Zum Inhalt springen

Risiken & Kontrolle

Die Risiken von KI im Unternehmen und wie Sie damit umgehen

Die fünf echten Risiken von KI im Unternehmen sind Datenabfluss, Abhängigkeit von einem Anbieter, unsichtbare Fehler, der Verlust interner Kompetenzen und Kosten, die den Nutzen übersteigen. Keines ist ein Grund, nichts zu tun, und keines lässt sich durch ein Verbot des Werkzeugs lösen: Ein Verbot führt zu heimlicher und damit unkontrollierter Nutzung.

Die fünf Risiken

Was wirklich schiefgehen kann, und die passende Gegenmaßnahme

Jedes Risiko wird so dargestellt, wie es sich konkret zeigt, gefolgt von den Maßnahmen, die wir umsetzen.

Hoch

Ihre Daten fließen ab, ohne dass es jemand beschlossen hat

Ein Vertriebsmitarbeiter fügt einen Vertrag in einen KI-Assistenten für Privatnutzer ein, um ihn zusammenzufassen. Ein Entwickler fügt dort proprietären Code ein. Nichts davon ist böswillig, nichts wird nachverfolgt, und die Information hat das Unternehmen verlassen.

Gegenmaßnahmen

  • Bestandsaufnahme der tatsächlich genutzten Werkzeuge, ohne Sanktionen, um die Wahrheit zu erfahren
  • Eine kurze, verständliche Nutzungsregel, die die Teams anwenden können
  • Ein internes Werkzeug, das mindestens so praktisch ist wie das inoffiziell genutzte Werkzeug, sonst wird die Regel umgangen
  • Anbieterverträge, geprüft auf einen bestimmten Punkt: Werden Ihre Daten zum Training verwendet?
Hoch

Sie werden abhängig von einem Anbieter, den Sie nicht kontrollieren

Preise ändern sich, Nutzungsbedingungen ändern sich, ein Modell wird aus dem Angebot genommen. Wenn Ihre Produktion direkt davon abhängt, sind Sie diesen Entscheidungen ohne Handhabe ausgesetzt.

Gegenmaßnahmen

  • Eine Abstraktionsschicht zwischen Ihren Werkzeugen und dem Modellanbieter
  • Ein zweiter qualifizierter und getesteter Anbieter, bereit zur Übernahme
  • Ihre Daten und Prompts bei Ihnen gespeichert, nicht auf der Plattform des Anbieters
  • Ein Umstellungstest, mindestens einmal vor dem Produktivstart durchgeführt
Unterschätzt

Fehler werden unsichtbar

Eine falsche Antwort kommt mit derselben Sicherheit wie eine richtige. Wenn das Volumen steigt, liest niemand mehr gegen, und der Fehler wandert durch die Dokumente bis zum Kunden.

Gegenmaßnahmen

  • Einordnung der Anwendungsfälle nach Tragweite: was menschliches Gegenlesen erfordert und was nicht
  • Nachvollziehbarkeit der von einer KI erzeugten Ergebnisse, um einen Fehler bis zu seiner Quelle zurückverfolgen zu können
  • Fachliche Testfälle, die bei jedem Modellwechsel erneut durchlaufen werden
  • Ein einfacher Kanal, um eine falsche Antwort zu melden, und jemand, der ihn liest
Unterschätzt

Ihre Teams verlieren die Kompetenz, die sie abgeben

Eine Kompetenz, die man nicht mehr ausübt, verkümmert in zwei oder drei Jahren. Wenn die Maschine korrigiert werden muss, kann im Unternehmen niemand mehr beurteilen, ob das Ergebnis gut ist.

Gegenmaßnahmen

  • Die kritischen Kompetenzen bestimmen, die man nicht abgeben will, und das schriftlich festhalten
  • Diese Kompetenzen tatsächlich weiter praktizieren, auch wenn das Werkzeug die Arbeit erledigen könnte
  • Die Weiterbildung auf Prüfung und Abwägung ausrichten, nicht auf das Werkzeug
Mittel

Das Projekt kostet mehr, als es einbringt

Die sichtbaren Kosten sind das Abonnement. Die tatsächlichen Kosten umfassen Integration, Datenübernahme, Schulung, Prüfzeit und Wartung bei jedem Versionswechsel.

Gegenmaßnahmen

  • Vollständige Kalkulation vor dem Start, Prüfkosten eingeschlossen
  • Ein kurzes Pilotprojekt in einem engen Bereich, mit einem vorab festgelegten Abbruchkriterium
  • Messung des Nutzens an einer bestehenden fachlichen Kennzahl, nicht an einer eigens geschaffenen

Ersetzt werden

„Werde ich verdrängt?“

Kurze Antwort

Wer ist wirklich bedroht, und in welchem Zeitraum?

Betroffen sind Tätigkeiten, nicht Personen. Laut der Internationalen Arbeitsorganisation (2025) umfasst weltweit jede vierte Stelle Tätigkeiten, die generativer KI ausgesetzt sind, und diese Stellen werden häufiger verändert als abgeschafft. Je größer der Anteil repetitiver und strukturierter Arbeit an einer Stelle ist, desto stärker wird sie sich verändern. Eine Stelle, die Verantwortung trägt, zwischen widersprüchlichen Interessen abwägt oder eine Beziehung pflegt, wird nicht ersetzt: Sie verlagert sich in Richtung Prüfung und Entscheidung.

Die richtige Frage lautet also nicht „Werde ich ersetzt?“, sondern „Welcher Teil meiner Arbeit ist automatisierbar, und was mache ich mit der gewonnenen Zeit?“ Diese Frage lässt sich Stelle für Stelle beziffern, und genau das leistet das Audit.

Für eine Geschäftsführung besteht das Risiko nicht darin, durch eine Maschine ersetzt zu werden. Es besteht darin, von einem Wettbewerber überholt zu werden, der seine Daten strukturiert hat, während Sie darauf warteten, dass sich das Thema stabilisiert. Dieser Wettlauf wird über die Organisation entschieden, nicht über die Technologie.

Souveränität

Die Kontrolle über das eigene Arbeitswerkzeug behalten

Kurze Antwort

Woran erkennt man, dass man noch die Kontrolle hat?

An einer einzigen Sache: Sie können den Anbieter innerhalb weniger Tage wechseln, ohne die Produktion anzuhalten. Wenn die Antwort Nein lautet, haben Sie kein Werkzeug, sondern eine Abhängigkeit. Alles andere – Hosting, Verträge, Zertifizierungen – ergibt sich aus diesem Test.
Schema eines ausgedehnten Netzwerks, in dem ein zentraler Knotencluster in einem Rahmen eingeschlossen bleibt und nur über wenige Verbindungen mit dem Rest verknüpft ist, mit einem bernsteinfarbenen Knoten im Inneren.

Die Kontrolle zu behalten heißt nicht, sich vom Rest abzuschotten: Es heißt, genau zu wissen, welche Verbindungen die Grenze überschreiten, und sie kappen zu können.

Die vier Dinge, die bei Ihnen bleiben müssen

  • Ihre Rohdaten und bereinigten Daten. Sie sind das einzige Gut, das mit der Zeit an Wert gewinnt. Sie dürfen nie ausschließlich bei einem Dritten gespeichert sein.
  • Ihre Geschäftsregeln. Schriftlich festgehalten, versioniert, für Menschen lesbar. Wenn sie nur in den Anweisungen an ein Modell existieren, verschwinden sie mit ihm.
  • Ihre Anbieterkonten. Auf Ihren Namen, mit Ihrem Zahlungsmittel. Nie auf den Namen des Dienstleisters, auch nicht während des Auftrags.
  • Die Fähigkeit, das Ergebnis zu beurteilen. Mindestens eine Person im Unternehmen muss sagen können, ob das Ergebnis gut ist, ohne den Dienstleister zu fragen.

Steuerung

Wie man KI steuert, ohne einen Bürokratieapparat aufzubauen

Für die meisten KMU reichen vier Regeln. Sie passen auf eine Seite und lassen sich in einer Sitzung einführen.

01

Eine benannte verantwortliche Person

Ein Mensch, kein Gremium. Diese Person muss nicht technisch versiert sein, sie muss Gehör finden und Nein sagen können.

02

Vier Kennzahlen statt vierzig

Eingesparte Zeit bei einer gemessenen Aufgabe, festgestellte Fehlerquote, tatsächliche monatliche Kosten, Zahl der eingestellten Anwendungsfälle. Die letzte ist die aufschlussreichste.

03

Eine vierteljährliche Überprüfung

Dort wird bestätigt, verlängert oder beendet. Ein Anwendungsfall, der bei der zweiten Überprüfung keinen Verantwortlichen hat, wird automatisch eingestellt.

04

Ein Register der Anwendungsfälle

Wer macht was, mit welchem Werkzeug, mit welchen Daten. Ohne dieses Register ist keine der drei anderen Regeln anwendbar.

Häufige Fragen

Die wiederkehrenden Fragen zu Risiken

Wird KI meine Mitarbeitenden ersetzen?
KI ersetzt Tätigkeiten, nicht ganze Berufe. Sie übernimmt vorrangig repetitive, strukturierte Arbeit mit geringer Entscheidungstragweite: Erfassung, Sortierung, erste Entwürfe, Dokumentenrecherche. Stellen, die überwiegend aus solchen Tätigkeiten bestehen, verändern sich und müssen begleitet werden. Stellen, die auf Abwägung, Kundenbeziehung und rechtlicher Verantwortung beruhen, verlagern sich in Richtung Prüfung und Steuerung, verschwinden aber nicht.
Werden meine Daten zum Training der Modelle verwendet?
Das hängt vollständig vom abgeschlossenen Vertrag ab. Angebote für Privatnutzer sehen oft eine Weiterverwendung der Eingaben vor, während Geschäftsangebote und Zugänge über Programmierschnittstellen sie in der Regel ausschließen. Diese Klausel ist vor jedem Einsatz Anbieter für Anbieter zu prüfen und bei jeder Änderung der Bedingungen erneut.
Kann man KI nutzen, ohne seine Daten außerhalb Europas zu senden?
Ja. Leistungsfähige Modelle laufen auf europäischen Servern, und manche können auf Ihrer eigenen Infrastruktur laufen. Die Wahl richtet sich nach der Sensibilität der betroffenen Daten: Nicht alle erfordern dasselbe Schutzniveau, und alles selbst zu hosten ist unnötig teuer.
Was bedeutet die EU-KI-Verordnung (AI Act) für ein KMU?
Stand: 10. Oktober 2026. Die EU-KI-Verordnung (Verordnung (EU) 2024/1689, geändert im Juli 2026) ordnet KI-Anwendungen nach Risikostufen ein. Ein KMU, das KI-Werkzeuge nutzt, hat heute eine allgemeine Pflicht: Maßnahmen zu ergreifen, damit seine Teams diese Werkzeuge verstehen, ohne ein bestimmtes Niveau gewährleisten oder ein Zertifikat erwerben zu müssen. Bestimmte Praktiken sind seit Februar 2025 verboten, und seit August 2026 müssen manipulierte Inhalte („Deepfakes“), die man verbreitet, gekennzeichnet werden. Die meisten Büroanwendungen ziehen keine weitere Pflicht nach sich. Hochrisiko-Anwendungen wie die Vorauswahl von Bewerbungen, die Kreditvergabe oder die Überwachung von Beschäftigten unterliegen ab dem 2. Dezember 2027 verschärften Pflichten und verdienen vor jedem Einsatz eine eigene Prüfung.
Wie behält man die Kontrolle über ein Werkzeug, das ein Dienstleister entwickelt hat?
Indem man schon im Vertrag drei Dinge verlangt: das Eigentum an Code und Daten, einen direkten Zugang zu den Anbieterkonten auf Ihren Namen und eine Betriebsdokumentation, die ausreicht, damit ein Dritter übernehmen kann. Ein Dienstleister, der einen der drei Punkte ablehnt, verkauft Ihnen eine Abhängigkeit, kein Werkzeug.

Nächster Schritt

Machen Sie die Bestandsaufnahme vor dem Vorfall

Das Audit bringt auf den Tisch, was Ihre Teams bereits nutzen und welchen Risiken Sie das tatsächlich aussetzt.