Was tun, wenn Mitarbeitende private KI-Tools nutzen?

Das Problem

Sie haben den Verdacht oder wissen es sogar: Einige Kolleginnen und Kollegen nutzen KI-Programme mit ihrem privaten Konto. Sie lassen sich E-Mails formulieren, Berichte zusammenfassen oder Excel-Formeln erklären. Offiziell hat der Betrieb dafür nichts freigegeben.

Das nennt man Schatten-KI: KI-Nutzung im Betrieb ausserhalb dessen, was die Firma kennt, erlaubt und kontrolliert. Meist steckt keine böse Absicht dahinter, sondern der Wunsch, schneller zu arbeiten. Gerade deshalb ist sie so verbreitet.

Das Risiko liegt in den Daten. Wer Kundenangaben, Verträge oder interne Zahlen in ein privates Konto eingibt, gibt sie aus der Hand. Sie wissen weder, wo sie verarbeitet werden, noch ob sie zum Training verwendet werden. Auch das Datenschutzgesetz verlangt, dass Sie als Betrieb mit Personendaten sorgfältig umgehen.

So lösen Sie es mit KI – Schritt für Schritt

1. Ruhig bleiben: Reagieren Sie nicht mit Verbot oder Strafandrohung. Wer Angst hat, schweigt, und Sie erfahren nie, was wirklich genutzt wird.
2. Offen nachfragen: Stellen Sie im Team eine einfache Frage: «Wer nutzt KI bei der Arbeit, wofür und womit?» Eine anonyme Umfrage hilft, siehe KI-Nutzung im Team erfragen: Vorlage ohne Schuldzuweisung.
3. Nutzen verstehen: Wofür wird KI eingesetzt? Wenn viele sich Mails formulieren lassen, gibt es einen echten Bedarf, den Sie anerkennen können.
4. Risiken einteilen: Ordnen Sie die genannten Einsätze nach Datenart: harmlos (allgemeine Texte), heikel (interne Zahlen), nicht erlaubt (Personendaten, Verträge, Geheimnisse).
5. Einen sicheren Weg anbieten: Wählen Sie ein Werkzeug, das der Betrieb freigibt und bezahlt, mit geprüften Bedingungen. Sonst weichen die Leute wieder auf private Konten aus.
6. Einfache Regeln aufschreiben: Eine Seite mit Erlaubtem, Verbotenem und Ansprechperson. Eine Vorlage finden Sie unter KI-Richtlinie für KMU: Vorlage in verständlicher Sprache.
7. Schulen: Zeigen Sie in einer Stunde, wie man KI sinnvoll nutzt und welche Daten draussen bleiben. Regeln ohne Erklärung werden vergessen.
8. Liste führen und aktuell halten: Führen Sie ein Verzeichnis der erlaubten Werkzeuge, siehe Wie führen wir eine verständliche Liste erlaubter KI-Tools?.

Vorlage zum Kopieren

Ich leite [Betrieb, z. B. ein Treuhandbüro mit 12 Personen] in der Schweiz. Wir vermuten, dass einzelne
Mitarbeitende private KI-Konten bei der Arbeit nutzen.
Bitte erstelle für ein Teamgespräch:
1. Einen freundlichen Einstieg (5 Sätze), der keine Vorwürfe enthält.
2. Eine Liste von 6 Fragen, die wir dem Team stellen (z. B. wofür, womit, welche Daten).
3. Eine einfache Ampel-Tabelle: grün (erlaubt), gelb (nur nach Rückfrage), rot (nie), mit je 5 Beispielen
   aus dem Büroalltag.
4. Drei Sätze, wie wir erklären, warum bestimmte Daten nicht in private Konten gehören.
Verwende einfache Sprache und die Anrede «wir». Gib keine rechtlichen Pflichten an, die du nicht
sicher kennst; schreibe stattdessen «Fachperson klären».

Ergänzen Sie Betrieb und Besonderheiten. Passen Sie die Ampel-Beispiele an Ihre tatsächlichen Daten an.

Ampel für den Alltag

Weitere Hintergründe finden Sie unter Was ist Schatten-KI im Unternehmen?. Wie Sie unbemerkte Nutzung finden, zeigt Wie finden wir unbemerkte KI-Nutzung im Betrieb?.

Worauf Sie achten müssen

• Datenschutz: Der Betrieb bleibt für den Umgang mit Personendaten verantwortlich, auch wenn Mitarbeitende private Konten nutzen. Lassen Sie rechtliche Fragen im Einzelfall von einer Fachperson beurteilen.
• Keine Überwachung im Verborgenen: Wenn Sie Nutzung technisch kontrollieren wollen, informieren Sie transparent und klären Sie die Regeln mit Fachleuten.
• Kostenlose Konten: Gratisangebote haben oft andere Datenbedingungen als Firmenkonten. Prüfen Sie die Bedingungen des Anbieters.
• Versteckte KI in Programmen: Auch in Bürosoftware tauchen KI-Funktionen auf. Siehe Versteckte KI-Funktionen in Bürosoftware erkennen.
• Vorbildfunktion: Wenn die Leitung selbst private Konten nutzt, wirken Regeln unglaubwürdig.
• Regeln aktuell halten: Werkzeuge ändern sich schnell. Überprüfen Sie Liste und Regeln mindestens einmal im Jahr.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Ingenieurbüro in Olten mit 14 Mitarbeitenden merkt, dass mehrere private KI-Konten nutzen. Vorher gilt ein stilles Verbot, das niemand befolgt. Ein Projektleiter hat schon Auszüge aus einem Kundenvertrag eingefügt, um sie zusammenfassen zu lassen.

Nachher spricht die Geschäftsleiterin offen mit dem Team. Das Büro wählt ein Werkzeug mit Firmenkonto, definiert eine einfache Ampel und hält zwei Schulungsstunden ab. Der Projektleiter meldet sich selbst und erklärt, was er eingegeben hatte. Das Büro bewertet den Fall gemeinsam und passt die Regel an.

So hilft Ihnen Alpasana

Für gemeinsame Regeln zur KI-Nutzung braucht Ihr Team ein Verständnis für Datenschutz und Unternehmensdaten; die KI-Weiterbildung für Unternehmen behandelt diese Themen in Online-Weiterbildungen. Die betrieblichen Regeln legen Sie selbst fest.

Häufige Fragen

Soll ich private KI-Nutzung einfach verbieten?

Ein Verbot allein hilft selten, weil die Nutzung dann unbemerkt weitergeht. Besser ist ein erlaubtes, geprüftes Angebot kombiniert mit klaren Regeln. Für besonders sensible Bereiche kann ein Verbot sinnvoll sein.

Muss ich Mitarbeitende bestrafen, wenn sie sich melden?

Das sollten Sie vermeiden, sonst meldet sich niemand mehr. Unterscheiden Sie zwischen unbedachter Nutzung vor einer Regel und bewusstem Verstoss danach. Arbeitsrechtliche Fragen klären Sie mit einer Fachperson.

Was ist, wenn schon Daten eingegeben wurden?

Halten Sie fest, was eingegeben wurde, und beurteilen Sie das Risiko. Bei Personendaten oder Geschäftsgeheimnissen ziehen Sie die Datenschutzverantwortliche oder eine Fachperson bei. Ändern Sie betroffene Zugangsdaten sofort.