Veröffentlicht am 03. September 2026
Wenn in einem Unternehmen von nicht freigegebener KI die Rede ist, klingt das nach Regelverstoß. In der Praxis ist es fast immer das Gegenteil. Ein Mitarbeiter im Vertrieb formuliert Angebote schneller, jemand in der Technik lässt sich Spezifikationen zusammenfassen, eine Assistenz bereitet Protokolle auf. Alle drei arbeiten besser als vorher, alle drei nutzen ein privates Konto, weil es verfügbar war und der offizielle Weg nicht existierte.
Das Ergebnis ist ein Effizienzgewinn ohne Freigabeprozess. Unternehmensdaten wandern dabei in Systeme, über die im Haus keine Aufzeichnung existiert. Niemand kann später sagen, welche Inhalte das waren, wie lange sie gespeichert bleiben und ob sie in das Training eines Modells eingeflossen sind. Der Verlust liegt nicht in der Nutzung. Er liegt darin, dass über sie keine Auskunft möglich ist.
🤖 Bild mit KI generiert
Die häufigste Reaktion auf diese Erkenntnis ist eine Liste untersagter Werkzeuge, oft verbunden mit einer Betriebsanweisung. Sie ist schnell erstellt und wirkt wie eine Maßnahme. Sie verändert das Verhalten jedoch selten in die beabsichtigte Richtung.
Wer ein Werkzeug braucht, um sein Tagesgeschäft zu bewältigen, hört nach einem Verbot nicht auf, es zu benutzen. Er hört auf, darüber zu sprechen. Damit verschwindet nicht das Risiko, sondern die letzte verbliebene Informationsquelle darüber. Die Organisation fühlt sich sicherer und weiß gleichzeitig weniger als vorher.
Hinzu kommt ein Zweites. Ein Verbot ohne freigegebene Alternative ist eine Aufforderung, den Effizienzgewinn wieder aufzugeben. Genau das werden Mitarbeiter nicht tun, wenn ihre Zielvorgaben unverändert bleiben. Wirksam wird eine Regelung erst, wenn sie einen gangbaren Weg beschreibt statt nur einen versperrten.
🤖 Bild mit KI generiert
Tragfähig wird die Sache über eine kleine Zahl klar beantworteter Fragen. Welche Werkzeuge sind freigegeben und für welchen Zweck. In welchem Tenant oder unter welchem Vertrag laufen sie, also wo liegen die Daten und wer ist Vertragspartner. Wer greift auf welche Datenkategorien zu, insbesondere bei Personal, Kunden und Konstruktionsdaten. Und woran ist all das im Zweifelsfall nachweisbar, ohne dass jemand aus dem Gedächtnis rekonstruieren muss.
Diese vier Fragen sind bewusst nicht technisch formuliert. Sie lassen sich in einem Führungskreis beantworten und erzeugen sofort ein realistisches Bild. In den meisten Häusern ist die dritte Frage die unangenehmste, weil dort auffällt, dass Zugriffsrechte historisch gewachsen sind und mit dem heutigen Einsatz wenig zu tun haben.
Wichtig ist die Reihenfolge. Erst wird erfasst, was tatsächlich im Einsatz ist, dann wird entschieden, was davon freigegeben wird. Wer mit der Entscheidung beginnt, baut eine Ordnung für einen Bestand, den er nicht kennt. Genau an dieser Stelle setzt der KIRA-Prozess von Jörn Kugler (KI-Readiness-Analyse) an. Er nimmt die tatsächlich genutzten Werkzeuge und die daran hängenden Abläufe auf, bevor über Freigaben gesprochen wird, und macht damit sichtbar, worüber überhaupt zu entscheiden ist.
🤖 Bild mit KI generiert
Seit das Umsetzungsgesetz zu NIS2 in Kraft ist, hat diese Frage eine zweite Ebene bekommen. Fehlende Kontrolle über eingesetzte Werkzeuge bleibt nicht in der IT-Abteilung, sie kann auf die Geschäftsführung zurückfallen. Die operative Zuständigkeit lässt sich delegieren, die Verantwortung dafür, dass ein Kontrollsystem existiert, nicht.
Praktisch bedeutet das eine dokumentierte Freigabe statt einer stillschweigenden Duldung. Wer entscheidet, dass ein Werkzeug eingesetzt werden darf, und auf welcher Bewertung beruht diese Entscheidung. Solange das nirgends festgehalten ist, wird Verantwortung erst im Schadensfall sichtbar, und dann rückwirkend. Ein Unternehmen, das keine freigegebenen Werkzeuge kennt, hat deshalb keine höhere Sicherheit. Es hat lediglich keine Daten über seinen eigenen Zustand.
Die operative Zuständigkeit lässt sich delegieren – die Verantwortung für ein funktionierendes Kontrollsystem nicht.
🤖 Bild mit KI generiert
Der Umgang mit nicht freigegebener KI entscheidet sich nicht an der Frage, wie streng die Regeln sind, sondern daran, ob das Unternehmen über seinen eigenen Einsatz Auskunft geben kann. Eine Bestandsaufnahme kostet wenige Tage und ist jederzeit möglich. Sie nach dem ersten Vorfall nachzuholen, kostet ungleich mehr, und der Zeitpunkt ist dann nicht mehr selbst gewählt.
BLOG