Sich schnell ein ellenlanges PDF von ChatGPT zusammenfassen lassen oder den Chatbot bitten, ein paar Stichpunkte in eine versandbereite Mail zu verwandeln: Immer mehr Angestellte nutzen auch in Deutschland die Möglichkeiten von künstlicher Intelligenz.

Laut einer Befragung des Personaldienstleisters Adecco haben Ende 2023 bereits 74 Prozent der Befragten in Deutschland generative KI bei der Arbeit verwendet. Die Zahl lässt aufhorchen, denn nach Erhebungen des Digitalverbands Bitkom setzten im September desselben Jahres nur 15 Prozent aller deutschen Unternehmen KI ein.

Die Diskrepanz könnte in Teilen sicherlich durch unterschiedliche Methodiken erklärt werden. Doch es könnte ebenso als Indiz dafür gewertet werden, dass Angestellte auch da KI einsetzen, wo die Unternehmensleitung und IT-Abteilung gar keine entsprechenden Lösungen ausgerollt haben. Und das ist ein Problem, denn dann würden sich viele Unternehmen im Bereich der sogenannten Schatten-IT befinden.

Der Begriff Schatten-IT bezeichnet den Einsatz von Software-Programmen und Diensten im Unternehmen ohne Wissen der zuständigen IT-Abteilung. Das könnte beispielsweise der Austausch interner Dokumente über Whatsapp statt Slack oder Teams sein. Aber eben auch die Nutzung von ChatGPT.

Grundsätzlich ist Schatten-IT ein wachsendes Problem. Bei einer Erhebung des Marktforschungsinstituts Gartner gaben 40 Prozent der Befragten an, beruflich Tools und Dienste zu nutzen, die nicht von der IT-Abteilung bereitgestellt wurden.

Für Unternehmen ergibt sich daraus eine Vielzahl von Risiken. Angefangen bei unvorhersehbaren Sicherheitsrisiken über potenzielle Ineffizienz und damit einhergehenden Produktivitätsverlusten bis hin zum Datenschutz. Letzteres dürfte bei Cloud-basierten KI-Lösungen das größte Problem sein.

Wenn Mitarbeiter:innen personenbezogene Daten mit ChatGPT oder ähnlichen Lösungen teilen, ist das ein Problem. Denn nach der Datenschutzgrundverordnung (DSGVO) müssten die betroffenen Personen über eine solche Übermittlung an Dritte transparent informiert werden. Außerdem müsste vorab überhaupt geklärt werden, ob eine Übermittlung in dem spezifischen Fall zulässig ist.

Wenn aber Angestellte eigenmächtig KI-Tools verwenden, ist es am Ende für ein Unternehmen gar nicht mehr möglich, die betroffenen Personen darüber zu informieren. Auch die Sicherheit der Daten kann nicht mehr gewährleistet werden.

„Ohne klare Regelungen, ob und wie KI‐Anwendungen im Arbeitsalltag eingesetzt werden dürfen, besteht das Risiko, dass Beschäftigte KI‐Anwendungen eigenmächtig und unkontrolliert nutzen“, warnt die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder in einer Anfang Mai 2024 veröffentlichten Orientierungshilfe für den Einsatz von KI in Unternehmen und Behörden.

Die Experten gehen davon aus, dass genau das in vielen Unternehmen die aktuelle Praxis ist – mit den beschriebenen Risiken für die Firmen. „Daher sollten klare interne Weisungen erteilt und dokumentiert werden, ob, unter welchen Voraussetzungen und zu welchen konkreten Zwecken welche KI‐Anwendungen eingesetzt werden dürfen“, raten die Datenschützer.

Damit diese Regeln auch von allen verstanden werden, empfiehlt das Gremium, wann immer möglich auch mit Beispielen zu arbeiten. Auf die Art sei leichter verständlich, in welchem Zusammenhang die Nutzung von KI-Tools erlaubt oder verboten ist.

In ihrer Orientierungshilfe raten die Datenschützer dazu, eine konkrete Handlungsanweisung zu verfassen. Und zwar auch dann, wenn keine Verarbeitung persönlicher Daten durch eine KI zu fürchten ist.

Auch der Abschluss einer Betriebsvereinbarung mit dem Betriebsrat empfiehlt sich nach Ansicht der Datenschutzbehörden. „In jedem Fall sollte ein klarer Rahmen für den Einsatz von KI‐Anwendungen vorgegeben werden“, heißt es in der Orientierungshilfe. Zum besseren Verständnis der vom Unternehmen festgelegten Regeln würden sich überdies auch Schulungen und Gespräche anbieten.

Darüber hinaus empfehlen die Datenschützer auch im Hinblick auf die Daten der Angestellten, dass Unternehmen bei KI-Diensten Konten für ihre Mitarbeiter:inenn einrichten sollten. Denn bei der Nutzung privater Accounts könnten die jeweiligen KI-Anbieter wiederum Profile der Angestellten anlegen.

Auch wenn es für manche Entscheider:innen als der einfachste Weg erscheinen mag: Die eingangs erwähnten Zahlen lassen starke Zweifel daran aufkommen, dass ein striktes Verbot der Nutzung von KI-Tools wirklich erfolgversprechend ist.

Zumal der Einsatz von KI-Lösungen eben durchaus die Produktivität der Mitarbeiter:innen steigern kann. Dementsprechend dürfte es auf lange Sicht sinnvoller sein, den Vorschlag der Datenschutzkonferenz anzunehmen und klare Regeln für den KI-Einsatz aufzustellen und betriebsweit zu kommunizieren.