ChatGPT im Unternehmen

In den meisten Unternehmen ist ChatGPT bereits im Einsatz. Nicht als strategische Entscheidung, nicht als Ergebnis eines Evaluierungsprozesses, sondern als individueller Reflex. Jemand im Marketing formuliert Texte um. Jemand im Vertrieb lässt sich Gesprächszusammenfassungen schreiben. Jemand in der Rechtsabteilung prüft eine Formulierung. Niemand hat das koordiniert. Es ist einfach passiert.

Das ist keine Ausnahme. Es ist der Regelfall in fast jeder Organisation ab einer gewissen Größe. Die Nutzung beginnt nicht mit einem Pilotprojekt, nicht mit einer Freigabe durch die IT, nicht mit einem Beschluss der Geschäftsführung. Sie beginnt mit einem Browser-Tab.

Die meisten Führungskräfte ahnen, dass es passiert. Die meisten Unternehmen haben trotzdem keine Regelung dafür. Das ergibt eine Situation, die man sich in keinem anderen Bereich der Unternehmensführung erlauben würde: ein Werkzeug, das praktisch jeder nutzt, für das aber niemand verantwortlich ist.

Was tatsächlich passiert

Wenn Mitarbeitende ChatGPT nutzen, tun sie das in der Regel nicht aus Nachlässigkeit oder Bequemlichkeit. Sie tun es, weil das Werkzeug eine spürbare Erleichterung bringt. Ein erster Textentwurf in dreißig Sekunden statt in einer Stunde. Eine Zusammenfassung eines fünfzigseitigen Dokuments in drei Absätzen. Ein Brainstorming-Ergebnis, das als Ausgangspunkt für ein Konzept dient.

Die Anwendungsfälle, die sich in der Praxis durchsetzen, sind dabei überraschend gleichförmig, unabhängig von Branche oder Unternehmensgröße: Texte formulieren oder umformulieren, E-Mails aufbereiten, Präsentationen vorbereiten, Tabellen strukturieren, Recherchen beschleunigen. Es sind keine exotischen Anwendungen. Es sind alltägliche Arbeitssituationen, in denen KI die Reibung reduziert.

Das Problem ist nicht die Nutzung selbst. Das Problem ist, dass sie in einem Raum stattfindet, den die Organisation nicht kennt, nicht versteht und nicht steuert. Es gibt keinen Überblick darüber, wer welches Tool für welchen Zweck verwendet. Es gibt keine Unterscheidung zwischen Anwendungsfällen, die harmlos sind, und solchen, die es nicht sind. Und es gibt keinen Prozess, der klärt, was mit den Daten passiert, die dabei eingegeben werden.

Warum Mitarbeitende nicht fragen

Die naheliegende Frage lautet: Warum sprechen Mitarbeitende nicht mit ihren Vorgesetzten darüber? Die Antwort ist weniger eine Frage von Vertrauen als eine Frage von Struktur.

In vielen Unternehmen gibt es schlicht keinen Ansprechpartner für dieses Thema. Es ist nicht klar, ob die IT zuständig ist, die Rechtsabteilung, der Datenschutzbeauftragte oder die eigene Führungskraft. Und selbst wenn es einen Ansprechpartner gäbe: Die Frage, ob man ein kostenloses Online-Werkzeug für die eigene Textarbeit nutzen darf, fühlt sich nicht wie eine Frage an, die man formal klären muss.

Hinzu kommt ein Effekt, den man aus der Forschung zu Schatten-IT kennt. Menschen umgehen offizielle Strukturen nicht aus Widerstand. Sie tun es, weil die offiziellen Strukturen keine Antwort auf ihr Bedürfnis haben. Solange ein Unternehmen keinen klar definierten Rahmen bietet, in dem KI genutzt werden kann, werden Mitarbeitende eigene Wege finden. Die Hürde liegt heute bei null: kein Download, keine Installation, kein Lizenzantrag. Ein Browser-Tab reicht.

In der Praxis zeigen zahlreiche Befragungen das gleiche Bild: Ein erheblicher Teil der Büroangestellten nutzt generative KI am Arbeitsplatz. Viele davon geben an, diese Nutzung gegenüber dem Arbeitgeber nicht offenzulegen. Nicht aus böser Absicht, sondern weil es keinen Anlass gibt, es zu tun.

Was mit den Daten passiert

Die meisten Mitarbeitenden nutzen die kostenlose Version von ChatGPT oder günstige persönliche Accounts. Das bedeutet: Die Eingaben fließen in ein System, das von einem US-amerikanischen Unternehmen betrieben wird, dessen Nutzungsbedingungen sich regelmäßig ändern und das sich in bestimmten Versionen das Recht vorbehält, Eingaben zur Verbesserung des Dienstes zu verwenden.

In der Praxis heißt das: Kundendaten, interne Strategiepapiere, Vertragsentwürfe, Personaldaten, Produktinformationen oder auch nur informelle Gesprächsnotizen können in ein System gelangen, über das das Unternehmen keinerlei Kontrolle hat. Es gibt keinen Auftragsverarbeitungsvertrag. Es gibt keine Garantie, dass die Daten nicht für Trainingszwecke verwendet werden. Und es gibt keine Möglichkeit, sie nachträglich zu löschen.

Für Unternehmen, die der DSGVO unterliegen, ist das ein konkretes rechtliches Risiko. Für Unternehmen in regulierten Branchen wie Finanzdienstleistungen, Gesundheitswesen oder Energie kann es existenzbedrohend sein. Aber selbst abseits der Regulierung gilt: Wer nicht weiß, welche Daten das Unternehmen verlassen, kann nicht beurteilen, welches Risiko er eingeht.

Warum Verbote das Problem nicht lösen

Die erste Reaktion vieler Unternehmen ist ein Verbot. Samsung, Apple, JPMorgan und andere haben den Zugang zu ChatGPT für Mitarbeitende zeitweise eingeschränkt oder ganz gesperrt. Der Hintergrund war in fast allen Fällen ein konkreter Vorfall: sensible Daten, die in das System eingegeben wurden.

Verbote sind nachvollziehbar. Aber sie lösen das zugrunde liegende Problem nicht. Erstens, weil sie schwer durchzusetzen sind. ChatGPT läuft im Browser, auf privaten Geräten, über mobile Netze. Zweitens, weil sie die Nutzung nicht beenden, sondern nur unsichtbar machen. Und drittens, weil sie die produktive Seite der Technologie ignorieren.

Unternehmen, die KI vollständig verbieten, verlieren nicht nur an Effizienz. Sie verlieren auch die Möglichkeit, den Umgang mit KI aktiv zu gestalten. Denn die Alternative zu einem Verbot ist nicht Chaos. Die Alternative ist ein Rahmen, der Nutzung ermöglicht, ohne die Organisation zu gefährden.

Warum das organisatorisch relevant wird

Solange einzelne Personen KI für ihre persönliche Arbeitsvorbereitung nutzen, bleibt die Wirkung begrenzt. Aber dieser Zustand hält nicht lange an. KI-generierte Inhalte fließen in Angebote, in Berichte, in Entscheidungsvorlagen, in die Kundenkommunikation. Ab diesem Punkt arbeitet die gesamte Organisation mit Ergebnissen, deren Herkunft unklar ist.

Das betrifft nicht nur den Datenschutz. Es betrifft die Qualität der Arbeit. Wer hat den Text geprüft? Auf welcher Grundlage wurde die Analyse erstellt? Stimmen die Zahlen, die Zusammenfassung, die Empfehlung? Woher kommt die Formulierung in der E-Mail an den Kunden?

Diese Fragen werden selten gestellt, solange keine Richtlinie existiert, die sie verlangt. Aber das Fehlen einer Richtlinie bedeutet nicht, dass es kein Risiko gibt. Es bedeutet, dass das Risiko unsichtbar bleibt.

Ab Februar 2025 verlangt der EU AI Act zudem, dass alle Personen, die KI-Systeme nutzen oder betreiben, über ausreichende KI-Kompetenz verfügen. Das betrifft nicht nur die IT-Abteilung. Es betrifft jede Person, die ChatGPT im Arbeitsalltag öffnet.

Welche Fragen sich stellen

Unternehmen, die dieses Thema ernst nehmen, stehen vor einer Reihe von Fragen, die nicht technisch, sondern organisatorisch sind.

Wer entscheidet, welche KI-Werkzeuge erlaubt sind und welche nicht? Gibt es einen Überblick darüber, was tatsächlich genutzt wird? Welche Daten dürfen in externe Systeme eingegeben werden, welche nicht? Was passiert, wenn ein KI-generiertes Ergebnis fehlerhaft ist und Schaden verursacht? Wer trägt die Verantwortung: die Person, die das Werkzeug genutzt hat, die Abteilung, die keine Regeln aufgestellt hat, oder die Geschäftsführung, die das Thema nicht adressiert hat?

Und zuletzt: Wie stellt man sicher, dass Mitarbeitende KI kompetent und verantwortungsvoll einsetzen, wenn es weder Schulungen noch definierte Qualitätsstandards gibt?

Das sind keine theoretischen Fragen. Es sind Fragen, die sich aus dem aktuellen Zustand in fast jedem Unternehmen ergeben.

Von Einzelnutzung zu organisatorischer Einordnung

Der Übergang von individueller KI-Nutzung zu einem organisatorischen Umgang ist keine technische Migration. Es ist eine Veränderung der Perspektive. Statt zu fragen, welches Tool das beste ist, geht es darum zu verstehen, wie KI in bestehende Abläufe, Verantwortlichkeiten und Qualitätsstandards eingebettet werden kann.

Das erfordert keine umfassende KI-Strategie, die ein halbes Jahr Beratung kostet. Es erfordert zunächst drei Dinge: Sichtbarkeit darüber, was gerade passiert. Klarheit darüber, was erlaubt ist und was nicht. Und eine Stelle, die für das Thema verantwortlich ist.

Das klingt bescheiden. Aber in der Praxis fehlt genau das in den meisten Organisationen. Und ohne diese Grundlage bleibt jede weitere Maßnahme wirkungslos.

Kein Technologieproblem

Die verbreitete Fehleinschätzung bei diesem Thema lautet: Es ist ein IT-Problem. Tatsächlich ist es ein Organisationsproblem. Die IT kann Tools sperren oder freigeben. Aber die Frage, wie KI die Arbeit verändert, wer dafür Verantwortung trägt und welche Qualitätsstandards gelten, kann die IT nicht beantworten. Das ist eine Aufgabe für Fachabteilungen, Führungskräfte, HR, Recht und Kommunikation.

Die Unternehmen, die dieses Thema am besten bewältigen, sind nicht diejenigen mit der besten Technologie. Es sind diejenigen, die am frühesten verstanden haben, dass die Frage nicht lautet, ob KI genutzt wird, sondern unter welchen Bedingungen.

Es gibt Plattformen, wie PANTA OS, die genau dieses Problem adressieren: Lösungen für die Operationalisierung von KI in Organisationen. Sie schaffen Struktur dort, wo heute Einzelentscheidungen dominieren, beim Zugang, bei der Nutzung, bei Qualität und Nachvollziehbarkeit.