In diesem Artikel
Eine KI-Richtlinie im Unternehmen läuft auf drei Managemententscheidungen hinaus: welche Tools mit welchem Konto freigegeben sind, welche Daten dort niemals hineingehören und wer in Microsoft 365 was sieht, bevor Copilot aktiviert wird. Sie werden in einer Besprechung getroffen, passen auf eine DIN-A4-Seite und verhindern das häufigste Datenleck des Jahres 2026. Dieser Leitfaden zeigt die richtige Reihenfolge und was der AI Act bereits von KMU verlangt.
Der Ausgangspunkt: KI ist längst auf Ihren Computern
Laut dem Data Breach Investigations Report 2026 von Verizon nutzen bereits 45 % der Beschäftigten regelmäßig KI auf Firmengeräten — im Vorjahr waren es 15 %. Und 67 % tun dies mit Konten, die nicht dem Unternehmen gehören. Die sogenannte Schatten-KI, also ohne Freigabe genutzte Tools, ist bereits die dritthäufigste nicht böswillige interne Handlung in den Aufzeichnungen zu Datenlecks.
Die praktische Schlussfolgerung: Verbieten funktioniert nicht. Ohne offizielles Tool und klare Regeln greifen die Menschen auf private Konten zurück, und das Unternehmen weiß nicht mehr, was hinausgeht.
Wo das Risiko liegt, in zwei Szenarien
Szenario 1 — sensible Daten in privaten Konten
Niemand handelt in böser Absicht: Jemand aus der Buchhaltung fügt einen Kontoauszug ein, um ihn zusammenfassen zu lassen, ein Vertriebsmitarbeiter fügt die E-Mail eines Kunden ein, die Personalabteilung bittet um Hilfe beim Umformulieren einer Beurteilung.
Über das Risiko entscheiden die Nutzungsbedingungen. OpenAI gibt an, dass bei den Diensten für Privatpersonen der Inhalt der Unterhaltungen zum Training von Modellen genutzt werden kann, sofern der Nutzer diese Option nicht abschaltet. Bei den Unternehmensplänen und der API ist es umgekehrt: Standardmäßig dient der Inhalt nicht dem Training. Der Unterschied liegt in einem Unternehmenskonto, das vom Unternehmen verwaltet wird.
Ein hilfreiches Bild: KI mit einem privaten Konto zu nutzen, ist wie einen Vertrag auf einer vollen Café-Terrasse zu besprechen — Sie wissen nicht, wer zuhört und was festgehalten wird. Das Unternehmenskonto ist der Besprechungsraum, mit eigenen Regeln und Zutrittsprotokoll.
Szenario 2 — Copilot legt fehlerhafte Freigaben offen
Microsoft 365 Copilot umgeht keine Berechtigungen. Microsoft dokumentiert, dass Copilot nur Unternehmensdaten anzeigt, auf die der Nutzer bereits mindestens Lesezugriff hat. Genau dort liegt das Problem.
Bei den Audits von DataRoad tauchen häufig vergessene Freigaben auf: der Ordner der Geschäftsleitung für alle offen, ein vor drei Jahren erstellter Link für alle Personen in der Organisation zur Gehaltsdatei, eine SharePoint-Site eines alten Projekts ohne Einschränkungen. Bisher fiel das niemandem auf. Mit Copilot genügt es, nach den Gehältern des Vertriebsteams zu fragen — und wenn die Berechtigungen es zulassen, erscheint die Antwort.
Die richtige Reihenfolge lautet: zuerst die Berechtigungen in SharePoint, OneDrive und Teams überprüfen, erst dann Copilot in einer Pilotgruppe aktivieren. Das ist eine Frage der Konfiguration von Managed Microsoft 365, kein Kauf.
Die Regelseite, bereit zur Unterschrift
Das Blatt sollte von der Geschäftsleitung unterzeichnet werden, nicht von der IT-Abteilung.
| Regel | In der Praxis | Verantwortlich |
|---|---|---|
| 1. Freigegebene Tools, Unternehmenskonto | Kurze Liste zugelassener Tools; private Konten bleiben außerhalb der Arbeit. | Geschäftsleitung und IT |
| 2. Verbotene Daten | Personenbezogene Daten von Kunden und Mitarbeitenden, Gesundheitsdaten, Gehälter, Passwörter, vertrauliche Verträge und Angebote. | Jeder Nutzer |
| 3. Berechtigungen vor Copilot | Überprüfung von Freigaben und offenen Links; Copilot zuerst in einer Pilotgruppe. | IT |
| 4. Menschliche Prüfung | Die KI bereitet vor, ein Mensch bestätigt Zahlen, Namen und Fakten, bevor etwas an einen Kunden geht. | Führungskräfte |
| 5. Dokumentierte Schulung | Kurze Schulung für alle, mit Teilnehmerliste — die Grundlage der KI-Kompetenz. | Personalabteilung |
Diese Regeln ergänzen die internen Cybersecurity-Richtlinien, die jedes Unternehmen mit mehr als 10 Personen schriftlich haben sollte.
Vor der Aktivierung von Copilot prüfen
- MFA Multi-Faktor-Authentifizierung für alle Konten aktiv.
- Alte Konten Ehemalige Mitarbeitende entfernt und Lizenzen zurückgeholt.
- Offene Links Freigaben für beliebige Personen überprüft und nach Möglichkeit deaktiviert.
- Sensible Ordner Geschäftsleitung, Personal und Finanzen auf diejenigen beschränkt, die sie brauchen.
- Pilot Gruppe von 5 bis 10 Personen und eine Frist zur Bewertung.
Was der AI Act bereits von einem KMU verlangt
Die europäische KI-Verordnung — Verordnung (EU) 2024/1689 — ist seit dem 1. August 2024 in Kraft und wird schrittweise anwendbar. Für alle, die ChatGPT oder Copilot im Alltag nutzen:
- 2. Februar 2025 Die verbotenen Praktiken und Artikel 4 gelten: Wer KI einsetzt, muss sicherstellen, dass das Personal über ausreichende Kenntnisse verfügt, um sie mit Urteilsvermögen zu nutzen.
- Juli 2026 Die Verordnung (EU) 2026/1744, der Digital-Omnibus zur KI, verschob die Hochrisiko-Regeln auf den 2. Dezember 2027 (eigenständige Systeme) und den 2. August 2028 (in Produkte integrierte Systeme). Die Pflicht zur KI-Kompetenz blieb bestehen.
- Hohes Risiko Umfasst Personalauswahl, Biometrie und kritische Infrastrukturen. Wenn Sie KI zur Vorauswahl von Bewerbern einsetzen, wenden Sie sich an Ihren Anwalt.
Wer KI zum Schreiben von E-Mails, Zusammenfassen von Dokumenten oder Vorbereiten von Angeboten nutzt, braucht laut Gesetz keine Zertifizierungen. Es verlangt, dass die Menschen das Tool, seine Grenzen und den sorgsamen Umgang mit Daten kennen — und dass das Unternehmen dies nachweisen kann. Regel 5 deckt das ab.
DataRoad bietet keine Rechtsberatung. Wir setzen den technischen Teil um — Konten, Berechtigungen und Protokolle — und helfen bei der Vorbereitung der Schulung.
DataRoad IT Unlimited
Sprechen Sie mit DataRoad. Wir analysieren Ihren Betrieb und schlagen das passende Paket vor.
Beispiel: dieselben Regeln in drei Büros
Velv by OnRising entwickelt Software aus Büros in Porto, Lissabon und Rio de Janeiro und hat rund 200 Arbeitsplätze in einem IT-Unlimited-Vertrag mit DataRoad. Internationale Kunden machen 45 % des Portfolios aus, und der Vertrag umfasst das Firewall-Management, die Netzwerksicherheit und die Schutzrichtlinien.
Hier ist die Frage, welche Kundendaten in ein KI-Tool dürfen, eine tägliche — und die Antwort muss in allen drei Büros identisch sein. Deshalb sind die KI-Regeln kein separates Projekt: Sie fügen sich in die bestehenden Richtlinien ein und werden von dem Team umgesetzt, das bereits Konten, Berechtigungen und Geräte verwaltet.
Drei Schritte für diese Woche
- Bestandsaufnahme — fragen Sie das Team, welche KI-Tools es nutzt.
- Auswahl — legen Sie ein offizielles Tool mit Unternehmenskonto fest.
- Überprüfung — beauftragen Sie ein Berechtigungsaudit vor jedem Copilot-Pilot.
Ist MFA noch nicht umgesetzt, beginnen Sie dort — es ist der erste Schritt von Zero Trust in vier Schritten für KMU. Und denken Sie daran, dass KI auch Angreifern dient: bereiten Sie Ihr Team auf Phishing und Deepfakes vor.
Häufige Fragen
Ist es sinnvoll, ChatGPT zu verbieten?
Ein Verbot ohne Alternative treibt die Menschen zu privaten Konten, außerhalb der Kontrolle des Unternehmens. Sicherer ist es, ein Tool mit Unternehmenskonto freizugeben und festzulegen, welche Daten dort niemals hineingehören.
Kann Copilot Dateien Personen zeigen, die sie nicht sehen sollten?
Es zeigt nur, was die Person bereits sehen darf. Gibt es für alle freigegebene Ordner oder alte offene Links, macht Copilot diesen Fehler sichtbar. Deshalb werden die Berechtigungen vor der Aktivierung überprüft.
Gilt die KI-Kompetenzpflicht auch für kleine Unternehmen?
Ja. Artikel 4 des AI Act gilt seit dem 2. Februar 2025 für alle, die KI beruflich nutzen, unabhängig von der Größe. Eine kurze Schulung, schriftliche Regeln und eine Teilnehmerliste sind ein guter Anfang; für die rechtliche Auslegung sprechen Sie mit Ihrem Anwalt.
Braucht man neue Lizenzen?
Nicht immer. Der größte Teil der Arbeit besteht darin, das Vorhandene zu konfigurieren: MFA, Berechtigungen und Unternehmenskonten in den freigegebenen Tools. Copilot-Lizenzen sind nach dieser Grundlage sinnvoll.
Überprüfte Berechtigungen und KI-Regeln in 10 Werktagen
DataRoad überprüft die Freigaben in Ihrem Microsoft 365, zeigt, was Copilot offenlegen würde, und liefert die Regelseite unterschriftsreif. Sicherheit ist Teil der Pläne IT Unlimited Premium, mit durchgängiger Managed Cybersecurity.
Ab 10 Arbeitsplätzen · Servicevertrag · Remote-, Vor-Ort- und telefonischer Support. Fordern Sie ein unverbindliches Angebot an.
Quellen
- Verizon — 2026 Data Breach Investigations Report, Executive Summary
- Microsoft Learn — Daten, Datenschutz und Sicherheit von Microsoft 365 Copilot
- OpenAI — How your data is used to improve model performance
- EUR-Lex — Verordnung (EU) 2024/1689 (KI-Verordnung)
- EUR-Lex — Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI)
- Europäische Kommission — Einigung zur Vereinfachung der KI-Regeln
