Sieben Fragen vor der Freigabe eines KI-Tools

Bei der Einführung von KI wird zuerst primär an die Funktionalität eines Werkzeugs gedacht, Lizenzkosten und die technische wie organisatorische Einführung stehen an erster Stelle bei der Planung.

Das ist wichtig, aber es ist nicht die einzige Frage, die Entscheider sich zu diesem Zeitpunkt stellen sollten. Gerade bei KI-Tools ist die Freigabeentscheidung auch insbesondere eine Frage von Datenschutz, Betriebs-Verantwortung und anvisiertem Nutzungskontext.

Ein Tool kann technisch beeindruckend wirken und trotzdem für den betrieblichen völlig Einsatz unpassend sein. Deshalb lohnt sich vor jeder Freigabe ein klarer Prüfrahmen, weil spätere Probleme sonst gern teurer sind, als eine erweiterte Evaluation.

Warum Produktdemos nicht ausreichen

Produktvorstellungen oder Demo-Accounts zeigen, wie ein Tool in einem idealisierten Fall funktioniert. Sie zeigen weniger, wie es im Alltag arbeitet, und kritischer, welche rechtlichten Implikationen die tatsächliche Anwendung mit sich bringt. Diese werden erst dann klar, wenn der genaue Einsatzrahmen geklärt und analysiert ist.

Gerade KI-Werkzeuge sind in dieser Hinsicht besonders anspruchsvoll. Sie wirken in einem Testlauf oft überzeugend bis fast magisch, können aber im Einsatz unterschiedliche Folgen im funktionalen wie im rechtlichen Rahmen haben, je nachdem:

• welche Daten eingegeben und wie diese letztendlich verarbeitet werden
• wie sensibel diese Daten sind
• welche Nutzergruppen damit arbeiten
• welche Ergebnisse daraus entstehen und wie diese einzuordnen sind
• wer das Publikum dieser Ergebnisse darstellt

Deshalb reicht eine Produktdemo nicht aus, um eine belegbare Freigabeentscheidung zu treffen.

Die sieben Fragen

Ein pragmatischer Prüfrahmen lässt sich mit sieben Fragen beschreiben. Sie sind bewusst knapp formuliert und lassen sich daher auch auf die Bedürfnisse der eigenen Organisation anwenden.

1. Welche Daten werden verarbeitet?

Die erste Frage ist bewusst gewählt der Dateninput. Mit dieser Frage lassen sich unter Umständen bestimmte KI-Tools direkt ausschließen. Welche Informationen werden in das Tool eingegeben? Werden nur allgemeine Informationen verarbeitet oder auch interne Unterlagen, Kunden- oder Patientendaten, Mandatsdaten, technische Dokumentation oder Geschäftsgeheimnisse?

Bei besonders kritischen Daten, bspw. für HR-Prozesse oder medizinischen Daten ist es bereits hier möglich, dass ein Tool komplett aus der Auswahl fällt.

2. Wie sensibel sind diese Daten?

Nicht jede Information ist gleich kritisch, im geschäftlichen wie im gesetzlichen Sinn. Ein informeller Entwurf ist anders einzuordnen als eine Kundenkommunikation, eine fachliche Stellungnahme oder eine Eingabe mit gesundheits- oder personalbezogenen Inhalten.

Eine sinnvolle Prüfung braucht deshalb eine grobe Einordnung: unkritisch, vertraulich oder besonders sensibel. Hier lohnt es sich, bereits ein Datenschutzkonzept aufgestellt zu haben, mit dem sich die Beantwortung dieser Frage erleichtern lässt.

3. Wo werden Daten gespeichert und verarbeitet?

Ein Tool kann „aus Europa“ angeboten werden und trotzdem Fragen bezüglich der Datenhoheit offen lassen. Es ist sinnvoll, sich klar zu machen (und im Zweifel die Anbieter um genaue Auskunft zu bitten), wo Daten verarbeitet werden, ob sie in eine externe Umgebung gelangen, wie sie gespeichert werden und welche Sicherheitskonfigurationen dafür gelten.

Diese Frage ist insbesondere ein Datenschutzthema. Gerade hier tun sich oft Fallstricke auf, da bei vielen KI-Tools die letztendliche Verarbeitung deutlich undurchsichtiger gestaltet ist als bei "herkömmlichen" Software-Diensten.

4. Welche Vertrags- und Kontoeinstellungen gelten?

Freigaben hängen oft nicht nur vom Produkt ab, sondern auch vom Nutzungs- und Lizenzmodell. Dazu gehören etwa Kontoeinstellungen, Zugriffsrechte, Freigabeschichten, Auftragsverarbeitung oder Regeln zu Datenverwendung durch den Anbieter.

Wer diese Punkte nicht betrachtet, greift zu schnell zu einem Tool, das entweder die eigenen Zugriffsmodelle nicht unterstützt oder lizenzseitig nicht mit der eigenen Strategie vereinbar ist.

5. Welche Einstellungen sind für die Nutzung relevant?

Viele KI-Tools haben Einstellungen zu Datenverarbeitung, Training-Use (Verarbeitung von Nutzereingaben zum weiteren Training der KI-Modelle), Speicher, Export oder Zugriff. Diese Punkte sind entscheidend, weil sie den konkreten Umgang mit dem Tool verändern, und damit manche Nutzung trotz rechtlicher Einschränkungen ermöglichen.

Entscheider sollten deshalb auch insbesondere wissen, welche Einstellungen verfügbar und im jeweiligen Einsatzkontext sinnvoll sind.

6. Wie wird das Ergebnis geprüft?

KI kann überzeugend formulieren, aber dabei fehlerhaft oder unpassend sein. Daher ist die Frage nach der Ergebnisprüfung entscheidend. Wer prüft die Ausgabe und nach welchem Maßstab? Ist eine fachliche Prüfung nötig? Wird ein Ergebnis nur intern verwendet oder auch nach außen getragen?

Hier muss besonders bei KI-Nutzung außerhalb von "Umformulieren und Übersetzen" eine intensive Prüfung stattfinden, und direkt Verantwortliche benannt werden. Bei Nutzung im Kundenkontakt übernimmt kein KI-Tool die Haftung.

7. Wer trägt die Verantwortung?

Am Ende jeder Freigabe steht die Frage: Wer ist verantwortlich, wenn etwas schiefgeht? Die Verantwortung liegt nicht bei der Technik, sondern bei der Organisation und den Entscheidern. Sie gehört zu den Personen, die den Einsatz erlauben und bei denen, die die Ergebnisse prüfen.

In kleinen Unternehmen kann das schlank organisiert werden, aber es muss organisiert werden, denn ohne Zuständigkeit ist eine Freigabe unklar und am Ende schlecht zu verteidigen.

Wann Datenschutz, IT oder Fachbereiche einbezogen werden sollten

Die Antwort ist nicht immer dieselbe. In kleineren Organisationen kann eine kurze Abstimmung reichen. In komplexeren Fällen sind aber häufig unterschiedliche Perspektiven sinnvoll:

• Datenschutz oder die zuständige fachliche Stelle, wenn, oder zur Klärung ob, sensible Daten betroffen sind
• IT, wenn Zugriffe, Konten oder technische Einstellungen relevant sind, oder die Frage einer tieferen Integration besteht
• Fachbereiche, wenn Ergebnisse in einen Prozess oder eine Entscheidung eingehen, und insbesondere zur Klärung der Frage der Ergebnisprüfung

Wichtig ist, dass die relevanten Fragen and die relevanten Stellen gestellt werden, bevor diese im Nachgang zur Entscheidung mit den Konsequenzen konfrontiert werden.

Ein einfacher Freigabeweg für KMU

Für kleine und mittlere Unternehmen ist meist ein schlanker Weg der beste. Ein möglicher Ablauf könnte so aussehen:

1. Einsatzfall des Tools kurz beschreiben
2. Die sieben Fragen systematisch beantworten
3. Offene Punkte benennen
4. Klärung der offenen Punkte direkt anstreben oder mit konkreter Deadline verbinden
5. Freigabe mit klarer Zuständigkeit festhalten
6. Die Entscheidung regelmäßig prüfen, wenn oder ob sich der Einsatz verändert

Das muss nicht zu einem großen Governance-Prozess werden, hier kann schon ein kurzes Formular oder eine einfache Checkliste hilfreich sein, solange die wichtigen Punkte festgehalten und einsehbar sind.

Fazit

Vor der Freigabe eines KI-Tools geht es neben Funktionalität um Daten, Nutzungskontext, Verantwortlichkeit und Ergebnisprüfung.

Wer diese Punkte früh sichtbar macht, kann besser entscheiden, ob ein Tool wirklich passend ist und spart damit später Diskussionen und unnötige Unsicherheit bzgl. Compliance und Nutzungsrisiken im Alltag.