Künstliche Intelligenz ist im Arbeitsalltag angekommen – oft schneller, als Strukturen, Regeln und Sicherheitskonzepte mithalten können. Genau hier setzt unsere neue Rubrik an: die KI-Werkstatt.

Was ist die KI-Werkstatt?

Die KI-Werkstatt ist der Ort, an dem wir KI nicht nur beschreiben, sondern ausprobieren, einordnen und praxistauglich machen. Wir schauen uns aktuelle Entwicklungen und Modelle an, testen Anwendungsfälle und übersetzen die Ergebnisse in verständliche Empfehlungen für kleine und mittlere Unternehmen (KMU).

Dabei geht es uns um drei Dinge:

  • Machbarkeit: Was funktioniert heute zuverlässig – und was ist noch Zukunftsmusik?
  • Sicherheit und Datenschutz: Welche Risiken entstehen, und wie lassen sie sich beherrschen?
  • Umsetzung: Wie führt ein KMU KI geordnet ein, ohne sich in Tool-Wildwuchs zu verlieren?

Was heute machbar ist

Moderne Sprachmodelle haben sich in kurzer Zeit zu vielseitigen Werkzeugen entwickelt. Im Unternehmensalltag überzeugen sie vor allem dort, wo viel Text, Wissen und wiederkehrende Abläufe zusammenkommen:

  • Entwürfe für E-Mails, Angebote, Berichte und Dokumentationen
  • Zusammenfassen und Durchsuchen von Dokumenten, Richtlinien und Verträgen
  • Unterstützung im Kundenservice und bei internen Wissensfragen
  • Auswertung und Aufbereitung von Daten, Tabellen und Protokollen
  • Programmier- und Automatisierungshilfen, etwa für Skripte und Schnittstellen
  • Übersetzen, Strukturieren und Aufbereiten von Schulungsinhalten

Richtig eingesetzt sparen diese Anwendungen Zeit und entlasten Mitarbeitende von Routinearbeit. Entscheidend ist, dass ein konkreter Nutzen definiert ist – und nicht „irgendetwas mit KI“ gemacht wird.

Wo die aktuellen Grenzen liegen

So beeindruckend die Ergebnisse oft sind: KI-Modelle sind keine Faktenmaschinen. Wer sie einsetzt, sollte ihre Grenzen kennen:

  • Halluzinationen: Modelle können plausibel klingende, aber falsche Aussagen erzeugen. Ergebnisse müssen geprüft werden – besonders bei Zahlen, Quellen und rechtlichen Aussagen.
  • Kontext und Aktualität: Ein Modell kennt nur, was es gelernt hat oder was ihm gezeigt wird. Ohne Anbindung an eigene Daten fehlt Unternehmenswissen.
  • Nachvollziehbarkeit: Warum ein Modell zu einer Antwort kommt, lässt sich nur eingeschränkt erklären.
  • Verantwortung: Die Verantwortung für Entscheidungen bleibt beim Menschen. KI liefert Vorschläge, keine Haftungsübernahme.
  • Autonome Agenten: Systeme, die selbstständig Aktionen ausführen, sind leistungsfähig, aber fehleranfällig und sicherheitskritisch. Hier gilt: klein anfangen, Rechte begrenzen, Ergebnisse kontrollieren.

Sicherheit: Neue Technik, neue Angriffsflächen

KI-Anwendungen erweitern die Angriffsfläche eines Unternehmens. Das BSI und die OWASP-Community weisen seit Längerem auf typische Risiken hin:

  • Prompt Injection: Versteckte Anweisungen in Texten, E-Mails oder Webseiten können ein Modell dazu bringen, Unerwünschtes zu tun. Besonders kritisch wird das, wenn die KI Dokumente liest und Zugriff auf Systeme oder Postfächer hat. Eine vollständig verlässliche Gegenmaßnahme gibt es derzeit nicht – umso wichtiger sind begrenzte Rechte, Trennung von Daten und Anweisungen sowie menschliche Freigaben.
  • Abfluss sensibler Daten: Werden Kundendaten, Personalunterlagen oder Betriebsgeheimnisse in externe KI-Dienste eingegeben, ist oft unklar, wo sie verarbeitet werden und wer Zugriff hat.
  • Schatten-KI: Mitarbeitende nutzen private KI-Konten für dienstliche Aufgaben – ohne Wissen der IT oder des Datenschutzes.
  • Lieferkette: Modelle, Plugins und Erweiterungen stammen aus unterschiedlichen Quellen und müssen wie jede andere Software bewertet werden.
  • Übermäßige Handlungsfreiheit: Je mehr Rechte eine KI bekommt (Dateien löschen, E-Mails senden, Systeme ändern), desto größer der mögliche Schaden bei Fehlern oder Manipulation.

Rechtlicher Rahmen: Was gilt für KMU?

Mit der europäischen KI-Verordnung (AI Act) und der DSGVO gibt es klare Leitplanken. Wichtig für den Mittelstand:

  • KI-Kompetenz (Art. 4 KI-VO): Unternehmen, die KI einsetzen, müssen dafür sorgen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen. Diese Pflicht gilt bereits.
  • Verbotene Praktiken sind unabhängig vom Zeitplan der übrigen Regeln untersagt.
  • Hochrisiko-Anwendungen (zum Beispiel KI in der Personalauswahl oder Kreditbewertung): Die Fristen wurden im Rahmen des KI-Omnibus nach hinten verschoben. Das schafft Luft für die Vorbereitung, nimmt die Pflichten aber nicht weg. Aktuelle Termine sollten Sie vor Entscheidungen immer prüfen.
  • DSGVO: Sobald personenbezogene Daten verarbeitet werden, gelten Rechtsgrundlage, Transparenz, Auftragsverarbeitung und gegebenenfalls eine Datenschutz-Folgenabschätzung.

Lokale KI: Datenschutz durch Kontrolle

Immer mehr Unternehmen fragen sich: Müssen unsere Daten wirklich in eine fremde Cloud? Offene Sprachmodelle sind inzwischen so leistungsfähig, dass sie sich auf eigener Hardware oder in der eigenen Infrastruktur betreiben lassen. Das bringt handfeste Vorteile:

  • Datenhoheit: Vertrauliche Daten verlassen das Unternehmen nicht.
  • Datenschutz: Weniger Abhängigkeit von Drittanbietern, einfachere Bewertung von Datenflüssen und Auftragsverarbeitung.
  • Planbarkeit: Keine Preisänderungen oder abgekündigte Dienste, die den Betrieb beeinflussen.
  • Anpassbarkeit: Modelle lassen sich an eigene Dokumente und Prozesse anbinden.

Lokale KI ist allerdings kein Selbstläufer. Es braucht passende Hardware, Know-how für Betrieb und Updates, ein Rechte- und Berechtigungskonzept sowie Absicherung gegen die oben genannten Angriffe. Auch lokale Modelle halluzinieren, und sehr große Spitzenmodelle bleiben meist der Cloud vorbehalten. In der Praxis ist deshalb häufig ein gestufter Ansatz sinnvoll: vertrauliche Aufgaben lokal, unkritische Aufgaben mit Cloud-Diensten – klar geregelt und dokumentiert.

Was KMU jetzt tun sollten

  1. Bestandsaufnahme: Welche KI-Werkzeuge werden im Unternehmen bereits genutzt – offiziell und inoffiziell?
  2. Regeln festlegen: Eine verständliche KI-Richtlinie definiert, was erlaubt ist, welche Daten nie in externe Dienste gehören und wer freigibt.
  3. Anwendungsfälle priorisieren: Mit wenigen, klar nutzenstiftenden Szenarien starten und den Schutzbedarf der Daten bewerten.
  4. Datenschutz und Informationssicherheit einbinden: Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitung, Risikobewertung und gegebenenfalls Datenschutz-Folgenabschätzung früh berücksichtigen.
  5. Mitarbeitende schulen: KI-Kompetenz ist Pflicht und zugleich der wirksamste Schutz gegen Fehlnutzung.
  6. Technisch absichern: Rechte minimieren, Protokolle führen, KI-Zugriffe begrenzen und Ergebnisse bei kritischen Entscheidungen von Menschen prüfen lassen.
  7. Cloud oder lokal bewusst entscheiden: Nach Schutzbedarf, Kosten und Betriebsaufwand – nicht nach Trend.
  8. Regelmäßig überprüfen: Modelle, Regeln und Bedrohungslage ändern sich schnell. Ein jährlicher Check reicht nicht.

Das erwartet Sie in der KI-Werkstatt

In den kommenden Beiträgen berichten wir regelmäßig über:

  • neue Modelle und Technologien – und was sie für den Mittelstand bedeuten
  • praxisnahe Anwendungsfälle aus Verwaltung, Beratung, Produktion und Bildung
  • lokale KI: Hardware, Software, Betrieb und Absicherung
  • Sicherheitsthemen wie Prompt Injection, Schatten-KI und sichere Agenten
  • rechtliche Entwicklungen rund um KI-Verordnung, DSGVO und Standards
  • Einblicke in unsere eigenen Tests und Erfahrungen

Fazit

KI bietet dem Mittelstand echte Chancen – wenn sie bewusst, sicher und mit klaren Regeln eingeführt wird. Wer Chancen und Grenzen kennt, kann entscheiden, wo KI hilft, wo Vorsicht geboten ist und wann sich ein lokaler Betrieb lohnt.

Sie möchten KI in Ihrem Unternehmen einführen oder bestehende Nutzung absichern? Sprechen Sie uns an – wir begleiten Sie von der Bestandsaufnahme über die Richtlinie bis zur technischen Umsetzung, an unseren Standorten und auch online.