Mitarbeiter laden Zeichnungen und Lastenhefte in ChatGPT hoch: Was sollte die Geschäftsführung jetzt regeln?

Die Geschäftsführung sollte eine kurze Regel aufstellen, welche Unterlagen in welche KI-Dienste dürfen, und gleichzeitig ein Werkzeug anbieten, das erlaubt ist. In vielen Werken nutzen Mitarbeiter KI-Dienste im Browser längst, oft um schneller zu arbeiten. Das Problem sind nicht die Mitarbeiter, sondern fehlende Regeln für vertrauliche Unterlagen.

Wie sieht inoffizielle Nutzung typischerweise aus?

Einige Beispiele, die so oder ähnlich in vielen Betrieben vorkommen:

• Ein Konstrukteur lädt das englische Lastenheft eines Kunden in einen KI-Dienst, um es übersetzen und zusammenfassen zu lassen.
• Die Qualitätsbeauftragte lässt sich einen 8D-Bericht vorformulieren und kopiert dafür die Reklamationsmail des Kunden hinein.
• Ein Mitarbeiter im Einkauf fotografiert eine Zeichnung und fragt, aus welchem Werkstoff das Teil ist.

Keiner davon will dem Betrieb schaden. Aber in allen drei Fällen landen Kundenunterlagen bei einem Anbieter, mit dem Ihr Betrieb dafür keine Vereinbarung hat.

Was steht auf dem Spiel?

Vor allem drei Dinge. Erstens Vertraulichkeit: Viele Kundenverträge und Geheimhaltungsvereinbarungen regeln, wer Unterlagen sehen darf. Zweitens Datenschutz: Mails enthalten Namen und Kontaktdaten, für die die DSGVO gilt. Drittens Verlässlichkeit: Ein KI-Dienst ohne Zugriff auf Ihre Unterlagen kann Antworten formulieren, die plausibel klingen, aber nicht stimmen. Wer sie ungeprüft in einen 8D-Bericht übernimmt, hat ein Problem beim nächsten Audit.

Was gehört in eine interne KI-Richtlinie?

Sie sollte kurz sein, damit sie gelesen wird. Eine Seite mit klaren Beispielen reicht oft:

• Erlaubte Werkzeuge: Welche KI-Dienste dürfen für dienstliche Aufgaben genutzt werden, und mit welchem Konto?
• Ampel für Unterlagen: Grün für Öffentliches wie eigene Prospekte, Gelb für interne Unterlagen ohne Kundenbezug, Rot für Kundenzeichnungen, Lastenhefte, Personaldaten und Preise.
• Prüfpflicht: KI-Ergebnisse werden vor der Verwendung geprüft, besonders Maße, Werte und Aussagen gegenüber Kunden.
• Zuständigkeit: Wer beantwortet Fragen, und an wen wendet man sich, wenn etwas Falsches hochgeladen wurde?

Eine kurze Einweisung beim Verteilen der Richtlinie hilft mehr als jedes Rundmail. Zur KI-Kompetenz von Mitarbeitern enthält auch der AI Act eine Bestimmung (Art. 4), die mit dem Digital-Omnibus im Juli 2026 geändert wurde. Was davon für Ihren Betrieb gilt, klären Sie bitte mit Ihrer Rechtsberatung. Dieser Abschnitt ist allgemein gehalten und ersetzt keine Rechtsberatung.

Wie bringt man die Richtlinie in die Abteilungen?

Nicht per Rundmail allein. Besser wirkt eine kurze Besprechung je Abteilung, in der die Ampel an Beispielen aus genau diesem Bereich erklärt wird: in der Konstruktion an Kundenzeichnungen, im Einkauf an Preisanfragen, in der Qualität an Reklamationen. Fragen Sie dabei auch, wofür KI schon genutzt wird. Die Antworten zeigen, wo der Bedarf liegt und welche Aufgaben ein erlaubtes Werkzeug abdecken sollte.

Warum ein Verbot allein selten reicht

Weil die Aufgabe bleibt. Wer ein Lastenheft auf Englisch verstehen muss, wird einen Weg finden. Wirksamer ist es, für die häufigsten Aufgaben ein erlaubtes Werkzeug anzubieten, das zu Ihren Vorgaben passt.

Welche Alternativen gibt es?

Für Fragen an eigene Unterlagen eignet sich eine Wissensdatenbank, die auf einem eigenen Server läuft. Bei Goma-IT bekommt jeder Kunde einen eigenen Server bei Hetzner in Falkenstein, Deutschland. Texterkennung und Sprachmodell laufen über Microsoft Azure in der EU-Datenzone, und Ihre Unterlagen werden nicht zum Training verwendet. Jede Antwort nennt das Quelldokument. Wo selbst das nicht reicht, kann ein Sprachmodell auf eigener Hardware im Werk laufen.

Damit gibt es für die Rot-Fälle der Ampel einen erlaubten Weg, und die Richtlinie wird zu einer Hilfe statt zu einem Verbotsschild. Wie das aussieht, beschreibt die Seite Wissensdatenbank.