Das Problem heißt Schatten-KI
In den meisten Büros ist die Frage nicht mehr, ob KI genutzt wird. Die Frage ist, ob Sie davon wissen. Mitarbeiter probieren ChatGPT, Copilot oder ein anderes Werkzeug aus, weil es ihnen bei einer Textaufgabe hilft. Das passiert oft ohne Absprache und ohne dass jemand geprüft hat, welche Daten dabei das Haus verlassen. Diese stille Nutzung nennt man Schatten-KI.
Das ist kein Zeichen von Illoyalität. Es ist ein Zeichen, dass die Werkzeuge nützlich sind und dass klare Regeln fehlen. Ohne Regeln entscheidet jeder Mitarbeiter allein, welche Bürodaten er in ein fremdes System eingibt. Bei einem Planungsbüro sind das schnell Projektunterlagen, Bauherrendaten oder Angebotsdetails. Eine KI-Nutzungsrichtlinie schließt diese Lücke, ohne die nützliche Arbeit zu verbieten.
Warum eine Richtlinie jetzt Pflicht wird
Seit dem 2. Februar 2025 gilt Artikel 4 des EU AI Act. Er verlangt von Anbietern und Betreibern von KI-Systemen, dass ihr Personal und die Personen, die in ihrem Auftrag mit KI arbeiten, über ausreichende KI-Kompetenz verfügen. Das schließt Wissen über Chancen, Risiken und mögliche Schäden ein. Die Aufsicht und Durchsetzung dieser Regeln beginnt nach Angaben der EU-Kommission am 2. August 2026.
KI-Kompetenz entsteht nicht von selbst. Sie brauchen eine schriftliche Grundlage, an der sich Ihr Team orientiert, und einen Nachweis, dass Sie diese Grundlage vermittelt haben. Eine KI-Nutzungsrichtlinie ist genau dieser Nachweis. Parallel gilt die Datenschutz-Grundverordnung weiter: Personenbezogene Daten dürfen nur auf einer Rechtsgrundlage und für einen festgelegten Zweck verarbeitet werden. Wer Bauherrendaten in ein KI-Werkzeug eingibt, verarbeitet solche Daten.
Was in die Richtlinie gehört
Eine gute Richtlinie ist kurz genug, dass sie gelesen wird, und konkret genug, dass sie im Alltag trägt. Diese Bausteine haben sich bewährt:
- <strong>Erlaubte Werkzeuge.</strong> Nennen Sie die Werkzeuge, die freigegeben sind, und die Version oder das Konto, das genutzt werden darf. Alles andere ist bis zur Prüfung gesperrt.
- <strong>Datenklassen.</strong> Legen Sie fest, welche Daten in ein externes Werkzeug dürfen und welche nicht. Öffentliche Normtexte sind unkritisch. Bauherrendaten, Personaldaten und vertrauliche Projektunterlagen gehören in der Regel nicht in ein öffentliches Modell.
- <strong>Zweckbindung.</strong> Beschreiben Sie erlaubte Zwecke, etwa Textentwürfe, Zusammenfassungen oder Recherchehilfe. Machen Sie klar, dass Ergebnisse geprüft werden müssen.
- <strong>Prüfpflicht und Verantwortung.</strong> Halten Sie fest, dass die fachliche Verantwortung beim Menschen bleibt. Ein KI-Entwurf ersetzt keine fachliche Prüfung durch eine qualifizierte Person.
- <strong>Kennzeichnung.</strong> Regeln Sie, ob und wie KI-Nutzung intern dokumentiert wird, zum Beispiel bei Texten, die nach außen gehen.
- <strong>Meldeweg.</strong> Nennen Sie eine Ansprechperson für Fragen und für den Wunsch, ein neues Werkzeug freizugeben.
Der häufigste Fehler
Viele Büros schreiben eine Richtlinie, die nur verbietet. Das treibt die Nutzung zurück in den Schatten. Wenn ein Werkzeug im Alltag hilft und die offizielle Regel es pauschal untersagt, nutzen die Leute es trotzdem, nur diskreter. Besser ist eine Richtlinie, die einen sicheren Weg anbietet: Diese Werkzeuge sind erlaubt, für diese Zwecke, mit diesen Daten. So bekommen Ihre Mitarbeiter eine echte Alternative zur heimlichen Nutzung.
Der zweite häufige Fehler ist, die Richtlinie einmal zu schreiben und dann liegenzulassen. Die Werkzeuge ändern sich schnell. Planen Sie eine kurze Überprüfung ein, etwa halbjährlich, und passen Sie die Liste der erlaubten Werkzeuge an.
Der Weg zur eigenen Infrastruktur
Eine Richtlinie regelt den Umgang mit vorhandenen Werkzeugen. Sie löst aber nicht das Grundproblem, dass sensible Daten in externen Systemen landen. Der sauberere Weg ist eine Infrastruktur, bei der die Daten im Haus bleiben. Dann verschiebt sich die Richtlinie von Verboten hin zu einem klaren Ja: Hier ist das System des Büros, es kennt unsere Unterlagen, und Sie dürfen damit arbeiten.
PhoenixOne entwickelt genau solche Infrastruktur für Planungsbüros, mit geordnetem Zugriff auf das eigene Bürowissen und geregelten Zugriffsrechten. Für den Aufbau gibt es Förderung von bis zu 60 Prozent, gedeckelt bei 60.000 Euro. Bis dahin ist die Richtlinie der pragmatische erste Schritt: Sie schafft Klarheit, erfüllt die Kompetenzpflicht aus dem AI Act und schützt Ihre Daten, ohne die nützliche Arbeit auszubremsen.