Auf einen Blick: KMU brauchen keine komplizierte KI-Strategie für den ersten Schritt. Ein Inventar, klare Datenverbote, freigegebene Tools und geschulte Mitarbeitende schaffen eine belastbare Grundlage.
8-Punkte-Checkliste
- KI-Inventar erstellen: Erfasse Tools, Konten, Zwecke, Lizenzen und verantwortliche Personen.
- Verbotene Daten festlegen: Keine Passwörter, API-Schlüssel, Gesundheitsdaten, vollständigen Kunden- oder Personalakten und Geschäftsgeheimnisse in externe KI-Dienste eingeben.
- Zweck und Rechtsgrundlage prüfen: Dokumentiere, welche Daten für welchen Zweck verarbeitet werden und ob Datenschutzinformationen angepasst werden müssen.
- Anbieter und Vertrag prüfen: Kontrolliere Anbieterrolle, AVV/DPA, Unterauftragnehmer, Trainingsnutzung, Speicherfristen und Drittlandübermittlungen für den konkreten Tarif.
- KI-Richtlinie schreiben: Erlaube konkrete Tools, definiere Freigaben und lege fest, dass Ergebnisse fachlich geprüft werden.
- Mitarbeitende schulen: Zeige sichere und unsichere Prompts und dokumentiere die Teilnahme.
- Zugriffe absichern: Nutze MFA, Rollen, zentrale Konten und verfügbare Audit-Logs. Halte Geräte und Browser aktuell.
- Vorfälle behandeln: Lege fest, wer bei einer Fehleingabe, einem kompromittierten Konto oder einer Datenpanne informiert wird.
Was in eine kurze KI-Richtlinie gehört
- Zweck und Geltungsbereich
- freigegebene Tools und Kontotypen
- verbotene Datenkategorien
- Anonymisierung und Prüfung von Ergebnissen
- Kennzeichnung und menschliche Kontrolle bei externer Kommunikation
- Verantwortlichkeiten, Schulung und Meldeweg
Rechtliche Pflichten hängen vom konkreten Einsatz, Risiko, Anbieter und Verarbeitungsvorgang ab. Aussagen zum EU AI Act und zur DSGVO sollten daher vor Einführung mit aktuellen Primärquellen oder fachlicher Beratung abgeglichen werden.
Für die tägliche Nutzung hilft der Datenschutz-Guide für ChatGPT und andere KI-Tools. Die allgemeinen Grundlagen der IT-Organisation findest du außerdem im IT-Sicherheitsguide für KMU.