Die KI-Nutzung, die niemand freigegeben hat

Warum es entsteht, ohne dass jemand Regeln brechen will

Der typische Verlauf ist unspektakulär: Eine Sachbearbeitung soll dreißig Rückmeldungen zusammenfassen, das freigegebene Werkzeug kann es nicht oder ist noch nicht da, ein privater Zugang kann es sofort. Die Entscheidung fällt in zwei Minuten und wird nicht als Regelverstoß empfunden, sondern als Arbeit.

Wer diese Nutzung nur als Disziplinproblem behandelt, verliert die verlässlichste Informationsquelle darüber, was im Haus tatsächlich gebraucht wird. Die Liste der still genutzten Werkzeuge ist eine Bedarfserhebung, für die sonst niemand Budget bekommen hätte.

Was tatsächlich auf dem Spiel steht

Der erste Punkt ist der Datenschutz. Bei einem privaten Zugang gibt es keinen Auftragsverarbeitungsvertrag, also fehlt für die Verarbeitung von Personendaten die Grundlage, die Artikel 28 der Datenschutz-Grundverordnung verlangt. Das gilt unabhängig davon, wie sorgfältig die betreffende Person arbeitet.

Der zweite Punkt betrifft Geschäftsgeheimnisse. Schutz nach dem Geschäftsgeheimnisgesetz besteht nur, wenn angemessene Geheimhaltungsmaßnahmen getroffen wurden. Wenn Kalkulationen und Angebotsunterlagen regelmäßig in unkontrollierte Dienste wandern, wird ausgerechnet dieser Nachweis schwierig, und er ist im Streitfall die Voraussetzung für jeden Anspruch.

Der dritte Punkt ist banaler und trifft häufiger: Ergebnisse ohne Spur. Wenn eine Auswertung in einem privaten Konto entstanden ist, kann niemand nachvollziehen, worauf sie beruht, und beim Ausscheiden der Person ist sie weg.

Sichtbar machen, ohne zu jagen

Sichtbarkeit entsteht aus drei Quellen. Erstens die Netzwerkseite, also Auswertungen des Web-Proxys oder der Firewall, die zeigen, welche Dienste überhaupt aufgerufen werden. Zweitens die Beschaffung, denn Abrechnungen über Firmenkreditkarten und Abonnements auf Einzelrechnungen zeigen bezahlte Werkzeuge. Drittens der zentral verwaltete Browser, über den sich Erweiterungen erfassen und begrenzen lassen.

Entscheidend ist, was ihr mit dem Ergebnis macht. Führt die erste Auswertung zu Gesprächen mit einzelnen Personen, ist sie zugleich die letzte brauchbare. Wertet zusammengefasst aus, nennt keine Namen und sagt das vorher. In derselben Nachricht gehört die Aussage, dass daraus ein Angebot entsteht und keine Sanktionsliste.

Zieht Datenschutz und Interessenvertretung früh hinzu. Auswertungen, die sich auf einzelne Beschäftigte zurückführen lassen, sind mitbestimmungsrelevant, und eine Absprache vorher kostet deutlich weniger als ein Konflikt hinterher.

Der Weg vom Verbot zum freigegebenen Angebot

Ein Verbot ohne Alternative ist die teuerste Variante, weil es die Nutzung unsichtbar macht und den Bedarf nicht beseitigt. Tragfähig ist die umgekehrte Reihenfolge: erst ein freigegebenes Werkzeug für die häufigsten Fälle bereitstellen, dann klar sagen, wofür es gedacht ist, und erst danach die Nutzung außerhalb dieses Rahmens abstellen.

Damit das Angebot angenommen wird, muss es an einem Punkt besser sein und nicht nur erlaubt. Das kann der Zugriff auf interne Dokumente sein, eine gemeinsame Ablage für bewährte Anweisungen oder schlicht, dass niemand die Kosten privat trägt. Ein freigegebenes Werkzeug, das weniger kann als der private Zugang, wird umgangen.

Der Freigabepfad selbst braucht eine zugesagte Frist. Wenn eine Fachabteilung weiß, dass eine Anfrage innerhalb von zwei Wochen beantwortet wird, wartet sie. Wenn sie es nicht weiß, entscheidet sie selbst, und ihr seid wieder am Anfang.

Was in die Regeln gehört, damit sie befolgt werden

Regeln werden befolgt, wenn sie an Datenarten anknüpfen und nicht an Werkzeugnamen. Eine Liste erlaubter Produkte ist nach einem Quartal überholt. Eine Aussage darüber, welche Inhalte in ein externes Werkzeug dürfen und welche nicht, hält länger und lässt sich auf jeden neuen Dienst anwenden.

Nennt außerdem eine Anlaufstelle für den Fall, dass etwas Falsches eingegeben wurde. Wer eine Kundenliste versehentlich in ein öffentliches Werkzeug kopiert hat, meldet das nur, wenn die Meldung selbst folgenlos bleibt. Ohne diesen Weg erfahrt ihr von solchen Vorfällen zuletzt oder gar nicht.