Künstliche Intelligenz: Risiken und Ethik der KI im Unternehmen — was wirklich droht und wie Sie sich schützen

Ist künstliche Intelligenz eine Chance oder eine Bedrohung?

Beides, oft im selben Unternehmen und in derselben Woche. Derselbe Chat, der in einer Stunde einen Berichtsentwurf erstellt, kann nebenbei einen eingefügten Kundenvertrag aufnehmen oder eine nicht existierende Studie in den Bericht einbauen. Die Frage, ob künstliche Intelligenz gefährlich ist, hat also eine praktische Antwort. Gefährlich ist ihr Einsatz ohne Regeln.

Die Debatte über die Gefahren künstlicher Intelligenz für die Menschheit, also den Kontrollverlust über hochentwickelte Systeme, wird unter Wissenschaftlern und Regulierungsbehörden geführt und ist ernst zu nehmen. Die Geschäftsführung eines mittelständischen Unternehmens hat jedoch mit Risiken zu tun, die schon nächsten Montag eintreten können, und auf diese konzentriert sich dieser Text. Eine umfassendere Übersicht über das Thema, von der Toolauswahl bis zum Einführungsplan, bietet unser Leitfaden zu künstlicher Intelligenz für Unternehmen.

KI-Ethik wiederum umfasst die Grundsätze für einen fairen Umgang mit KI gegenüber den Menschen, die sie betrifft: Kunden, Mitarbeitende, Empfänger von Inhalten. Transparent, ohne Diskriminierung, mit einem verantwortlichen Menschen am Ende des Prozesses. Im Unternehmen ist Ethik keine Philosophie. Sie ist eine Liste von Entscheidungen darüber, was erlaubt ist, was nicht und wer wofür verantwortlich ist.

Sieben KI-Gefahren, die Unternehmen wirklich betreffen

Hier die Risiken, auf die wir am häufigsten stoßen. Woher kommt die Gefahr? KI arbeitet schnell und klingt überzeugt, haftet aber nicht für die Folgen ihrer Antworten, sodass die gesamte Verantwortung beim Unternehmen bleibt, das sie nutzt.

Datenlecks und KI „auf eigene Faust“

Laut einer Studie von Microsoft und LinkedIn vom Mai 2024 bringen 78 % der Menschen, die KI bei der Arbeit nutzen, eigene Tools mit, statt die vom Unternehmen bereitgestellten zu verwenden. Das Phänomen hat sogar einen eigenen Namen: BYOAI (bring your own AI, also „Bring Your Own AI“). Das Unternehmen weiß dann nicht, welche Daten nach außen gelangen. Es weiß auch nicht, zu welchen Bedingungen der Anbieter sie speichert.

Hier liegen die häufigsten Gefahren im Zusammenhang mit ChatGPT und ähnlichen Tools in kostenlosen Versionen, denn in ein privates Konto eingefügte Daten können je nach Einstellungen und Nutzungsbedingungen zum weiteren Training von Modellen verwendet werden, und das Unternehmen hat darüber keinerlei Kontrolle. Business-Versionen bieten meist bessere Garantien. Unter einer Bedingung: Die Mitarbeitenden müssen sie tatsächlich nutzen.

Deepfakes, Angriffe auf KI-Systeme und Cybersicherheit

2024 bestätigte das Ingenieurunternehmen Arup, dass ein Mitarbeiter in Hongkong nach einer Videokonferenz, in der der Finanzvorstand und andere „Kollegen“ von KI erzeugt waren, rund 25 Mio. US-Dollar an Betrüger überwiesen hatte. Es ist das bekannteste Beispiel dafür, dass KI in der Cybersicherheit auf beiden Seiten mitspielt. Sie hilft, Netzwerke zu verteidigen. Sie senkt aber auch die Kosten, sich als jemand anderes auszugeben. Wie Sie eine gefälschte Aufnahme erkennen und was zu tun ist, wenn sie Ihr Unternehmen betrifft, beschreiben wir im Artikel über Deepfakes.

Der zweite Bereich ist die Sicherheit der KI-Systeme, die das Unternehmen selbst betreibt: Chat auf der Website, Assistent für Dokumente, Agenten, die Aufgaben ausführen. Ein typischer Angriff ist Prompt Injection (prompt injection), also das Verstecken von Anweisungen im Inhalt einer Webseite, E-Mail oder eines Dokuments, die die Kontrolle über das Verhalten des Modells übernehmen und es zum Beispiel dazu bringen, Daten preiszugeben oder eine Nachricht zu senden. Die Sicherheit von KI-Modellen ist also nicht nur Sache des Anbieters. Es zählt auch, auf welche Daten und Aktionen das Unternehmen ihnen Zugriff gibt.

Künstliche Intelligenz und Urheberrecht

Das polnische Urheberrechtsgesetz schützt ein Werk als „Ausdruck schöpferischer Tätigkeit mit individuellem Charakter“ (Art. 1 Abs. 1). Nach herrschender Meinung polnischer Juristen kann nur ein Mensch Urheber sein, daher ist vollständig von KI erzeugtes Material ohne wesentlichen schöpferischen Beitrag eines Menschen möglicherweise kein Werk und nicht geschützt. Was bedeutet das in der Praxis? Die Konkurrenz kann eine mit einem einzigen Prompt erzeugte Kampagnengrafik kopieren, und Sie haben möglicherweise keine Handhabe dagegen.

In den USA fiel die Entscheidung ähnlich aus. Das Berufungsgericht bestätigte im März 2025 im Fall Thaler gegen Perlmutter, dass für einen Schutz ein menschlicher Urheber nötig ist, und am 2. März 2026 lehnte der Oberste Gerichtshof der USA die Annahme des Falls ab. Der zweite Strang, also die Frage, ob Modelle mit fremden Werken trainiert werden durften, ist weltweit weiterhin Gegenstand von Gerichtsverfahren.

Die Schlussfolgerung für Unternehmen ist praktisch. Bei Materialien, die die Marke über Jahre prägen sollen (Logo, Key Visual, Slogan), muss der schöpferische Beitrag des Menschen deutlich und dokumentiert sein, zum Beispiel in Form von Skizzen, aufeinanderfolgenden Versionen und Entscheidungen des Designers. Halten Sie in Verträgen mit Agenturen und Freelancern fest, ob und wie sie KI nutzen und wer für die Rechte haftet. Wo die Rolle des Generators endet und Branding beginnt, zeigen wir im Beitrag über Grafiken und Logos mit KI.

KI-Ethik bei der Arbeit: Grundsätze nach Maß für den Mittelstand

KI-Ethik bei der Arbeit läuft auf einige Fragen hinaus, die Sie bei jeder neuen Anwendung stellen. Weiß das Gegenüber, dass es mit einer KI spricht? Kann der Algorithmus jemanden ungerecht übergehen (Bewerber, Kunden, Lieferanten)? Wer ist verantwortlich, wenn das System sich irrt? Können wir die Entscheidung dem Menschen erklären, den sie betrifft?

• Transparenz. Wir sagen Kunden und Bewerbern, wo KI im Einsatz ist, und kennzeichnen Deepfakes und Inhalte, die das erfordern. Was genau seit August 2026 gekennzeichnet werden muss, erklären wir im Beitrag über Kennzeichnung von KI-Inhalten.
• Fairness. Tools zur Bewertung von Menschen testen wir auf Verzerrungen, bevor sie ihre erste Entscheidung treffen.
• Verantwortung. Jeder KI-Prozess hat einen namentlich benannten Verantwortlichen, und Entscheidungen über Menschen und Geld trifft ein Mensch.
• Privatsphäre. In KI-Tools gelangen nur Daten, für die wir eine Rechtsgrundlage haben und die die Unternehmensrichtlinie erlaubt.
• Wahrheit. Fakten aus der KI veröffentlichen wir nicht ohne Prüfung der Quelle.

Wer im Unternehmen für KI-Ethik verantwortlich ist

In großen Organisationen gibt es die Rolle eines KI-Ethikers (AI ethicist) oder ein KI-Gremium mit einer Juristin oder einem Juristen, Leuten aus IT und HR und jemandem aus der Kommunikation. In einem mittelständischen Unternehmen genügen eine für die KI-Richtlinie verantwortliche Person und ein kurzer Weg, Bedenken zu melden, zum Beispiel eine E-Mail-Adresse, auf die wirklich jemand antwortet. Wer sich darauf spezialisieren möchte, kann ein Aufbaustudium in KI-Ethik und -Recht wählen; einen Überblick über Studiengänge finden Sie im Artikel über Aufbaustudiengänge zu KI.

Auf staatlicher Seite soll ab November 2026 die Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) ihre Arbeit aufnehmen. Das ist die polnische Marktaufsichtsbehörde für KI, die Meldungen über Unregelmäßigkeiten entgegennehmen und Unternehmen individuelle Stellungnahmen erteilen wird. Die Pflichten aus dem AI Act, einschließlich der Liste verbotener Praktiken, besprechen wir im Beitrag Der AI Act in Polen. Ein besonders sensibler Bereich ist das Recruiting, dem wir einen eigenen Beitrag gewidmet haben: KI in HR und Recruiting.

KI-Risiken im Unternehmen reduzieren: Schritt für Schritt

Den folgenden Plan setzen Sie in wenigen Wochen ohne großes Budget um. Die Reihenfolge ist kein Zufall. Zuerst Wissen darüber, was tatsächlich passiert, dann Regeln und zum Schluss Tools und Verfahren, denn eine blind geschriebene Richtlinie regelt meist das Falsche und landet in der Schublade.

1. SCHRITT 01Bestandsaufnahme der KI-Nutzung

   Eine kurze Umfrage oder Gespräche in den Abteilungen: wer, wofür, in welchen Tools, welche Daten dort landen. Ohne Bewertung, denn es geht um ein ehrliches Bild der Lage.

2. SCHRITT 02Ein sicheres Tool für das Team

   Eine Business-Lizenz statt privater Konten. Unbedingt mit klaren Bedingungen für die Datenverarbeitung.

3. SCHRITT 03KI-Richtlinie auf ein bis zwei Seiten

   Verbotene Daten, Freigabe durch einen Menschen, Kennzeichnung, Verantwortung. Ergänzen Sie jeden Punkt um ein Beispiel. Am besten aus der Arbeit einer konkreten Abteilung, denn ein Allgemeinplatz bringt niemandem etwas bei.

4. SCHRITT 04Sicherheitsverfahren

   Bestätigung von Zahlungsanweisungen über einen anderen Kanal, eingeschränkter Zugriff von KI-Assistenten auf Daten und Aktionen, Tests des Chats vor dem Start.

5. SCHRITT 05Schulung und Übung

   Eine kurze Schulung zu den Risiken und eine Übung, zum Beispiel ein simulierter Betrugsversuch mit einem Deepfake. Die Teilnehmerliste dient als Nachweis der Maßnahmen nach Art. 4 AI Act.

6. SCHRITT 06Vierteljährliche Überprüfung

   Neue Tools, Vorfälle, Fragen aus dem Team. Eine Richtlinie, die niemand aktualisiert, beschreibt nach einem Jahr ein Unternehmen, das es so nicht mehr gibt.

Was eine sichere Nutzung von KI kostet

Das Budget hängt vor allem von einer Sache ab: ob das Unternehmen nur fertige Tools nutzt oder eigene Lösungen baut, etwa einen Kundenchat, Agenten oder einen Assistenten für Dokumente. Im zweiten Fall kommen Sicherheitstests und laufende Aufsicht hinzu, und das ist schon ein eigener Posten im Jahresplan.

Signale, dass es Zeit ist, sich mit KI-Risiken zu befassen

Warten Sie nicht auf einen Vorfall, wenn Sie auch nur eines dieser Signale sehen: Mitarbeitende sprechen von „ihrem“ KI-Chat, die HR-Abteilung testet ein Tool zur Vorauswahl von Lebensläufen, Sie planen einen Kundenchat, Kunden fragen in Ausschreibungen nach Ihrer KI-Richtlinie, oder in der Branche gab es Betrugsversuche, bei denen sich jemand als Geschäftsführung ausgab. Weniger dringend ist es dort, wo KI ausschließlich für interne Entwürfe genutzt wird. Vorausgesetzt, alles, was nach außen geht, prüft und zeichnet ein Mensch ab.

Ein KI-Vorfall ist oft eine Imagekrise, denn eine erfundene Information in einer Veröffentlichung oder eine gefälschte Aufnahme des CEO verbreitet sich schneller als eine Richtigstellung. Was vor Ablauf der ersten Stunde zu tun ist, beschreibt der Beitrag KI und Krisenkommunikation. Woher die Erfindungen der Modelle kommen und wie man sie erkennt, erklärt der Beitrag über KI-Halluzinationen. An die klassischen Regeln erinnert Krisenmanagement-Prozess im Überblick, und die Vorbereitung von Unternehmen auf solche Situationen übernehmen wir im Rahmen der Leistung Krisenmanagement.

Wo Unternehmen KI-Risiken selbst die Tür öffnen

Weiterlesen