Letzter Beitrag meiner kleinen KI-sicher-nutzen-Serie. Eine Zusammenfassung.

Eine Policy, die keiner liest, schützt niemanden. Eine Seite mit zehn Sätzen, die jeder kennt, schon eher.

Was diese Seite ist – und was nicht.

Das hier ist keine Rechtsberatung und kein 40-seitiges Compliance-Dokument. Es ist eine Vorlage: zehn Regeln, jede aus einem der vorherigen neun Teile destilliert, in eine Sprache gebracht, die man tatsächlich aushängen oder verschicken kann. Anpassen, kürzen, mit dem eigenen Briefkopf versehen – genau dafür ist sie gedacht.

Hier sind die zehn Regeln.

KI ist ein Werkzeug, kein Ersatz für Urteilsvermögen. Nutzen Sie sie für Entwürfe, Recherche, erste Ideen. Die letzte Prüfung bleibt dem Menschen vorbehalten (Teil 1).

Jede KI-Nutzung wird gemeldet, nicht versteckt. Wer ein neues KI-Tool im Arbeitsalltag einsetzt, sagt das der Organisation – Shadow AI ist kein Kavaliersdelikt, sondern ein blinder Fleck für alle anderen Regeln dieser Liste (Teil 2).

KI rät das nächste Wort, sie weiß nichts. Das erklärt, warum sie manchmal überzeugend danebenliegt. Vertrauen Sie einer Aussage erst, wenn Sie wissen, woher sie stammt (Teil 3).

Jede KI-Ausgabe wird geprüft, bevor sie das Haus verlässt. Halluzinationen sind keine Ausnahme, sondern die Kehrseite des Ratens. Besonders bei Fakten, Zahlen und Zitaten (Teil 4).

Vor jeder Eingabe die Frage: Darf diese KI das sehen? Kundendaten, Gehaltslisten, Geschäftsgeheimnisse gehören nicht in ein System, dessen genauen Datenweg Sie nicht kennen oder kontrollieren (Teil 5).

Nur geprüfte Anbieter, mit Vertrag. Wer die KI liefert, wohin die Daten fließen und was der Auftragsverarbeitungsvertrag regelt, ist vor dem ersten Einsatz zu klären, nicht danach (Teil 6).

Anweisungen in Dokumenten sind nicht automatisch legitim. Eine KI mit Zugriff auf externe Inhalte kann durch präparierte Texte manipuliert werden. Ausgaben aus solchen Systemen verdienen einen zweiten Blick (Teil 7).

Ein RAG-System ist nur so vertrauenswürdig wie sein Index. Wer darauf zugreifen darf, wird vor dem Indexieren geklärt, nicht danach – und der Index bleibt aktuell (Teil 8).

Wir wissen, welche KI wir wofür einsetzen. Das ist die einfachste Antwort auf den AI Act: eine ehrliche Liste der eingesetzten Systeme und ihres Zwecks, keine Angst vor Bußgeldschlagzeilen (Teil 9).

Diese Regeln werden einmal im Jahr überprüft. KI-Systeme, Anbieter und Gesetzeslage ändern sich schneller als die meisten anderen Unternehmensrichtlinien. Ein Termin dafür gehört in den Kalender.

Zehn Regeln reichen, wenn sie jeder kennt. Keine einzige davon nützt etwas, solange sie nur in einer Schublade liegt.

Wie Sie das tatsächlich nutzen können.

Kürzen Sie sie auf das, was in Ihrem Betrieb wirklich vorkommt. Ein Verein ohne Kundendaten formuliert Regel 5 anders als ein Personaldienstleister. Hängen Sie sie dort auf, wo auch die Kaffeemaschine steht – nicht nur im Intranet, das niemand öffnet. Lassen Sie es neue Mitarbeiter beim Einstieg einmal laut vorlesen. Was man ausspricht, vergisst man seltener.

Die gute Nachricht zum Abschluss dieser Serie.

Zehn Teile, ein Muster: KI-Sicherheit ist nicht nur eine Frage der Technik, sondern vielmehr eine des Nachdenkens – über Daten, über Rechte, über Quellen, über das, was schiefgehen könnte, bevor es passiert. Und des anschließenden konsequenten Handelns.

Diese Seite ersetzt das Nachdenken nicht, aber sie sorgt dafür, dass es nicht bei jedem neuen KI-Tool wieder bei null beginnt.

Damit endet diese Serie „KI sicher nutzen". Wenn Sie diese zehn Regeln auf Ihr Unternehmen oder Ihren Verein zuschneiden wollen: Das erste Gespräch ist kostenlos.