KI-Inventar mit Amnestie: wie du siehst, wer im Haus mit welchen Daten arbeitet

Die Abfrage geht an alle, der Betreff heißt sinngemäß „Erhebung zur KI-Nutzung", und zwei Wochen später liegt die Auswertung auf dem Tisch. Sie ist erstaunlich sauber. Ein Teil der Belegschaft nutzt gar nichts. Ein anderer Teil nutzt gelegentlich ChatGPT, um eine Formulierung zu glätten. Kundendaten gibt niemand ein, installiert hat auch niemand etwas.

Du weißt, dass dieses Bild nicht stimmt, und zwar nicht, weil du jemandem misstraust. Du hast Texte gelesen, die anders klingen als das, was dieselbe Person vor einem Jahr geschrieben hat. Du hast eine Auswertung bekommen, die an einem Vormittag fertig war, obwohl sie sonst zwei Tage braucht. Keine dieser Beobachtungen ist ein Beweis. Zusammen passen sie trotzdem nicht zu einer Erhebung, in der fast niemand etwas benutzt.

Der Fehler steckt nicht in den Antworten, er steckt in der Frage. Solange eine ehrliche Antwort für die einzelne Person Folgen haben kann, ist die vorsichtige Antwort die vernünftige. Deine Abfrage hat dann nicht gemessen, wer mit KI arbeitet. Sie hat gemessen, wer vorsichtig ist.

Deshalb steht vor der ersten Frage eine Zusage, und diese Zusage hat einen Namen: Amnestie. Gemeint ist eine anonyme Abfrage mit ausdrücklicher Straffreiheit, also die verbindliche Ansage, dass aus keiner einzigen Antwort eine Konsequenz für die Person folgt, die sie gegeben hat. Das klingt weich und ist die härteste Voraussetzung des ganzen Vorhabens. Absichern kannst du nur, was du siehst, und deshalb kommt die Bestandsaufnahme vor dem Regelwerk.

Woran du merkst, dass deine Abfrage nichts gemessen hat

Was du eigentlich erheben willst, hat einen Namen: Schatten-KI, also KI-Nutzung, die im Unternehmen stattfindet, aber von niemandem geplant, freigegeben oder protokolliert ist. Der Gegentest ist einfach. Halte das Ergebnis der Abfrage neben das, was du im Alltag siehst. Passt beides nicht zusammen, hast du kein Bild der Nutzung, sondern ein Bild der Vorsicht. Vier Anzeichen sprechen dafür.

Das erste: Die Freitextfelder sind leer. Wenn niemand aufschreibt, was gut funktioniert hat, liegt das selten daran, dass nichts funktioniert hat. Es liegt daran, dass ein ausgefülltes Freitextfeld die Person erkennbar macht, die es ausgefüllt hat.

Das zweite: In der Auswertung steht nichts, was nicht ChatGPT heißt. Genannt wird das eine Werkzeug, das jeder kennt und das am wenigsten heikel wirkt. Nicht genannt werden die Erweiterung im Browser, das Transkriptionswerkzeug in der Videokonferenz, der Assistent im Textprogramm und das Agenten-Werkzeug, das selbst klickt und tippt.

Das dritte: Niemand nennt eine Datenart. Das ist folgerichtig, wenn du nach Werkzeugen gefragt hast, denn dann bekommst du Werkzeugnamen zurück. Die Frage, an der dein Risiko hängt, ist aber eine andere: Welche Daten gehen dort hinein? Ein Kundenname, ein Vertragstext und ein Preis sind etwas anderes als ein Entwurf für den Blog.

Das vierte: Die Rückläufe kommen spät und knapp. Eine Abfrage, die als Inventur verstanden wird, füllt man sofort aus. Eine Abfrage, die als Kontrolle verstanden wird, schiebt man auf und beantwortet sie am Ende mit dem kürzesten Satz, der durchgeht.

Der gemeinsame Nenner: Die Antworten sind nicht gelogen, sie sind gefiltert. Und am Ergebnis selbst kannst du nicht erkennen, wie stark gefiltert wurde.

Warum die neue Richtlinie die Nutzung tiefer vergräbt

Der Reflex nach so einer Auswertung ist fast immer derselbe: Dann schreiben wir eben zuerst die Richtlinie, danach fragen wir noch einmal. Dieser Reflex sieht im Protokoll gut aus und dreht die Reihenfolge genau falsch herum, in drei Richtungen.

Sie macht jede ehrliche Antwort zum Geständnis. Sobald eine Regel im Haus gilt, ist die Frage nach der Nutzung eine Frage nach Regelverstößen. Wer die Regel gebrochen hat, hat jeden Grund, das für sich zu behalten. Wer sie vorher nicht kannte, wird sie ab jetzt kennen und entsprechend antworten. Nach der Richtlinie bekommst du also weniger zu sehen als davor, nicht mehr.

Sie schreibt Regeln für eine Wirklichkeit, die du nicht kennst. Eine Richtlinie, die in den Köpfen auf das Chatfenster gemünzt ist, erfasst die riskantere Werkzeugklasse überhaupt nicht. Eine Browser-Erweiterung liest mit, was im Browser passiert: das Postfach, das Kundensystem, jede Seite, die gerade offen ist. Rund um ein einziges Agenten-Werkzeug wurden 400 bösartige Erweiterungen gefunden. Kaum jemand hakt so etwas beim Ausfüllen unter „KI-Nutzung" ab.

Sie beantwortet ein Gefühl mit einem Sachargument. Wer seine Nutzung versteckt, tut das selten aus Kalkül. Manche verstecken sie aus Angst vor dem Verbot, manche aus Angst, überflüssig zu werden. Beides ist ein Gefühl und kein Sachurteil, und eine sachlich formulierte Regel nimmt keinem der beiden Gefühle den Grund. Der Widerstand hat dabei zwei Lautstärken: laut als offener Protest gegen die Technologie, leise als stilles Umgehen im Alltag. Die laute Variante siehst du. Die leise ist die, um die es hier geht.

Der Preis dieser Unsichtbarkeit lässt sich beziffern: Über 90 Prozent der Sicherheitsvorfälle mit Sprachmodellen entstehen dort, wo jemand echte Firmendaten in eine kostenlose Version tippt. Dazu kommt ein zweiter Preis, den keine Sicherheitsabteilung meldet. Solange niemand erzählt, was funktioniert hat, bleibt jedes gute Ergebnis in einem privaten Chatverlauf. In deiner Organisation wird also gelernt, aber die Organisation lernt nichts.

Fünf Schritte zu einem Inventar, dem du glauben kannst

Was dir das Inventar wirklich liefert

Die Abfrage sieht aus wie ein Sicherheitsinstrument, und sie ist auch eines. Ihr größerer Wert steht allerdings in den Freitextfeldern. Jede Antwort auf die Frage, was gut funktioniert hat, ist ein Kandidat für den ersten offen geführten Anwendungsfall, aufgeschrieben von der Person, die ihn längst erprobt hat. Ein Haus, das seine Schatten-KI sichtbar macht, bekommt seine erste Kandidatenliste geschenkt, ohne dafür einen Workshop anzusetzen.

Damit diese Liste nicht wieder einschläft, braucht sie Träger. Benenne ein bis zwei neugierige Menschen je Team, die weitergeben, was bei ihnen funktioniert, ohne dafür eine neue Stelle zu bekommen. Rund 69 Prozent der Beschäftigten lernen lieber von Kolleginnen und Kollegen als von Externen. Gegen diese Präferenz kommt ein Schulungskatalog nicht an, ein Kollege im eigenen Team schon.

Und die Regeln kommen danach. Sie passen dann auf eine Seite und bestehen aus drei Sätzen: welche Daten nie in ein kostenloses Modell gehören, welcher Zugang für die tägliche Arbeit erlaubt ist, und an wen man sich wendet, wenn ein Fall davon nicht abgedeckt ist. In dieser Reihenfolge beschreibt die Regel die Wirklichkeit deines Hauses, statt sie zu erraten.

Das Merkmal, an dem du den Fortschritt siehst, ist ein einziger Satz: Du kannst benennen, wer welches Werkzeug mit welchen Daten nutzt. Nicht ungefähr, sondern konkret genug, um zu entscheiden, was abgesichert werden muss und was nicht.

Wenn du wissen willst, wo dein Unternehmen dabei gerade steht, mach den KIRA-Check. Er verortet dich über sechs Stufen und fünf Achsen, von der heimlichen Einzelnutzung bis zur durchgängig KI-getragenen Firma. Du bekommst dein KIRA-Profil, also einen Standort je Achse statt einer Note, dazu die zwei Engpässe, die dich gerade wirklich bremsen, jeder mit genau einem ersten Schritt. Zehn Minuten, und danach weißt du, ob die fehlende Sichtbarkeit dein Engpass ist.