Wann interne IT und Datenschutz externe Unterstützung brauchen

Viele Unternehmen möchten KI nutzen – aber kaum jemand hat Zeit, jedes Tool sauber zu prüfen.

In vielen Unternehmen entsteht KI-Nutzung nicht durch ein großes Strategieprojekt, sondern im Arbeitsalltag. Mitarbeitende testen ChatGPT, Claude, Microsoft Copilot, Perplexity, Meeting-Tools oder Bildgeneratoren, weil sie schneller schreiben, strukturieren, übersetzen, recherchieren oder zusammenfassen möchten.

Das ist nachvollziehbar und oft sogar ein gutes Zeichen: Es gibt echten Bedarf. Gleichzeitig entsteht eine Herausforderung für IT, Datenschutz und Geschäftsführung. Denn jedes neue KI-Tool bringt Fragen mit sich: Welche Daten werden eingegeben? Wo werden sie verarbeitet? Wird der Input gespeichert? Ist das Tool für den konkreten Zweck geeignet? Und wer prüft die Ergebnisse?

Genau hier zeigt sich ein typisches Problem in kleinen und mittleren Unternehmen: Die Verantwortung ist klar, aber die Kapazität fehlt. IT und Datenschutz haben bereits genug operative Aufgaben. Eine strukturierte Prüfung von KI-Tools kommt dann „noch obendrauf“.

Doch woran Unternehmen erkennen, dass sie bei Tool- und Sicherheitsprüfungen Unterstützung brauchen? Und wie kann ein pragmatischer Prüfprozess aussehen?

Warum KI-Tools nicht einfach wie normale Software behandelt werden sollten

Auf den ersten Blick wirken viele KI-Tools wie klassische Software-as-a-Service-Anwendungen: anmelden, testen, nutzen. Doch generative KI verändert die Risikolage.

Der Unterschied liegt vor allem in der Art der Eingaben und Ergebnisse. Mitarbeitende geben nicht nur einfache Befehle ein, sondern häufig ganze Texte, Dokumente, E-Mails, Kundenvorgänge, Tabellen oder interne Informationen. Das Tool verarbeitet diese Inhalte und erzeugt neue Ergebnisse, die überzeugend klingen können – auch wenn sie fachlich falsch, unvollständig oder rechtlich problematisch sind.

Deshalb reicht es nicht, nur zu fragen: „Funktioniert das Tool?“ Unternehmen müssen auch prüfen:

Welche Daten werden verarbeitet?
Welche Nutzungsbedingungen gelten?
Welche Version des Tools wird genutzt?
Welche Aufgaben sollen damit erledigt werden?
Welche Risiken entstehen für Datenschutz, Sicherheit und Qualität?
Wie wird menschliche Kontrolle sichergestellt?

Eine KI-Toolprüfung ist deshalb nicht nur eine technische Aufgabe. Sie betrifft IT, Datenschutz, Fachabteilungen, Führung und häufig auch HR.

Der Praxischeck: Fehlt der IT die Kapazität für Tool- und Sicherheitsprüfungen?

Die zentrale Frage lautet nicht: „Ist unsere IT kompetent genug?“ Die bessere Frage lautet: Hat unsere IT neben dem Tagesgeschäft realistisch genug Zeit, KI-Tools strukturiert zu prüfen?

In vielen Unternehmen lautet die ehrliche Antwort: nur begrenzt.

Typische Anzeichen dafür sind:

Es gibt bereits KI-Nutzung, aber kein vollständiges Tool-Inventar.
Mitarbeitende fragen nach Freigaben, aber Entscheidungen dauern lange.
Neue Tools werden ausprobiert, bevor IT oder Datenschutz eingebunden sind.
Es gibt keine klare Unterscheidung zwischen privaten, kostenlosen und Unternehmensversionen.
Datenschutzfragen werden erst gestellt, wenn ein Tool schon genutzt wird.
Es fehlt ein standardisierter Prüfprozess für neue KI-Anwendungen.
Die IT wird gleichzeitig für Infrastruktur, Support, Sicherheit, Lizenzen und KI-Governance gebraucht.

Wenn mehrere dieser Punkte zutreffen, ist externe Unterstützung sinnvoll. Nicht, weil das Unternehmen die Aufgabe nicht selbst bewältigen könnte, sondern weil ein strukturierter Blick von außen Zeit spart, Risiken reduziert und interne Teams entlastet.

KI-Sicherheit: Was bei KI-Tools konkret geprüft werden sollte

Eine gute Toolprüfung muss nicht überkompliziert sein. Entscheidend ist, dass die wichtigsten Fragen systematisch beantwortet werden.

1. Zweck und Anwendungsfall

Zuerst sollte geklärt werden, wofür das Tool überhaupt genutzt werden soll. Denn ein KI-Tool ist nicht pauschal sicher oder unsicher. Entscheidend ist der konkrete Einsatz.

Beispielfragen:

Für welche Aufgaben soll das Tool eingesetzt werden?
Welche Abteilung möchte es nutzen?
Welche Prozesse werden dadurch unterstützt?
Geht es um interne Arbeitshilfe oder um kundenrelevante Ergebnisse?
Wer prüft die Ergebnisse vor der weiteren Nutzung?

Ein Tool kann für allgemeine Textentwürfe geeignet sein, aber für Vertragsanalysen, Bewerberauswahl oder Kundendatenverarbeitung ungeeignet.

2. Daten und Datenschutz

Der wichtigste Prüfbereich ist die Frage, welche Daten in das Tool eingegeben werden dürfen.

Hier sollten Unternehmen unterscheiden zwischen:

öffentlichen Informationen,
internen, aber nicht vertraulichen Informationen,
vertraulichen Unternehmensinformationen,
personenbezogenen Daten,
Kundendaten,
besonderen Kategorien personenbezogener Daten,
Geschäftsgeheimnissen.

Je sensibler die Daten, desto höher sind die Anforderungen an Prüfung, Freigabe und Dokumentation.

Wichtige Prüffragen sind:

Werden Eingaben gespeichert?
Werden Eingaben zum Training des Modells verwendet?
Wo findet die Datenverarbeitung statt?
Gibt es eine Unternehmensversion mit erweiterten Datenschutzfunktionen?
Gibt es einen Vertrag zur Auftragsverarbeitung?
Können Daten gelöscht oder exportiert werden?
Welche Administrations- und Kontrollmöglichkeiten gibt es?

3. Informationssicherheit

Neben Datenschutz spielt Informationssicherheit eine zentrale Rolle. Denn nicht alle kritischen Informationen sind personenbezogen. Auch Preislisten, interne Strategiepapiere, technische Dokumentationen, Quellcode, Prozessbeschreibungen oder Kundenverträge können sensibel sein.

Zu prüfen ist unter anderem:

Wie erfolgt der Zugriff auf das Tool?
Gibt es Single Sign-on oder Mehrfaktor-Authentifizierung?
Können Nutzerrechte zentral verwaltet werden?
Gibt es Protokollierung oder Admin-Funktionen?
Können Mitarbeitende eigene Datenquellen anbinden?
Welche Risiken entstehen durch Uploads von Dateien?
Wie wird verhindert, dass vertrauliche Informationen unkontrolliert verarbeitet werden?

Gerade bei Tools mit Datei-Upload, Browserzugriff, Integrationen oder automatischen Aktionen ist eine genauere Prüfung sinnvoll.

4. Qualität und Human-in-the-Loop

KI-Ergebnisse können plausibel wirken und trotzdem falsch sein. Unternehmen sollten deshalb klar definieren, wann und wie Ergebnisse geprüft werden müssen.

Prüffragen sind:

Darf das Ergebnis direkt verwendet werden?
Muss eine fachliche Prüfung erfolgen?
Ist ein Vier-Augen-Prinzip erforderlich?
Muss KI-Nutzung gekennzeichnet werden?
Welche Folgen hätte ein falsches Ergebnis?
Darf das Tool Entscheidungen vorbereiten oder nur Inhalte vorschlagen?

Ein einfacher Grundsatz hilft: KI darf vorbereiten, strukturieren und unterstützen. Entscheiden und freigeben muss ein Mensch.

5. Rechtliche und organisatorische Einordnung

Nicht jedes KI-Tool ist rechtlich gleich einzuordnen. Manche Anwendungen sind reine Assistenztools, andere greifen tiefer in Prozesse ein. Besonders sensibel wird es, wenn KI-Systeme Entscheidungen über Menschen beeinflussen, zum Beispiel bei Bewerbungen, Leistungsbewertungen, Kreditwürdigkeit oder Zugang zu Leistungen.

Unternehmen sollten deshalb festhalten:

Wer ist fachlich verantwortlich?
Wer gibt die Nutzung frei?
Welche Risiken wurden erkannt?
Welche Einschränkungen gelten?
Welche Schulung ist vor Nutzung erforderlich?
Wann wird die Freigabe überprüft?

Diese Dokumentation muss am Anfang nicht perfekt sein. Aber sie sollte nachvollziehbar sein.

Typische Fehler bei der Prüfung von KI-Tools

Fehler 1: Das Tool wird nur technisch bewertet

Technische Sicherheit ist wichtig, reicht aber nicht aus. Ein Tool kann technisch solide sein und trotzdem für den geplanten Anwendungsfall ungeeignet sein. Deshalb sollten Fachabteilungen immer eingebunden werden.

Fehler 2: Die kostenlose Version wird mit der Unternehmensversion verwechselt

Viele KI-Anbieter haben unterschiedliche Versionen mit sehr unterschiedlichen Datenschutz-, Sicherheits- und Administrationsfunktionen. Eine private Gratisversion ist nicht automatisch für Unternehmensdaten geeignet.

Fehler 3: Es gibt keine Datenklassifizierung

Ohne klare Datenklassen wissen Mitarbeitende nicht, welche Informationen sie eingeben dürfen. Dann entstehen Grauzonen – und genau dort beginnt Schatten-KI.

Fehler 4: Die Prüfung dauert so lange, dass Mitarbeitende ausweichen

Wenn Freigaben monatelang dauern, suchen sich Mitarbeitende eigene Lösungen. Ein schlanker Prüfprozess ist deshalb besser als ein perfekter Prozess, der im Alltag nicht funktioniert.

Fehler 5: Nach der Freigabe gibt es keine Schulung

Ein freigegebenes Tool ist noch keine sichere Nutzung. Mitarbeitende müssen wissen, was erlaubt ist, wo Grenzen liegen und wann sie Ergebnisse prüfen oder Rückfragen stellen müssen.

Ein pragmatischer Prüfprozess für KI-Tools

Gerade kleine und mittlere Unternehmen brauchen keinen überdimensionierten Governance-Apparat. Sinnvoll ist ein einfacher Prozess, der schnell genug für den Alltag ist und trotzdem die wichtigsten Risiken abdeckt.

Schritt 1: Tool-Anfrage erfassen

Mitarbeitende oder Fachabteilungen sollten neue KI-Tools über ein kurzes Formular vorschlagen können.

Das Formular sollte abfragen:

Name des Tools,
Anbieter,
gewünschter Anwendungsfall,
betroffene Abteilung,
geplante Datenarten,
gewünschte Nutzergruppe,
Dringlichkeit,
erwarteter Nutzen.

Schritt 2: Erste Risikoeinschätzung

Danach erfolgt eine schnelle Einschätzung: niedriges, mittleres oder hohes Risiko.

Risikostufe	Beispiel	Prüfaufwand
Niedrig	Textideen ohne vertrauliche oder personenbezogene Daten	Kurze Prüfung und klare Nutzungshinweise
Mittel	Interne Dokumente, Datei-Uploads, Team-Nutzung	Prüfung durch IT und Datenschutz
Hoch	Kundendaten, HR-Prozesse, automatisierte Entscheidungen	Vertiefte Prüfung, Dokumentation und klare Freigabegrenzen

Schritt 3: Fachliche Bewertung

Die Fachabteilung sollte bewerten, ob das Tool für den geplanten Zweck wirklich geeignet ist.

Leitfragen:

Welches Problem löst das Tool konkret?
Wie häufig wird der Anwendungsfall vorkommen?
Welche Qualitätsanforderungen gibt es?
Welche Fehler wären kritisch?
Welche Alternative gibt es bereits?

Schritt 4: IT- und Datenschutzprüfung

Anschließend prüfen IT und Datenschutz die technischen, organisatorischen und rechtlichen Rahmenbedingungen.

Hierzu gehören insbesondere:

Datenverarbeitung und Speicherort,
Verträge und Anbieterinformationen,
Zugriffs- und Rechtekonzept,
Administrationsfunktionen,
Sicherheitsfunktionen,
Schnittstellen und Integrationen,
Lösch- und Kontrollmöglichkeiten.

Schritt 5: Entscheidung dokumentieren

Am Ende sollte das Tool einen klaren Status erhalten:

Freigegeben für definierte Zwecke,
eingeschränkt freigegeben mit klaren Grenzen,
in Prüfung, wenn Informationen fehlen,
nicht freigegeben, wenn Risiken zu hoch sind,
ersetzt durch Alternative, wenn bereits ein besser geeignetes Tool existiert.

Diese Entscheidung sollte in einer KI-Whitelist dokumentiert werden.

Wann externe Unterstützung sinnvoll ist

Externe Unterstützung ist besonders sinnvoll, wenn Unternehmen zwar den Bedarf erkennen, aber intern keine ausreichende Kapazität für Struktur, Bewertung und Umsetzung haben.

Typische Situationen sind:

Es gibt viele Tool-Anfragen, aber keinen Prüfprozess.
IT und Datenschutz sind operativ stark ausgelastet.
Die Geschäftsführung möchte KI ermöglichen, aber Risiken begrenzen.
Es gibt Unsicherheit bei Datenschutz, EU AI Act oder internen Richtlinien.
Schatten-KI wurde erkannt und soll in geordnete Bahnen gebracht werden.
Eine KI-Whitelist soll aufgebaut werden.
Erste Pilotprojekte sollen technisch und organisatorisch sauber vorbereitet werden.

Externe Experten können dabei helfen, den Prozess zu beschleunigen, typische Fehler zu vermeiden und eine praxistaugliche Struktur aufzubauen. Wichtig ist dabei: Die Verantwortung bleibt im Unternehmen. Externe Unterstützung liefert Methode, Erfahrung und Entlastung.

Was externe KI-Experten konkret leisten können

Externe Unterstützung muss nicht bedeuten, dass ein großes Beratungsprojekt gestartet wird. Oft reichen gezielte Bausteine.

1. Tool-Inventar und Schatten-KI-Erhebung

Zuerst wird sichtbar gemacht, welche KI-Tools bereits genutzt werden – offiziell oder inoffiziell. Daraus entsteht ein realistischer Überblick über bestehende Nutzung, Bedarfe und Risiken.

2. KI-Tool-Check

Einzelne Tools werden strukturiert geprüft: Anbieter, Version, Datenverarbeitung, Sicherheitsfunktionen, Nutzungsbedingungen, Anwendungsfall und Risiken.

3. Aufbau einer KI-Whitelist

Aus der Prüfung entsteht eine verständliche Liste freigegebener, eingeschränkt freigegebener und nicht freigegebener Tools.

4. Freigabeprozess für neue Tools

Unternehmen erhalten einen schlanken Prozess, über den neue KI-Anwendungen vorgeschlagen, geprüft und dokumentiert werden können.

5. Schulung und KI-Führerschein

Mitarbeitende lernen, wie sie freigegebene KI-Tools sicher nutzen, welche Daten tabu sind und wie Ergebnisse geprüft werden müssen.

6. Begleitung erster Pilotprojekte

Wenn aus einer Tool-Idee ein konkreter Pilot wird, unterstützen externe Experten bei Use-Case-Schärfung, Datenlage, Prozessintegration, technischer Konzeption und Umsetzung.

Mini-Checkliste: Brauchen Sie Unterstützung bei KI-Toolprüfungen?

Beantworten Sie die folgenden Fragen ehrlich:

Prüffrage	Wenn ja, besteht Handlungsbedarf
Nutzen Mitarbeitende bereits KI-Tools ohne offizielle Freigabe?	Schatten-KI sichtbar machen
Gibt es kein vollständiges Tool-Inventar?	Überblick schaffen
Fehlt ein klarer Prüfprozess für neue KI-Tools?	Freigabeprozess aufbauen
Ist unklar, welche Daten in welche Tools eingegeben werden dürfen?	Datenklassen und Nutzungsvorgaben definieren
Hat die IT keine Kapazität für regelmäßige Toolprüfungen?	Externe Entlastung prüfen
Gibt es Unsicherheit bei Datenschutz oder EU AI Act?	Governance und Dokumentation strukturieren
Fehlt eine KI-Whitelist?	Freigegebene Tools transparent machen

Wenn Sie mehrere dieser Fragen mit „Ja“ beantworten, lohnt sich ein strukturierter Blick von außen.

Fazit: KI sicher ermöglichen statt ausbremsen

Unternehmen stehen nicht vor der Frage, ob Mitarbeitende KI nutzen werden. In vielen Fällen tun sie es bereits. Die eigentliche Frage lautet: Erfolgt diese Nutzung unkontrolliert – oder mit klaren Leitplanken?

IT und Datenschutz spielen dabei eine zentrale Rolle. Doch gerade in kleinen und mittleren Unternehmen fehlt häufig die Zeit, jedes neue KI-Tool gründlich zu prüfen, Freigaben zu dokumentieren und Mitarbeitende sicher zu befähigen.

Externe Unterstützung kann hier helfen, ohne das Unternehmen abhängig zu machen. Ziel ist ein pragmatischer Rahmen: Tool-Inventar, Risikobewertung, KI-Whitelist, Freigabeprozess und Schulung.

So wird aus Unsicherheit ein klarer Weg: KI wird nicht verhindert, sondern sicher nutzbar gemacht.

Handlungsimpuls

Prüfen Sie in Ihrem Unternehmen diese drei Fragen:

Welche KI-Tools werden heute bereits genutzt?
Welche davon wurden durch IT oder Datenschutz geprüft?
Wer entscheidet künftig, ob ein neues KI-Tool freigegeben wird?

Wenn diese Fragen nicht eindeutig beantwortet werden können, ist jetzt der richtige Zeitpunkt für einen strukturierten KI-Tool-Check.

Fehlt Ihrer IT die Kapazität für KI-Tool- und Sicherheitsprüfungen?

Die KI-Schmiede Stuttgart unterstützt Sie dabei, bestehende KI-Nutzung sichtbar zu machen, Tools strukturiert zu bewerten und einen praxistauglichen Freigabeprozess aufzubauen.

So entsteht aus Schatten-KI eine sichere, transparente und produktive KI-Nutzung – passend zu Ihrem Unternehmen.

Nutzen Sie unsere KI-Sprechstunde oder sprechen Sie uns auf eine KI-Potenzialanalyse an.