KI-Risiken im Unternehmen sicher steuern
Die zentralen Risikoquellen beim Einsatz von KI – und welche Maßnahmen sie begrenzen
Für Geschäftsführung und IT-Leitung im Mittelstand, die KI-Anwendungen im Betrieb einsetzen – jedoch nicht selbst entwickeln.
Reale Schadensfälle durch KI
Wer die genutzten Werkzeuge und eingegebenen Daten nicht kennt, kann die betrieblichen Risiken weder bewerten noch steuern. Dass diese Risiken keine graue Theorie sind, zeigen reale Schadensfälle:
- Air Canada: Die Fluggesellschaft musste 2024 für die Falschauskunft eines Kundenservice-Chatbots einstehen; das zuständige kanadische Tribunal (Civil Resolution Tribunal, British Columbia) wies das Argument zurück, der Chatbot sei eine eigenständige Entität.
- Amtsgericht Köln: Ein Anwalt reichte 2025 einen Schriftsatz mit frei erfundenen, offenbar KI-generierten Urteilen und Fundstellen ein. Das Gericht stellte dies fest und forderte ihn auf, dies künftig zu unterlassen (Az. 312 F 130/25).
- IBM-Studie: Jedes fünfte der von IBM untersuchten Unternehmen meldete eine Datenpanne, die auf nicht freigegebene KI zurückging. Unternehmen mit viel nicht freigegebener KI zahlten pro Datenpanne im Schnitt 670.000 US-Dollar mehr als Unternehmen mit wenig oder keiner (IBM 2025).
Die Schwachstelle liegt selten in der KI-Technologie selbst, sondern in der Organisation des Unternehmens: bei zu weit gefassten Zugriffsrechten, ungeprüften Arbeitsergebnissen und fehlenden Leitplanken. Die rechtlichen Risiken bestehen bereits heute – über die DSGVO, das Geschäftsgeheimnisgesetz, das AGG und für NIS-2-betroffene Betriebe über das BSIG (§§ 30, 38).
KI-Nutzung erfassen. Risiken erkennen. Maßnahmen festlegen.
- KI-Nutzung erfassen: Die Vorlage hält für jede KI-Nutzung fest, welches Werkzeug wer mit welchen Daten nutzt – auch die nicht freigegebenen. Die ausgefüllte Tabelle ist zugleich Ihr KI-Inventar.
- Risiken erkennen: Das Whitepaper ordnet die zentralen Risikoquellen beim Einsatz von KI vier Bereichen zu – Input, Access & Execution, Output und Ecosystem. Die ersten drei Bereiche folgen dem typischen Ablauf eines KI-Einsatzes – von den eingegebenen Informationen über Zugriffe und Handlungen der KI bis zu ihren Ergebnissen. Das Ecosystem bildet das Umfeld aus technischen, organisatorischen und externen Abhängigkeiten. Behandelt werden unter anderem Data Leakage, Indirect Prompt Injection, mangelhafte oder manipulierte Daten, Oversharing, Halluzinationen, Blindes Vertrauen (Automation Bias), Shadow AI (Schatten-KI) und manipulierte KI-Komponenten von Dritten.
- Maßnahmen festlegen: Zu jeder Risikoquelle nennt das Whitepaper empfohlene Maßnahmen. Welche Maßnahme passt, hängt vom einzelnen KI-Einsatz ab.
Welche Fragen das Whitepaper beantwortet
- Welche KI-Werkzeuge werden in Ihrem Unternehmen tatsächlich genutzt – auch ohne Freigabe?
- Welche Risiken entstehen bei der Eingabe von Daten, bei Zugriffen der KI und bei ihren Ergebnissen?
- Mit welchen Maßnahmen begrenzen Sie diese Risiken?
- Welche Rechtspflichten gelten heute schon – etwa nach DSGVO, Geschäftsgeheimnisgesetz, AGG und BSIG –, und welche kommen?
- Wie führen Sie Ihre erste KI-Risikoinventur selbst durch?
Vorlage: Ihre erste KI-Risikoinventur
Die Excel-Vorlage enthält Auswahllisten und die Prüffragen zu jeder Risikoquelle. Jede KI-Nutzung im Unternehmen wird eingetragen – auch die nicht freigegebenen. So gehen Sie vor:
- Sammeln: Die IT-Leitung fragt alle Bereiche, welche KI-Werkzeuge sie nutzen – ausdrücklich auch private und kostenlose. Ergänzend prüft sie vier Fundstellen: Firewall- oder Proxy-Protokolle, das Microsoft-365-Admin-Center (oder die Verwaltung vergleichbarer Plattformen), Browser-Erweiterungen auf den Firmengeräten sowie Spesenabrechnungen und Firmenkreditkarten.
- Eintragen: Für jede KI-Nutzung füllt die IT-Leitung gemeinsam mit dem jeweiligen Bereich eine Zeile aus. Die Prüffragen zeigen, welche Risikoquellen bei dieser KI-Nutzung vorliegen.
- Einschätzen und entscheiden: Die IT-Leitung legt die Einträge mit dem höchsten Risiko der Geschäftsführung vor und empfiehlt Maßnahmen. Die Geschäftsführung entscheidet, welche Maßnahmen umgesetzt werden, und legt fest, wer sie umsetzt.
Whitepaper und Vorlage herunterladen
Kostenlos und ohne Anmeldung.
Ihr nächster Schritt: Schatten-KI-Check mit KI-Inventar
Gemeinsam mit Ihrer IT-Leitung erfasse ich, welche KI-Werkzeuge in Ihrem Unternehmen tatsächlich genutzt werden – auch solche, die niemand freigegeben hat. Das Ergebnis ist ein KI-Inventar: welche Werkzeuge, in welchen Abteilungen, mit welchen Daten. Das KI-Inventar fließt in ein späteres KI-Compliance-Dossier oder KI-Managementsystem ein.
Mehr zur Leistung: Schatten-KI-Check mit KI-Inventar
Über den Autor
Derek Carson – KI-Governance und Informationssicherheit, Künzell bei Fulda. Lead-Implementer-Prüfungen für ISO/IEC 42001 und ISO/IEC 27001 bestanden · ISC2 Certified in Cybersecurity. Mehr über mich
Weiteres Whitepaper: NIS-2 auf Basis von ISO 9001 umsetzen