ChatGPT ohne Regeln im KMU: So verhinderst Du Schatten-KI und schützt Geschäftsdaten
Pascal BornerIn fast jedem Schweizer KMU nutzen Mitarbeitende bereits ChatGPT, oft über private Konten und mit sensiblen Kunden- oder Finanzdaten. Reine Verbote bewirken nur, dass die Nutzung im Verborgenen stattfindet (Schatten-KI). Die Lösung besteht nicht im Blockieren, sondern im Bereitstellen einer datenschutzkonformen Plattform mit europäischer Datenhaltung ohne Modell-Training und fünf klaren, verbindlichen Spielregeln.
- Mitarbeitende nutzen ChatGPT auf privaten Handys oder über private Gmail-Adressen während der Arbeitszeit.
- Niemand in der Geschäftsleitung weiss verlässlich, ob Kundenlisten, Offerten oder HR-Notizen in KI-Tools hochgeladen werden.
- Es gibt im Betrieb keine schriftliche KI-Richtlinie, die festlegt, was erlaubt ist und was verboten bleibt.
- Ihr zahlt einzelne Kreditkarten-Abrechnungen für ChatGPT Plus, ohne zentrale Benutzerverwaltung oder Verträge.
- Das Team würde gerne mehr mit KI automatisieren, hat aber Angst vor rechtlichen Fehlern oder Datenschutzverstössen.
Die Realität: Deine Mitarbeitenden nutzen KI bereits
Studien und Praxiserfahrungen zeigen: In über 80 % der Schweizer Unternehmen wird generative KI genutzt. Wenn das Unternehmen keine offiziellen Werkzeuge bereitstellt, greifen Mitarbeitende auf private Zugänge zurück. Texte korrigieren, E-Mails formulieren, lange Offerten zusammenfassen: Der Produktivitätsgewinn ist zu gross, als dass ein Team freiwillig darauf verzichten würde.
Warum Verbote der gefährlichste Weg sind
Manche Geschäftsleitungen reagieren auf Datenschutzbedenken mit einem pauschalen Verbot von ChatGPT auf Firmen-Laptops. Die Folge ist immer dieselbe: Die Nutzung verlagert sich auf Privathandys oder Heimarbeitsplätze. Das Risiko steigt massiv, weil sensible Geschäftsgeheimnisse, Personaldaten und vertrauliche Kundeninformationen völlig unkontrolliert in fremden Systemen landen. Ein Verbot schafft keine Sicherheit, sondern blinde Flecken.
Die 3 grössten Gefahren von Schatten-KI
- Verstoss gegen das Schweizer Datenschutzgesetz (revDSG): Gelangen geschützte Personendaten von Kunden oder Angestellten über ungesicherte US-Dienste an Dritte, drohen dem Unternehmen Reputationsschäden und der Geschäftsleitung persönliche Bussen.
- Abfluss von Geschäftsgeheimnissen: Wer interne Kalkulationen, Quellcodes oder Strategiepapiere in öffentliche Tools einspeist, riskiert, dass dieses Wissen in Antworten für Dritte wieder auftaucht.
- Kein Know-how-Transfer im Team: Wenn jeder für sich im stillen Kämmerlein experimentiert, profitiert das Unternehmen nicht als Ganzes. Gelingt einem Mitarbeitenden ein genialer Workflow, bleibt er sein privates Geheimnis.
In 4 Schritten von Schatten-KI zu sicherer Produktivität
- Sichere Plattform statt privater Wildwuchs: Stellt dem Team eine datenschutzkonforme Unternehmensplattform zur Verfügung (z.B. Langdock). Diese bietet Zugang zu führenden Modellen wie Claude, GPT und Gemini, garantiert europäische Datenhaltung und nutzt Eure Daten garantiert nicht zum Training.
- Die 5-Punkte-KI-Richtlinie auf einer Seite: Schreibt klare, pragmatische Regeln: Was darf rein (z.B. Textentwürfe, Brainstorming, Code-Snippets)? Was ist tabu (z.B. Passwörter, sensible Gesundheitsdaten, unanonymisierte Kundenakten)?
- Zentrales Rechtemanagement: Bindet die Plattform an Euren Microsoft 365 Tenant an. Scheidet ein Mitarbeitender aus, erlischt der KI-Zugang automatisch.
- Praxis-Workshops für echte Kernprozesse: Zeigt den Mitarbeitenden, wie sie KI für konkrete repetitive Abläufe einsetzen: Protokolle zusammenfassen, Kundenanfragen vorformulieren oder Dokumente analysieren.
Treuhand- und Beratungsgesellschaft im Kanton Zürich, 22 Mitarbeitende. Das Team nutzte heimlich private ChatGPT-Konten zur Analyse von Kundenverträgen und Steuerfragen, aus Sorge, sonst den Anschluss an moderne Methoden zu verlieren.
Einführung von Langdock als zentrale, DSG-konforme KI-Plattform mit Microsoft-Login und Schweizer/europäischer Datenhaltung. Ergänzung durch eine einseitige KI-Richtlinie und eine zweistündige Praxisschulung. Schatten-KI wurde vollständig eliminiert, und das Team spart heute pro Woche rund 4 Stunden Routinearbeit pro Person ein.
Mit unserer Leistung KI-Kompetenz bringen wir generative KI sicher und produktiv in Dein KMU. Wir richten eine datenschutzkonforme Plattform ein, erstellen massgeschneiderte Spielregeln für Dein Team und trainieren Deine Mitarbeitenden anhand konkreter Use Cases aus Eurem echten Geschäftsalltag.
Häufige Fragen zum Thema
Ist Langdock konform mit dem Schweizer Datenschutzgesetz (revDSG)?+
Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Bei Verstössen drohen Geschäftsleitungsmitgliedern persönliche Bussen von bis zu CHF 250'000. Wer künstliche Intelligenz im Betrieb einführt, muss daher glasklar belegen können, wo Kundendaten verarbeitet werden und ob die Anbieter rechtskonform agieren.
In diesem Leitfaden klären wir die entscheidenden Rechtsfragen rund um den Einsatz von Langdock in Schweizer Betrieben.
Die wichtigsten Pfeiler der revDSG-Konformität bei Langdock
Langdock wurde von Grund auf für Unternehmen im europäischen Rechtsraum konzipiert. Für Schweizer Betriebe greifen mehrere entscheidende Schutzmechanismen:
- Europäischer Serverstandort: Das Hosting der Plattform erfolgt auf Microsoft Azure Rechenzentren innerhalb der Europäischen Union (in Deutschland). Der Bund stuft die EU offiziell als Staat mit angemessenem Datenschutzniveau ein.
- Keine US-Holding mehr (Reverse Flip): Durch die Umwandlung der Muttergesellschaft in eine deutsche SE (Societas Europaea) besteht kein Durchgriff nach US-Recht (wie dem US Cloud Act).
- Zero Data Retention (Kein Modelltraining): Weder Langdock noch die angebundenen Modellanbieter (OpenAI, Anthropic, Google, Mistral) nutzen deine Unternehmensdaten oder Prompts zum Training ihrer KI-Modelle.
- Auftragsdatenverarbeitung (AVV): Schweizer Kunden schliessen mit Langdock eine standardisierte Vereinbarung zur Auftragsdatenverarbeitung ab, die den strengen Vorgaben des revDSG und der DSGVO voll entspricht.
Welche Daten dürfen in Langdock verarbeitet werden?
Dank der enterprise-tauglichen Verschlüsselung und Rechtestruktur können Schweizer KMU vielfältige Datenbestände sicher analysieren:
- Interne Dokumente, Richtlinien, Verträge und Protokolle
- Kunden- und Lieferantenkorrespondenz
- Technische Pläne, Angebote und Produktspezifikationen
Für besonders schützenswerte Personendaten (z. B. Gesundheitsdaten oder strafrechtliche Daten) empfiehlt sich eine vorgängige Anonymisierung oder Pseudonymisierung durch entsprechende Prompt-Regeln.
Fazit: Rechtssicherheit ohne Innovationsbremse
Mit Langdock müssen Schweizer Geschäftsführer keine Angst vor Datenschutzbussen haben. Die Plattform bietet das höchste Sicherheitsniveau im KMU-Markt und ermöglicht den produktiven KI-Einsatz mit gutem Gewissen.
Pascal Borner ist Geschäftsführer von BeeBase und begleitet Schweizer KMU als verlässlicher Partner in der IT-Transformation.
Nino Lanfranchi ist Geschäftsführer von BeeBase und begleitet Schweizer KMU bei Infrastruktur und Betrieb ihrer IT.