Wie schützen wir Geschäftsgeheimnisse vor KI-Datenabfluss?

Das Problem

Ein Metallbaubetrieb kalkuliert seine Offerten seit Jahren mit einer ausgeklügelten Excel-Tabelle. Darin stecken Erfahrungswerte, Einkaufspreise und Margen. Ein Mitarbeiter lädt die Tabelle in einen KI-Dienst, um eine Formel zu verbessern. Niemand denkt sich etwas dabei.

Genau so entstehen Datenabflüsse, also das ungewollte Verlassen von Informationen aus dem Betrieb. Bei kostenlosen oder privaten KI-Konten kann der Anbieter Eingaben je nach Einstellungen speichern, auswerten oder zur Verbesserung der Modelle nutzen. Was einmal draussen ist, lässt sich kaum zurückholen.

Geschäftsgeheimnisse sind in der Schweiz rechtlich geschützt, etwa durch Art. 162 Strafgesetzbuch, das Lauterkeitsrecht und die Treuepflicht von Mitarbeitenden nach Art. 321a OR. Dieser Schutz hilft aber vor allem nachträglich. Besser ist es, den Abfluss gar nicht erst entstehen zu lassen.

So lösen Sie es mit KI – Schritt für Schritt

1. Benennen Sie Ihre Geheimnisse. Schreiben Sie auf, welche Informationen für Ihren Betrieb besonders wertvoll sind: Kalkulationen, Rezepturen, Kundenlisten, Pläne, Konditionen mit Lieferanten, Strategiepapiere. Was niemand benennt, schützt auch niemand.

1. Ordnen Sie Informationen in einfache Klassen. Unterscheiden Sie zum Beispiel öffentlich, intern und vertraulich. Halten Sie fest, welche Klasse in welchen KI-Dienst darf. Vertrauliches gehört nur in einen geprüften Dienst oder gar nicht hinein.

1. Wählen Sie einen geprüften KI-Dienst. Bevorzugen Sie Geschäftsangebote, bei denen der Vertrag die Nutzung Ihrer Eingaben für das Training ausschliesst und Speicherung sowie Zugriffe regelt. Wie das im Vertrag aussehen sollte, erklärt die Seite Vertraulichkeit im KI-Vertrag.

1. Halten Sie die Regeln schriftlich fest. Nehmen Sie die Klassen und erlaubten Dienste in eine kurze Weisung auf. Eine Vorlage bietet die Seite KI-Richtlinie für Mitarbeitende.

1. Schulen Sie das Team mit Beispielen. Zeigen Sie konkret, was erlaubt ist und was nicht. Ein Beispiel wie «Formel erklären lassen: ja, mit Beispielzahlen. Echte Kalkulation hochladen: nein» bleibt besser hängen als ein abstraktes Verbot.

1. Ergänzen Sie technische Schutzmassnahmen. Ihre IT kann den Zugriff auf nicht freigegebene KI-Dienste einschränken, Zugriffsrechte auf vertrauliche Ordner eng fassen und Geschäftskonten zentral verwalten. Bei internen KI-Wissensdatenbanken sind Zugriffsrechte besonders wichtig; siehe Zugriffsrechte in der KI-Wissensdatenbank.

1. Legen Sie einen Meldeweg fest. Wenn trotzdem etwas Vertrauliches in einen falschen Dienst gelangt ist, soll die Person das ohne Angst melden können. Nur so lässt sich rasch reagieren, etwa durch Löschen des Verlaufs oder Information betroffener Partner.

Vorlage zum Kopieren

Diese Vorlage hilft, mit Beispieldaten statt echten Zahlen zu arbeiten:

Ich möchte eine Tabelle verbessern, darf aber keine echten Geschäftsdaten teilen.
Aufbau der Tabelle: Spalten [Spaltennamen allgemein, z. B. Material, Menge, Einheitspreis, Zuschlag].
Ziel: [z. B. Formel, die Zuschläge nach Menge staffelt].
Erzeuge zuerst 5 Zeilen frei erfundene Beispieldaten.
Erkläre dann die Formel Schritt für Schritt, sodass ich sie in Excel selbst auf meine echte Tabelle übertragen kann.
Frage nach, wenn dir eine Angabe zum Aufbau fehlt.

Beschreiben Sie nur den Aufbau Ihrer Tabelle; die echten Werte bleiben in Ihrer Datei im Betrieb.

Worauf Sie achten müssen

• Rechtlicher Schutz greift spät: Strafrecht und Lauterkeitsrecht helfen nach einer Verletzung. Vorbeugende Massnahmen sind wirksamer und billiger.
• Geheimhaltung muss gewollt sein: Damit eine Information als Geschäftsgeheimnis geschützt ist, sollte der Betrieb erkennbar Massnahmen zu ihrem Schutz treffen. Klare Regeln helfen auch hier.
• Trainingsnutzung: Prüfen Sie, ob und wie Ihre Eingaben vom Anbieter verwendet werden. Mehr unter Datennutzung für Training regeln.
• Fremde Geheimnisse: Unterlagen von Kunden oder Partnern mit Geheimhaltungsvereinbarung verlangen besondere Vorsicht; siehe Dokumente mit NDA.
• Indirekte Preisgabe: Auch eine ausführliche Beschreibung einer Rezeptur oder Strategie kann ein Geheimnis verraten, ohne dass eine Datei hochgeladen wird.
• Austritt: Regeln Sie, dass ausscheidende Mitarbeitende keine Firmendaten in privaten KI-Konten behalten.
• Fachliche Prüfung: Für Verträge mit Partnern und Mitarbeitenden ziehen Sie bei Bedarf eine Fachperson bei.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Confiserie im Berner Oberland bemerkte, dass eine Mitarbeiterin die geheime Pralinenrezeptur in einen Chatdienst eingegeben hatte, um Mengen für eine Grossbestellung umzurechnen. Die Inhaberin erschrak, denn das Rezept ist ihr wichtigstes Kapital.

Gemeinsam erarbeitete das Team eine einfache Regel: Rezepturen und Lieferantenpreise werden nie in KI-Dienste eingegeben. Für Umrechnungen gibt es nun eine interne Tabelle. Die Mitarbeiterin hatte keine böse Absicht; seit der kurzen Schulung fragen alle nach, bevor sie etwas Neues ausprobieren.

So hilft Ihnen Alpasana

Damit das ganze Team Geschäftsgeheimnisse im KI-Alltag schützt, bietet absofort die KI-Weiterbildung für Unternehmen an. Sie behandelt den verantwortungsvollen Umgang mit Unternehmensdaten und den Einsatz von KI in Verwaltung, Kommunikation und Analyse, mit Schweizer Praxisbezug.

Mitarbeitende lernen online im eigenen Tempo und schliessen mit verifizierbaren Nachweisen ab. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit. Technische Schutzmassnahmen und Vertragsprüfungen bleiben Aufgabe Ihrer IT und Fachpersonen.

Häufige Fragen

Ist ein bezahlter KI-Dienst automatisch sicher für Geschäftsgeheimnisse?

Nein. Entscheidend sind die Vertragsbedingungen und Einstellungen, nicht der Preis. Geschäftsangebote bieten oft bessere Zusagen, müssen aber trotzdem geprüft werden.

Was tun, wenn bereits ein Geheimnis eingegeben wurde?

Löschen Sie den Verlauf, dokumentieren Sie, was eingegeben wurde, und prüfen Sie die Bedingungen des Dienstes. Je nach Art der Information informieren Sie Betroffene oder holen fachlichen Rat ein.

Hilft eine lokale KI auf dem eigenen Computer?

Eine lokal betriebene KI verarbeitet Daten auf eigenen Geräten und kann das Abflussrisiko verringern. Sie erfordert aber technisches Wissen, Wartung und eigene Sicherheitsmassnahmen.

Sollen wir KI ganz verbieten, um sicher zu sein?

Ein Totalverbot führt oft dazu, dass heimlich private Dienste genutzt werden. Klare Regeln mit einem geprüften Dienst sind meist wirksamer.