KW 48: Blaulicht am Küchentisch und die Angst vor der Schatten-IT
Es war Ende November letzten Jahres, als ich mal wieder viel zu spät am heimischen Küchentisch saß. Das blaue Licht meines Monitors spiegelte sich in meiner Teetasse, und draußen peitschte der rheinische Regen gegen das Fenster. Ich starrte auf den Entwurf unserer neuen Homeoffice-Richtlinie und spürte dieses bekannte Ziehen im Nacken. Seit ich 2021 bei uns im Maschinenbau-Zulieferer angefangen habe, dachte ich eigentlich, ich hätte das Thema mobiles Arbeiten im Griff. Aber dann kam der AI Act.
Plötzlich stand ich da als frisch ernannte AI-Act-Beauftragte – eine Rolle, die mir die Geschäftsführung im Herbst 2024 eher zufällig zugeschoben hat, weil ich in der HR ja sowieso mit Menschen und ihren Daten zu tun habe. Ich habe BWL studiert, kein Jura und erst recht keine Informatik. Aber dort am Küchentisch wurde mir klar: Wenn unsere 78 Mitarbeitenden zu Hause sitzen, weiß ich absolut nicht, was sie tun. Nutzen sie ChatGPT, um Kundenmails zu formulieren? Jagen sie unsere Konstruktionspläne durch Bild-KIs? Die unsichtbare Gefahr von privaten Logins im Homeoffice hielt mich nachts wach.
Tobias, unser einziger IT-ler, ist zwar ein Genie, was unsere Serverlandschaft angeht, aber bei der Regulierung von Cloud-KI-Tools im privaten WLAN zuckt er auch nur mit den Schultern. „Ich kann die Leute nicht einsperren, wenn sie zu Hause sind“, sagte er neulich. Und genau da liegt das Problem: Strenge Verbote fördern die Schatten-IT massiv. Wenn ich alles verbiete, machen die Leute es heimlich. Und das ist das größte Sicherheitsrisiko überhaupt.
Mitte März: Das flaue Gefühl und der Anhang III
Mitte März kam dann der Moment, der mir den Boden unter den Füßen wegzog. Ein Kollege erzählte mir beim Kaffee ganz stolz, wie effizient er jetzt arbeitet. Er habe eine komplette Kundenliste mit allen Ansprechpartnern und Umsätzen in ein Gratis-Tool zum „Zusammenfassen“ hochgeladen, um die Quartalsplanung schneller fertig zu kriegen. In diesem Moment hatte ich dieses flaue Gefühl im Magen, fast wie Seekrankheit. Mir schossen die 72 Stunden durch den Kopf – die gesetzliche Meldefrist für Datenpannen laut Datenschutz-Grundverordnung (DSGVO).
Noch schlimmer wurde es, als ich tiefer in den AI Act eintauchte. Wusstest du, dass KI-Systeme, die im HR-Bereich eingesetzt werden – also etwa zur Bewertung von Arbeitnehmern oder zur Filterung von Bewerbungen –, im AI Act (Anhang III) explizit als Hochrisiko-Anwendungen gelistet sind? Das bedeutet, wir fallen nicht in die Kategorie „minimales Risiko“, sondern spielen in der Oberliga der Regulierung mit. Insgesamt gibt es 4 Risikostufen im AI Act, und wir kratzen mit unseren HR-Prozessen ständig an der kritischen Grenze.
Ich bin keine Juristin, und wenn du es wirklich rechtssicher für dein Unternehmen wissen willst, solltest du unbedingt eine Anwältin für IT-Recht fragen. Aber für mich als Praktikerin war klar: Unsere bisherige lockere Praxis, nach dem Motto „Jeder macht mal ein bisschen“, ist rechtlich unmöglich geworden. Wir brauchen Leitplanken, die so einfach sind, dass auch Frau Krüger aus der Fertigungsleitung sie versteht, wenn sie freitags von zu Hause aus die Schichtpläne macht.
Der Wendepunkt: Warum kontrolliertes Experimentieren besser ist als Verbote
Ich habe lange überlegt, wie wir das lösen. Wir sind ein mittelständischer Betrieb, wir haben kein Budget für externe Berater, die uns 200-seitige Handbücher schreiben. Vor etwa drei Wochen hatte ich dann die Idee: Wir brauchen keine Verbote, wir brauchen einen kontrollierten Experimentierraum. Wir haben eine einfache „Ampel-Liste“ für Tools eingeführt.
- Grün: Von der IT geprüfte Tools mit Firmen-Account (Daten bleiben im geschlossenen Raum).
- Gelb: Tools, die man für allgemeine Inspiration nutzen darf, aber NIEMALS mit personenbezogenen oder betrieblichen Daten füttern darf.
- Rot: Tools, die komplett gesperrt sind, weil sie gegen den AI Act oder die DSGVO verstoßen.
Diese Transparenz hat die Schatten-IT endlich aus der Grauzone geholt. Die Leute kommen jetzt zu mir und fragen: „Du, dieses neue Tool für die Bildbearbeitung, ist das Gelb oder Rot?“ Das ist ein riesiger Erfolg für die Datensicherheit. Ich habe gemerkt, dass wir KI Dokumentationspflichten im Büro nach dem AI Act viel besser erfüllen können, wenn wir die Tools kennen, die tatsächlich genutzt werden.
Wir haben auch festgelegt, dass im Homeoffice nur noch über das Firmen-VPN gearbeitet wird, wenn KI-Tools im Spiel sind. Das klingt nach einer Kleinigkeit, aber es ist eine der technischen und organisatorischen Maßnahmen (TOMs), die uns im Ernstfall den Kopf retten können. Es geht darum, Leitplanken zu bauen, die nicht einschränken, sondern Sicherheit geben. Wer weiß, was er darf, macht weniger Fehler aus Unwissenheit.
Abschluss: Lavendelduft und die neue Gelassenheit
Eines Mittwochabends nach dem Yoga – ich mache das jetzt jede Woche eine Stunde, um den Stress mit der Verordnung wegzumatmen – saß ich noch kurz im Wohnzimmer. Der Geruch von Lavendelöl lag noch im Raum, während ich im Kopf noch die Sätze der neuen Homeoffice-Richtlinie umstellte. Ich fühlte mich zum ersten Mal seit Monaten nicht mehr wie eine Hochstaplerin in Sachen KI.
Wir haben zwar noch keinen perfekten Prozess, aber wir haben angefangen. Ich habe gelernt, dass man keine IT-Zertifikate braucht, um gesunden Menschenverstand walten zu lassen. Man muss nur ehrlich mit den Kollegen reden. Tobias und ich arbeiten jetzt viel enger zusammen. Er kümmert sich um die Technik, ich um die Menschen und die Regeln.
Falls du auch in einem KMU sitzt und dich fragst, wie du das alles schaffen sollst: Fang klein an. Ein Verbot bringt nichts, wenn die Leute es umgehen. Ich habe die Erfahrung gemacht, dass ein offener Umgang mit den Risiken – auch mit meinen eigenen Wissenslücken – viel mehr Vertrauen schafft. Vielleicht ist das auch ein Grund, warum der KI-Führerschein für Quereinsteiger im Büro die beste Lösung ist, um das Team wirklich mitzunehmen. Es geht nicht darum, alles zu wissen, sondern darum, die richtigen Fragen zu stellen. Und jetzt entschuldige mich, ich muss noch eine neue „Ampel-Anfrage“ von Frau Krüger bearbeiten – sie hat da ein Tool für die Optimierung von Materiallisten gefunden.