// warum das jetzt drängt
In fast jedem Betrieb, den wir uns ansehen, wird KI bereits genutzt – in der Buchhaltung, im Vertrieb, bei Angeboten und Texten. Nur steht nirgends, welche Werkzeuge erlaubt sind, was hineingegeben werden darf und wo die Daten landen. Das ist der eigentliche Handlungsbedarf.
Kundendaten in einem kostenlosen Chatbot, Angebote über einen Dienst ohne Vertrag, Bewerbungsunterlagen zur Zusammenfassung hochgeladen. Verbieten hilft nicht – es verlagert das nur ins Verborgene.
schatten-ki · ungeregelt · riskant
Der EU AI Act ist in Kraft und wird schrittweise wirksam. Dazu kommt die DSGVO, die schon immer galt. Verlangt wird nicht Perfektion, sondern Nachvollziehbarkeit – und die muss man vorher aufbauen.
ai act · dsgvo · nachweisbar
Wie schon bei der Informationssicherheit kommt der Druck oft über die Auftraggeber: „Setzen Sie KI ein? Wobei? Mit unseren Daten?“ Wer darauf keine saubere Antwort hat, verliert Ausschreibungen.
lieferkette · nachfrage · vorbereitet
// die baustellen
Keine Theorie, sondern die Punkte, an denen es in der Praxis regelmäßig hängt. Nicht alles trifft auf jeden Betrieb zu – was zutrifft, klärt die Bestandsaufnahme.
Am Anfang steht eine ehrliche Aufnahme: Welche Werkzeuge sind im Einsatz, von wem, wofür, mit welchen Daten? Ohne Schuldzuweisung – sonst erfährt man nichts.
Bei welchem Anbieter, in welchem Land, wie lange gespeichert, und wird damit trainiert? Das ist die entscheidende Frage – und die Antwort steht selten dort, wo man sie sucht.
Wer personenbezogene Daten an einen KI-Dienst gibt, braucht in der Regel einen Vertrag zur Auftragsverarbeitung. Wir prüfen, welche Anbieter einen anbieten – und welche nicht.
Ein verständliches Papier, das sagt: Diese Werkzeuge dürfen Sie nutzen, dafür, mit diesen Daten – und das hier auf keinen Fall. Zwei Seiten, die jeder liest, statt zwanzig, die keiner liest.
Der EU AI Act verlangt, dass Beschäftigte im Umgang mit KI hinreichend geschult sind. Wir machen daraus eine praktische Unterweisung mit Beispielen aus Ihrem Betrieb – und dokumentieren sie.
KI-Nutzung gehört ins Verzeichnis der Verarbeitungstätigkeiten, wenn personenbezogene Daten im Spiel sind. Wir liefern die technischen Angaben, die Ihr Datenschutzbeauftragter dafür braucht.
Wo ein Betriebsrat besteht, ist er bei Werkzeugen, die zur Leistungskontrolle geeignet sind, einzubeziehen. Früh geregelt ist das eine Formalie – spät geregelt ein Konflikt.
Wo eine KI-Ausgabe eine Entscheidung vorbereitet, muss klar sein, wer sie prüft und verantwortet. Besonders bei Bewerbungen, Kreditwürdigkeit und allem, was Menschen betrifft.
Wo KI-erzeugte Inhalte nach außen gehen oder Menschen mit einem System sprechen, das kein Mensch ist, gelten Transparenzpflichten. Praktisch heißt das: hinschreiben.
// so gehen wir vor
Wir fangen nicht mit einem Regelwerk an, sondern mit einer ehrlichen Bestandsaufnahme. Was wird schon genutzt, von wem, wofür? Das geht nur ohne Schuldzuweisung – wer Angst vor Ärger hat, sagt nichts.
Daraus entsteht ein Bild der tatsächlichen Datenflüsse: Welche Information geht an welchen Anbieter, in welches Land, mit welchem Vertrag. Meistens ist das der Moment, in dem es still im Raum wird.
Danach wird geregelt, was zu regeln ist, und die Technik so aufgestellt, dass die Regel auch einhaltbar ist. Eine Richtlinie, die den Arbeitsalltag unmöglich macht, wird umgangen – dann ist nichts gewonnen.
datenfluss · beispiel
// wo läuft die ki
Die einfachste Lösung für viele Datenschutzfragen ist die, an die am seltensten gedacht wird: das Modell im eigenen Haus zu betreiben. Was den Betrieb nie verlässt, muss auch nicht vertraglich abgesichert werden.
Offene Modelle laufen auf einem Server im eigenen Netz. Die Daten verlassen den Betrieb nicht – keine Auftragsverarbeitung, keine Drittlandfrage, kein Training mit Ihren Inhalten.
Geeignet für Dokumentenauswertung, Zusammenfassungen, Suche in eigenen Beständen, Vorprüfung von Verträgen und Rechnungen.
Der Preis dafür ist Hardware und etwas weniger Leistung als bei den großen Anbietern. Für viele Aufgaben reicht es trotzdem locker.
Für anspruchsvolle Aufgaben führt oft kein Weg an den großen Modellen vorbei. Dann muss der Rahmen stimmen: Vertrag zur Auftragsverarbeitung, Serverstandort, kein Training mit Ihren Daten.
Wichtig ist der Unterschied zwischen kostenlosen Zugängen und Geschäftstarifen. Bei den kostenlosen ist die Bezahlung häufig genau das, was Sie hineingeben.
Wir prüfen die Bedingungen der Anbieter und sagen Ihnen, welche für Ihren Anwendungsfall tragen – und welche nicht.
In der Praxis läuft es fast immer auf eine Mischung hinaus: alles mit Personenbezug bleibt im Haus, alles andere darf nach außen.
Das ist eine technische Entscheidung, die den größten Teil der rechtlichen Fragen von selbst erledigt – einfacher, als jeden Einzelfall vertraglich abzusichern.
Damit das funktioniert, muss die Trennung im Arbeitsalltag offensichtlich sein. Sonst landet doch wieder alles im erstbesten Fenster.
// passt dazu
Woran sich eine KI-Einführung bei Betrieben in Siegburg, Köln, Bonn und im Rhein-Sieg-Kreis meist anschließt.
// häufige fragen
Nein, und das ist wichtig. Wir sind IT-Dienstleister. Wir sorgen für die technische und organisatorische Umsetzung: Wo laufen die Modelle, wohin fließen die Daten, wie sieht eine praktikable Richtlinie aus, wie wird geschult und dokumentiert. Die rechtliche Bewertung gehört zu Ihrem Anwalt oder Datenschutzbeauftragten – wir liefern ihm die technischen Angaben, die er dafür braucht, und arbeiten gern direkt mit ihm zusammen.
Teilweise ja. Der AI Act unterscheidet nach Risiko und nach Rolle. Die strengen Pflichten treffen vor allem Anbieter von Hochrisiko-Systemen – das sind die wenigsten. Aber Transparenzpflichten und die Anforderung, dass Beschäftigte im Umgang mit KI hinreichend geschult sind, gelten unabhängig von der Betriebsgröße. Dazu kommt die DSGVO, sobald personenbezogene Daten im Spiel sind – und die ist in der Praxis meist der schwierigere Teil.
Das ist der häufigste erste Reflex – und er funktioniert nicht. Ein Verbot beendet die Nutzung nicht, es verlagert sie ins Verborgene: aufs private Handy, in den privaten Zugang, ohne jede Kontrolle. Das Ergebnis ist schlechter als vorher, weil Sie nun nicht einmal mehr wissen, was passiert. Besser: wenige klar erlaubte Wege anbieten, die im Alltag taugen – dann braucht niemand einen Umweg.
Wie bei allen unseren Leistungen: Wir sagen es, wenn wir es sehen können. Die Bestandsaufnahme wird nach Aufwand abgerechnet und ist der Teil, der sich zuerst lohnt – oft stellt sich dabei heraus, dass mit einer klaren Richtlinie und zwei technischen Änderungen der größte Teil erledigt ist. Was danach an Technik nötig ist, hängt davon ab, wie viel im eigenen Haus laufen soll.
Weniger, als die meisten denken. Für Dokumentenauswertung, Zusammenfassungen und Suche in eigenen Beständen reicht ein Server mit einer geeigneten Grafikkarte – eine Größenordnung, die in ein normales Mittelstandsbudget passt. Anspruchsvoller wird es erst, wenn viele Menschen gleichzeitig zugreifen sollen. Genau das klärt die Bestandsaufnahme: Welche Aufgaben gibt es wirklich, und was kostet es, sie im Haus zu erledigen?
Als Ausgangspunkt ja, als Ergebnis nein. Vorlagen beschreiben allgemeine Grundsätze, aber nicht Ihre Werkzeuge, Ihre Datenflüsse und Ihre Ausnahmen. Und genau danach wird gefragt, wenn es darauf ankommt. Wir schauen uns gern an, was Sie schon haben, und ergänzen es um den Teil, der zu Ihrem Betrieb gehört – das ist meist schneller, als neu anzufangen.
// nächster schritt
30 Minuten Erstgespräch, kostenfrei. Wir klären, was bei Ihnen schon genutzt wird, wo die dringenden Punkte liegen und wie eine Bestandsaufnahme aussehen würde. Ohne erhobenen Zeigefinger.