse alles auf einem A4-Blatt zusammen und geh es einmal gemeinsam im Team durch. Fertig. Eine Richtlinie, die im Schrank liegt, ist keine Richtlinie.
Angenommen, ein Handwerksbetrieb mit acht Mitarbeitern setzt genau das um: eine Teambesprechung, ein Ampel-Blatt, zwei freigegebene Tools mit Firmen-Accounts. Mehr braucht es in dieser Größenordnung meist nicht, um von „keiner weiß, was läuft“ zu „alle wissen, woran sie sind“ zu kommen.
Die wichtigste Erkenntnis aus vielen KMU-Projekten, die ich beobachte: Schatten-KI verschwindet nicht durch Verbote, sondern durch bessere Alternativen. Wer eine schnelle, freigegebene Lösung hat, öffnet den privaten Account gar nicht erst.
Was du brauchst:
Erstens eine Business-Lizenz mit AVV für die Tools, die dein Team wirklich nutzt. Zweitens eine kurze Freigabe-Liste: Welche Tools sind erlaubt, welche explizit nicht. Drittens einen einfachen Prozess für neue Tool-Wünsche – dein Team wird ständig neue KI-Tools entdecken, und du willst, dass diese Wünsche bei dir landen statt im Untergrund.
Wenn du ohnehin gerade dabei bist, KI strukturiert in deine Abläufe zu holen: Wie du typische Stolperfallen bei der Einführung vermeidest, habe ich hier beschrieben – KI im Unternehmen einführen: teure Fehler vermeiden.
Die KI-Kompetenz-Pflicht aus dem AI Act klingt nach Aufwand. In der Praxis reicht für den Anfang oft eine strukturierte Team-Session: Was können die Tools, was können sie nicht, welche Daten sind tabu, wie erkenne ich Halluzinationen, wann prüfe ich Ergebnisse nach?
Der eigentliche Gewinn liegt dabei gar nicht in der Compliance. Ein geschultes Team macht schlicht weniger teure Fehler: keine erfundenen Fakten im Kundenangebot, keine sensiblen Daten im falschen Tool, keine blind übernommenen KI-Texte, die nach Roboter klingen. Schulung ist kein Kostenpunkt, sondern eine Versicherung.
Tipp: Dokumentiere die Schulung kurz schriftlich – Datum, Teilnehmer, Themen. Falls je eine Behörde fragt, kannst du zeigen, dass du deine Pflicht ernst genommen hast.
Du musst das nicht perfekt machen. Du musst nur anfangen. Drei Schritte für diese Woche:
1. Frag dein Team, wer heute welche KI-Tools nutzt – offen und ohne Schuldzuweisung.
2. Erstelle das Ampel-Blatt mit den drei Datenkategorien für deine Branche.
3. Hol dir eine Business-Lizenz für das eine Tool, das dein Team am meisten nutzt, und stell die private Nutzung für Firmendaten ab.
Damit bist du weiter als ein Großteil der Betriebe da draußen – und hast das Fundament, auf dem sich KI dann auch produktiv einsetzen lässt, etwa für die Automatisierung wiederkehrender Abläufe.
ChatGPT im Unternehmen ist erlaubt – wenn du es richtig aufsetzt. Die Frage ist nicht, ob dein Team KI nutzt. Das tut es längst. Die Frage ist, ob du die Spielregeln bestimmst oder der Zufall.
Eine klare Datenampel, eine Business-Version mit AVV, ein Ein-Seiter als Richtlinie und eine ehrliche Team-Schulung: Das ist kein Hexenwerk, sondern ein überschaubares Projekt für ein paar Wochen. Und es zahlt sich doppelt aus – als Schutz vor Datenschutzvorfällen und als Grundlage, um KI endlich produktiv statt heimlich zu nutzen.
Der Trend ist eindeutig: Die Aufsicht wird strenger, die Tools werden mächtiger, und die Betriebe, die früh saubere Strukturen schaffen, arbeiten schneller und sicherer als die, die das Thema aussitzen.
Du willst wissen, wo dein Betrieb beim Thema KI steht – und wo sich der Einsatz für dich wirklich lohnt? Dann buch dir jetzt dein kostenloses Strategiegespräch. Ich zeige dir, was bei dir möglich ist – ehrlich, konkret und ohne Buzzword-Bingo.
