Auf die Frage, wie man verhindert, dass Firmendaten in ChatGPT landen, gibt es inzwischen eine Standardantwort. Sie geht so: KI-Domains auf die Blockliste, SASE-Regel scharf, bei Copilot die Tenant-Restrictions setzen, Enterprise-Header erzwingen, Mitarbeiter schulen. Am Ende der Liste steht meistens ein Angebot für die passende Endpoint-Suite.
Technisch ist daran nichts falsch. Ich würde die meisten dieser Maßnahmen selbst setzen. Als Antwort auf das Problem ist es trotzdem zu kurz gesprungen — aus einem Grund, den jeder kennt, der schon einmal ein Verbot in einem Unternehmen durchgesetzt hat.
Das ist der Teil, der in den Sperrlisten-Artikeln fehlt. Shadow-KI entsteht nicht aus Nachlässigkeit. Sie entsteht, weil jemand um 16:40 Uhr ein Angebot fertig haben muss und das Werkzeug auf dem Tisch liegt.
Wer das wegnimmt, ohne etwas Gleichwertiges hinzustellen, löst nichts auf. Er verschiebt es. Das Dokument geht dann eben über das private Handy, den privaten Laptop im Homeoffice, den Account der Schwester — genau dorthin, wo weder Protokollierung noch Datenschutz noch irgendeine Aufsicht hinreicht.
Der Kern des Problems: Das Risiko ist nach der Sperre nicht kleiner geworden. Es ist unsichtbar geworden. Und unsichtbare Risiken sind die teureren — weil sie erst auffallen, wenn jemand von außen darauf zeigt.
Ein Verbot ohne Alternative ist keine Kontrolle. Es ist der Verzicht auf Kontrolle, verbunden mit der Hoffnung, dass es keiner merkt.
Die belastbare Antwort hat drei Teile. Der mittlere ist der, der meistens fehlt.
| Ebene | Aufgabe | Was passiert, wenn sie fehlt |
|---|---|---|
| Sperren | Öffentliche Endpunkte für Firmendaten dichtmachen | Daten fließen offen ab — die Hygiene-Ebene, hier hat die Endpoint-Fraktion recht |
| Bereitstellen | Interne KI, die gut genug für die tägliche Arbeit ist | Die Sperre wird zur Umleitung: Shadow-KI auf privaten Geräten |
| Regeln | Wer darf was, mit welchen Daten — und wie weist man es nach | Das nächste Audit findet einen Betrieb ohne Nachweiskette |
Sperren: ja, weiterhin. Öffentliche Endpunkte haben mit Firmendaten nichts zu tun.
Bereitstellen: eine interne KI, die gut genug ist, dass niemand mehr zum privaten Account greift. Nicht ein Feigenblatt-Chatbot, der nach drei Fragen aufgibt — sondern ein Modell, das die Arbeit tatsächlich macht. Diese Ebene entscheidet, ob die erste funktioniert.
Regeln: EU AI Act und ISO 42001 sind keine Zukunftsmusik mehr, und NIS2 fragt ohnehin schon nach der Nachweiskette. Wer die zweite Ebene baut, ohne die dritte mitzudenken, hat sich das nächste Audit-Problem selbst hingestellt.
Das ist der Punkt, an dem Verkaufsgespräche üblicherweise vage werden. Deshalb konkret, aus dem eigenen Betrieb:
Offene Modelle sind seit gut einem Jahr an dem Punkt, an dem sie für den Alltag reichen — Zusammenfassen, Entwürfe, Code, Auswertungen. Nicht für alles, aber für das meiste. Die Hardware dafür ist keine Rechenzentrumsfrage mehr: eine Maschine im eigenen Rack trägt ein produktives Modell für ein Team, ohne dass ein einziges Token das Haus verlässt. Was das kostet und wo die Grenze zwischen Bastelei und Produktivbetrieb verläuft, steht in Lokale KI für KMUs.
Davor gehört ein Router, der die Modelle austauschbar macht — sonst steht man in achtzehn Monaten wieder am Anfang. Dahinter Protokollierung, damit die dritte Ebene überhaupt etwas zum Nachweisen hat. Und ein Zugang, der sich anfühlt wie das, was die Leute schon kennen. Sonst gewinnt wieder das Handy.
Ich betreibe das selbst, nicht als Referenzarchitektur auf einer Folie. Genau deshalb weiß ich auch, wo es unangenehm wird: beim Modellwechsel, bei der Frage, wer die Kiste nachts wieder hochfährt, und bei der ehrlichen Einordnung, was so ein Modell eben nicht kann. Wer Ihnen das nicht sagt, hat es nicht betrieben.
Der Streit ist nicht „Cloud gegen On-Premises". Er ist: Kontrolle über die eigenen Daten behalten, ohne den Leuten das Werkzeug wegzunehmen, mit dem sie ihre Arbeit machen.
Sperren allein erreicht das nicht. Es erzeugt nur eine Firma, in der alle so tun, als benutzten sie keine KI.
Die erste Ebene lässt sich in einer Firewall-Regel nachlesen. Die dritte nicht. Der NIS2-Check und der EU-AI-Act-Check zeigen in wenigen Minuten, welche der drei Ebenen bei Ihnen belegbar ist — und welche Sie gerade nur annehmen.