Dürfen Mitarbeitende private KI-Konten für die Arbeit nutzen?

Das Problem

Eine Mitarbeiterin im Verkauf nutzt zu Hause ein KI-Programm und hat es mit ins Büro genommen: Auf ihrem privaten Konto lässt sie Offerten formulieren, E-Mails glätten und Kundengespräche zusammenfassen. Das klingt zunächst wie Eigeninitiative, und das Ergebnis ist oft gut. Doch der Betrieb weiss nichts davon.

Diese Nutzung nennt man Schatten-KI: KI-Werkzeuge, die ohne Wissen und Freigabe des Betriebs eingesetzt werden. Sie entsteht fast immer aus gutem Willen, weil Mitarbeitende effizient sein wollen und der Betrieb noch keine Lösung bereitgestellt hat.

Das Problem liegt in der Kontrolle. Auf einem privaten Konto gelten die privaten Nutzungsbedingungen des Anbieters. Der Betrieb weiss nicht, wo die Daten verarbeitet werden, ob sie fürs Training genutzt werden, wer Zugriff hat und was passiert, wenn die Mitarbeiterin das Unternehmen verlässt. Daten von Kundschaft und Geschäftsgeheimnisse können so unbemerkt abfliessen.

Einfach erklärt

Ein privates Konto unterscheidet sich von einem Firmenkonto in vier Punkten:

Auf den privaten Konten gelten oft andere Regeln zur Datennutzung als in Firmentarifen. Ob Eingaben zum Training verwendet werden, hängt von Anbieter und Einstellung ab. Der Betrieb kann es bei privaten Konten weder prüfen noch verlangen.

Verantwortlich bleibt der Betrieb: Gibt jemand Kundendaten in einen Dienst ein, ohne dass die datenschutzrechtlichen Voraussetzungen erfüllt sind, kann das für den Betrieb Folgen haben.

So lösen Sie es mit KI – Schritt für Schritt

1. Offen nachfragen, nicht anprangern: Sprechen Sie im Team ohne Vorwurf darüber: «Wer nutzt KI im Arbeitsalltag, und wofür?» Eine anonyme Befragung hilft, ehrliche Antworten zu erhalten. Siehe Schatten-KI im Betrieb erkennen.
2. Risiken sichtbar machen: Zeigen Sie an einem Beispiel, welche Daten in privaten Konten landen können, etwa Kundennamen in einer E-Mail, die zusammengefasst werden soll.
3. Bedarf verstehen: Wofür wird KI genutzt? Texte, Zusammenfassungen, Übersetzungen? Aus dem Bedarf folgt die Lösung.
4. Freigegebene Alternative bereitstellen: Wählen Sie ein Werkzeug mit Geschäftsvertrag, geklärter Datennutzung, Verwaltung der Zugänge und zweitem Faktor. Prüfen Sie es nach KI-Tool prüfen: Datenschutzfragen.
5. Regeln festlegen: Welche Aufgaben sind erlaubt, welche Daten nicht? Siehe Welche Aufgaben dürfen Mitarbeitende mit KI erledigen? und die Daten-Ampel.
6. Übergangsfrist geben: Wer ein privates Konto nutzt, hat Zeit, Gewohnheiten umzustellen und Chatverläufe mit Firmenbezug zu löschen.
7. Gegenseitig vereinbaren: Halten Sie schriftlich fest: Arbeitsdaten nur in freigegebenen Werkzeugen. Nutzen Sie dafür die KI-Richtlinie für Mitarbeitende.
8. Anlaufstelle benennen: Eine Person, die Fragen beantwortet und neue Werkzeuge prüft, verhindert Alleingänge.
9. Regelmässig auswerten: Fragen Sie nach drei Monaten: Funktioniert die Lösung? Fehlt etwas? Passen Sie an.

Vorlage zum Kopieren

Mit diesem Auftrag entwerfen Sie eine kurze Ankündigung an das Team. Geben Sie keine Namen von Mitarbeitenden ein:

Schreibe eine freundliche, klare Mitteilung der Geschäftsleitung an alle Mitarbeitenden eines Schweizer KMU ([Branche], [Anzahl] Personen), Anrede «Sie», maximal 200 Wörter.
Inhalt: Wir wissen, dass viele KI-Werkzeuge nutzen und das auch positiv sehen. Aus Datenschutzgründen sollen Arbeitsdaten künftig nur in den vom Betrieb freigegebenen Werkzeugen verwendet werden, nicht in privaten Konten. Wir stellen ab [Datum] [Werkzeug/Lösung] zur Verfügung. Bis dahin gilt: keine Kunden- oder Personendaten in private KI-Konten. Fragen und Wünsche richten Sie an [Funktion].
Der Ton soll wertschätzend sein, ohne Drohung, und die Gründe verständlich erklären. Füge drei konkrete Beispiele für erlaubte und nicht erlaubte Nutzung an.

Passen Sie Termin, Werkzeug und Ansprechperson an. Besprechen Sie die Mitteilung im Team, bevor Sie sie versenden.

Worauf Sie achten müssen

• Datenschutz: Prüfen Sie vor der Eingabe von Personendaten die konkrete Datenbearbeitung, die Anbieterbedingungen und ob eine Vereinbarung zur Auftragsbearbeitung nötig ist. Die Verantwortung für die eigene Datenbearbeitung trägt der Betrieb.
• Arbeitsrechtliche Seite: Der Arbeitgeber darf Weisungen zum Einsatz von Werkzeugen erteilen. Klare, schriftliche Regeln sind eine Voraussetzung dafür, sie durchzusetzen.
• Austritt: Chatverläufe mit Firmenwissen bleiben bei privaten Konten bei der Person. Das lässt sich kaum kontrollieren.
• Kontrolle ohne Überwachung: Prüfen Sie Zugänge und Regeln, ohne Mitarbeitende lückenlos zu überwachen. Das wirft eigene Datenschutz- und Vertrauensfragen auf.
• Browser-Erweiterungen und Apps: Auch Zusatzprogramme mit KI-Funktionen auf privaten Geräten sind Schatten-KI. Siehe Browser-Erweiterungen und Datenzugriff.
• Kein Generalverdacht: Die meisten nutzen KI aus guten Gründen. Setzen Sie auf Aufklärung.
• Rechtliche Besonderheiten: Bei Berufsgeheimnissen und regulierten Branchen gelten strengere Anforderungen.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Treuhandbüro in Winterthur mit acht Mitarbeitenden bemerkt, dass zwei Personen KI auf privaten Konten nutzen.

Vorher: Die beiden kopieren Auszüge aus Kundenschreiben hinein, um Antworten zu formulieren. Der Inhaber erfährt es zufällig und ist verärgert, die Mitarbeitenden fühlen sich ertappt.

Nachher: Der Inhaber lädt zu einem Gespräch ein, hört sich den Nutzen an und bietet ein Firmenkonto mit Geschäftsvertrag an. Es gilt eine einfache Regel: Kundendaten nur anonymisiert und nur im Firmenkonto. Die beiden löschen ihre privaten Verläufe mit Firmenbezug. Das Klima bleibt gut, und die Nutzung ist jetzt offen.

So hilft Ihnen Alpasana

Wenn Sie KI im Betrieb offen und sicher einführen und Ihre Mitarbeitenden schulen möchten, bietet absofort KI-Weiterbildung für Unternehmen an. Laut Beschreibung geht es um KI für Verwaltung, Kommunikation, Analyse und Texte sowie um den verantwortungsbewussten Umgang mit Unternehmensdaten; für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit. Ein Firmenkonto bei einem KI-Anbieter stellt das Angebot nicht bereit.

Häufige Fragen

Darf ich privat bezahlte KI im Büro einsetzen?

Das sollte der Betrieb regeln. Ohne Erlaubnis und klare Regeln ist es riskant, vor allem bei Kundendaten. Fragen Sie vor der Nutzung nach.

Ist es erlaubt, ein privates Konto zu verbieten?

Der Arbeitgeber darf im Rahmen seines Weisungsrechts Regeln aufstellen. Sie wirken besser, wenn sie erklärt und von einer brauchbaren Alternative begleitet werden.

Was ist mit KI auf dem Privathandy, wenn ich nur Ideen sammle?

Wenn keine Firmendaten eingegeben werden, ist das unkritisch. Entscheidend sind die Daten, nicht das Gerät. Siehe Ampel für Daten.

Wie finde ich heraus, wer privat KI nutzt?

Fragen Sie offen und anonym. Technische Kontrolle ohne Absprache ist heikel und zerstört Vertrauen.