In vielen Unternehmen ist generative AI offiziell verboten - und wird inoffiziell trotzdem genutzt: mit privaten Accounts, manchmal mit Kundendaten im Prompt. Der Vorstand will eine sichere Lösung, die Fachbereiche wollen sie sofort. Ein Verbot löst das nicht. Ein Fahrplan schon.
1. Inventar statt Schuldzuweisung
Zuerst klären, wie AI tatsächlich genutzt wird - anonymisiert und ohne Konsequenzen für Einzelne. Nur so kommen die echten Anwendungsfälle auf den Tisch, und nur so lässt sich einschätzen, welche Daten bereits im Spiel sind.
2. Risiken einordnen
Jeder Anwendungsfall wird nach EU AI Act und internem Risikomodell klassifiziert. Die meisten landen in den unkritischen Klassen - das schafft Tempo. Die wenigen kritischen bekommen die Aufmerksamkeit, die sie brauchen.
3. Technik und Governance parallel bauen
Ein interner Assistent mit Datenklassifizierung, Protokollierung und Mandantentrennung - und gleichzeitig die Regeln dafür. Wer erst die Plattform baut und dann die Governance, verliert Monate in der Abstimmung.
4. Regeln auf eine Seite
Verständliche Nutzungsrichtlinien statt eines 40-seitigen PDFs. Was darf rein, was nicht, wen frage ich. Was niemand liest, schützt niemanden.
5. Alle Gremien in einen Raum
Datenschutz, Informationssicherheit und Betriebsrat bewerten dieselbe Lösung am besten gemeinsam statt nacheinander. Dazu Schulungen für Mitarbeitende und ein Netzwerk aus AI-Champions in den Fachbereichen - und ein wiederholbarer Prozess, mit dem neue Anwendungsfälle strukturiert bewertet werden.
Wie man Regulierung als prüfbaren Workflow baut, zeigt unser Projekt Regulierung als Workflow.
Hinweis: Dieser Artikel gibt Orientierung und ist keine Rechtsberatung.
