Warum brauchen generative KI-Tools eigene Nutzungsrichtlinien?
Generative Werkzeuge erzeugen neue Texte, Bilder, Audiodateien oder Code, statt vorhandene Informationen nur abzurufen oder zu sortieren. Dadurch verlagert sich das Hauptrisiko von der Eingabe auf die Ausgabe. Ein Suchwerkzeug liefert Seiten, die Sie prüfen können. Ein generatives Werkzeug liefert einen selbstsicher formulierten Entwurf, der erfundene Fakten, übernommene Formulierungen oder eine einseitige Darstellung enthalten kann. Eine Richtlinie muss beide Richtungen abdecken.
Das NIST-Profil für generative KI führt zwölf Risiken auf, die speziell bei generativer KI auftreten oder durch sie verstärkt werden. Für ein gewöhnliches kleines Unternehmen sind fünf davon für eine Richtlinie besonders relevant: Halluzinationen (falsche Inhalte, die mit großer Sicherheit als wahr dargestellt werden), Datenschutz (Datenabfluss oder unbefugte Offenlegung), geistiges Eigentum (Nachbildung geschützter Inhalte oder Offenlegung von Geschäftsgeheimnissen), Informationsintegrität (Inhalte, die Fakten nicht von Meinungen trennen oder Unsicherheit nicht kenntlich machen) und das, was NIST als Mensch-KI-Konfiguration bezeichnet. Letzteres umfasst Automatisierungsbias und übermäßiges Vertrauen.
Sie können diese Regeln im selben Dokument wie Ihre Regeln zur zulässigen Nutzung festhalten. Viele kleine Unternehmen tun das. Diese Seite konzentriert sich auf die inhaltsspezifischen Regelungen. Sie bietet allgemeine Informationen, keine Rechtsberatung.
| Risiko im NIST-Profil | Wie das im Arbeitsalltag aussieht | Richtlinienbestimmung, die den Sachverhalt regelt |
|---|---|---|
| Konfabulation | Eine erfundene Statistik oder ein Verweis auf eine Seite, die die Aussage nicht enthält | Jede Tatsachenbehauptung vor der Verwendung anhand einer geöffneten Quelle prüfen |
| Datenschutz | Die Kontaktliste eines Kunden, eingefügt zum Entwerfen einer Serien-E-Mail | Informationsklassen mit zugeordneten freigegebenen Konten |
| Geistiges Eigentum | Ein Bild im wiedererkennbaren Stil eines Künstlers oder Code, der aus einem lizenzierten Projekt kopiert wurde | Regeln für Stil-Anweisungen, Wiederverwendung und Lizenzprüfungen |
| Informationsintegrität | Eine Zusammenfassung, die eine Vermutung als Tatsache darstellt | Verlangen Sie, dass Unsicherheiten auch in geprüften Entwürfen sichtbar bleiben |
| Übermäßiges Vertrauen | Eine generierte Analyse übernehmen, ohne die Daten zu lesen | Benennen Sie Entscheidungen, die bei einem Menschen bleiben |
Was sollte eine ChatGPT-Richtlinie für Beschäftigte festlegen?
Eine ChatGPT-Richtlinie für Beschäftigte sollte festlegen, welches Konto zu verwenden ist, was niemals in eine Eingabeaufforderung gehört, wie die Antwort zu prüfen ist und an wen man sich bei Fragen wendet. Dieselben Regeln sollten für Claude, Gemini, Copilot und ähnliche Assistenten gelten. Zur Klarstellung kann im Titel ein einzelnes Produkt genannt werden. Formulieren Sie die Regeln aber so, dass sie nicht neu geschrieben werden müssen, wenn das Team ein weiteres Tool hinzunimmt.
Die wichtigste Unterscheidung ist die zwischen privaten und Unternehmenskonten. Privatkunden- und Geschäftskundentarife desselben Assistenten können unterschiedliche Bedingungen für Training, Aufbewahrung und Administrationsrechte haben. Die Dokumentation von Microsoft besagt beispielsweise, dass die Nutzung von Copilot Chat durch Organisationen unter den Datenschutz-Nachtrag fällt und dass Eingaben und Antworten nicht zum Training von Basismodellen verwendet werden. Die Kontrollmöglichkeiten unterscheiden sich je nach Tarif. Halten Sie die entsprechende Aussage für jedes von Ihnen freigegebene Werkzeug zusammen mit dem Prüfdatum fest, statt sie einfach vorauszusetzen.
Musterklausel: "Nutzen Sie [Assistent] ausschließlich über Ihr Geschäftskonto bei [Unternehmen]. Nutzen Sie für betriebliche Aufgaben kein privates Konto, auch nicht für eine kurze Frage, da private Konten nicht unter unsere Vereinbarung mit dem Anbieter fallen."
Was sollten Mitarbeitende niemals in eine Eingabe für generative KI aufnehmen?
Mitarbeitende sollten niemals Passwörter, Schlüssel oder andere Geheimnisse in eine Eingabe aufnehmen. Vertrauliche Informationen, Kundeninformationen oder personenbezogene Daten sollten sie nur eingeben, wenn ein freigegebener Arbeitsablauf dies erlaubt. Die Hinweise des britischen National Cyber Security Centre machen deutlich, dass eine Anfrage für die Organisation sichtbar ist, die das Modell bereitstellt. Sie empfehlen, keine Anfragen zu übermitteln, deren Veröffentlichung Probleme verursachen würde.
Hochgeladene Dateien zählen als Prompts. Eine Tabelle, die Sie für die Erstellung eines Diagramms anhängen, enthält sämtliche Spalten – auch solche, die für die Frage nicht benötigt werden. Eine Richtlinienvorgabe wie "Entfernen Sie vor dem Hochladen alle nicht benötigten Spalten" lässt sich leicht befolgen und verhindert ein häufiges Versehen.
Beispielklausel: "Entfernen Sie vor dem Einfügen oder Hochladen alles, was für die Aufgabe nicht benötigt wird. Geben Sie niemals Geheimnisse an. Geben Sie keine Kundeninformationen oder personenbezogenen Daten an, es sei denn, das Verzeichnis gibt dieses Tool und diese Aufgabe dafür frei. Wenn Sie unsicher sind, fragen Sie zuerst [verantwortliche Person]."
Wie sollten generierte Inhalte vor der Verwendung geprüft werden?
Generierte Inhalte sollten entsprechend ihrem Verwendungszweck geprüft werden: Bei einer privaten Ideensammlung genügt ein kurzer Blick, bei einem Arbeitsergebnis für Kunden muss jede Aussage nachvollziehbar belegt sein, und alles mit rechtlichem, finanziellem oder sicherheitsbezogenem Inhalt muss von einer qualifizierten Person geprüft werden. Die Richtlinie sollte für jede Art von Ergebnis festlegen, wer die Prüfung übernimmt – in der Regel die Person, die es versendet oder veröffentlicht.
Ein durchgearbeitetes Beispiel aus der fiktiven Personalberatung Fenwick Talent mit 15 Beschäftigten. Ein Berater gibt folgenden Prompt ein: "Schreiben Sie für Finanzleiter einen Marktüberblick mit 150 Wörtern zur Einstellung von Fachkräften für das interne Rechnungswesen in Leeds." Der Entwurf behauptet, die Nachfrage sei in diesem Jahr stark gestiegen und die Gehälter seien um einen bestimmten Prozentsatz gestiegen. Als Quelle nennt er eine konkrete Gehaltsstudie. Der Berater kann weder die Studie noch die Zahl finden.
Schwaches Ergebnis, unverändert übernommen: „Die Nachfrage nach Fachkräften im internen Rechnungswesen in Leeds ist in diesem Jahr stark gestiegen. Laut [Umfrage] sind die Gehälter um [Wert] gestiegen.“ Überarbeitete Fassung: „Bei den Stellen, die wir in diesem Quartal besetzt haben, fragten Finanzleitungen am häufigsten nach Kündigungsfristen und Regelungen für hybrides Arbeiten. Wir beobachten mehr Gegenangebote in der Angebotsphase.“ Die überarbeitete Fassung verwendet nur das, was Fenwick selbst beobachtet hat. Die Richtlinienklausel hinter der Änderung: „Entfernen Sie alle Statistiken, Umfragen oder Ergebnisse, die Sie nicht aufrufen und bestätigen können.“
Möchten Sie sehen, wie das mit einer bestimmten Rolle zusammenhängt?
Geplante Testphase für Teams entdecken ↗Wann sollten Mitarbeitende offenlegen, dass Inhalte mit KI erstellt wurden?
Beschäftigte sollten die prüfende Person zumindest darüber informieren, wenn ein Entwurf zu wesentlichen Teilen KI-generiert wurde, und alle Kundenverträge, Plattformregeln oder Veröffentlichungsvorgaben einhalten, die eine Offenlegung verlangen. Darüber hinaus entscheidet das Unternehmen abhängig von Zielgruppe und Kontext über die Offenlegung.
Öffentlich zugängliche Beispiele unterscheiden sich. Die im Mai 2023 veröffentlichten vorläufigen Leitlinien der Stadt Boston fordern Beschäftigte auf, die Nutzung von KI offenzulegen und das verwendete Modell anzugeben. Als Quellenhinweis schlagen sie etwa vor: "Diese Beschreibung wurde von ChatGPT 3.5 erstellt und bearbeitet von", gefolgt vom Namen der bearbeitenden Person. Das passt zu einer öffentlichen Einrichtung. Eine kleine Agentur kann entscheiden, dass bei gewöhnlichen Texten eine interne Offenlegung gegenüber der prüfenden Person ausreicht, während generierte Bilder oder synthetische Stimmen nach außen gekennzeichnet werden.
Musterklausel: "Informieren Sie die prüfende Person, wenn ein wesentlicher Teil eines Entwurfs von KI erstellt wurde. Kennzeichnen Sie KI-generierte Bilder, Audio- oder Videoinhalte, die sich an Kunden richten, mit [Formulierung]. Befolgen Sie alle Kundenvorgaben zur KI-Nutzung; diese haben Vorrang vor dieser Klausel."
Wie sollte eine Richtlinie für generative KI mit Urheberrecht und Bildern umgehen?
Die Richtlinie sollte Beschäftigten das absichtliche Reproduzieren geschützter Werke untersagen, Lizenzprüfungen vor der Weiterverwendung generierten Codes oder generierter Inhalte verlangen und generierte Bilder oder Stimmen realer Personen ohne deren Einwilligung verbieten. Das NIST-Profil nennt als Risiken generativer KI unter anderem die erleichterte Vervielfältigung urheberrechtlich geschützter, markenrechtlich geschützter oder lizenzierter Inhalte sowie die erleichterte Offenlegung von Geschäftsgeheimnissen.
Das Urheberrecht für KI-generiertes Material unterscheidet sich je nach Land und entwickelt sich noch weiter. Die Richtlinie sollte daher nicht zusichern, dass das Unternehmen an jedem generierten Ergebnis die Rechte besitzt oder diese registrieren lassen kann. Sie sollte festlegen, wie das Unternehmen mit Unsicherheit umgeht: Generierte Bilder können beispielsweise frei für interne Entwürfe verwendet werden. Alles, was für eine Kundenkampagne bestimmt ist, wird jedoch zunächst anhand der Lizenzbedingungen des Tools und der Vorgaben des Kunden geprüft.
Musterklauseln: "Fordern Sie keine Inhalte im Stil eines namentlich genannten lebenden Künstlers oder einer Marke an und bitten Sie ein Tool nicht, urheberrechtlich geschützte Texte wiederzugeben. Erstellen Sie keine Bilder, Audio- oder Videoaufnahmen einer realen Person ohne deren schriftliche Einwilligung. Prüfen Sie die Bedingungen des Tools für die kommerzielle Nutzung, bevor Sie generierte Inhalte in Kundenprojekten einsetzen." Lassen Sie sich zur Rechtslage in Ihrem Land beraten.
Welche Entscheidungen sollten bei einem Menschen bleiben?
Entscheidungen mit erheblichen Auswirkungen auf eine Person, etwa zu Einstellung, Vergütung, Leistung, Kreditvergabe, Beschwerden sowie allem, was Gesundheit oder Sicherheit betrifft, sollten bei einer namentlich benannten Person bleiben, die die zugrunde liegenden Informationen prüft. Generative Tools können bei der Vorbereitung dieser Entscheidungen helfen, indem sie Entwürfe erstellen, Informationen strukturieren oder zusammenfassen; sie sollten die Entscheidungen nicht selbst treffen.
Das Risikoprofil von NIST beschreibt Automatisierungsbias und übermäßiges Vertrauen als Teil des Risikos im Zusammenspiel von Mensch und KI. Eine Richtlinie wirkt dem mit einer einfachen Prüfung entgegen: Die entscheidende Person muss die Entscheidung erklären können, ohne sich auf die Aussage des Tools zu berufen. Wenn personenbezogene Daten betroffen sind, ist der Leitfaden des ICO zu KI und Datenschutz die offizielle Referenz im Vereinigten Königreich; auf den zugehörigen Seiten steht derzeit, dass der Leitfaden nach Verabschiedung des Gesetzes zur Datennutzung und zum Datenzugang überprüft wird.
Wann ist eine Richtlinie für generative KI das falsche Mittel?
Eine an Beschäftigte gerichtete Richtlinie für generative KI reicht nicht aus, wenn Sie generative Funktionen in ein Produkt einbauen, Modelle mit Kundendaten nachtrainieren oder einen Chatbot einsetzen, der in Ihrem Namen mit der Öffentlichkeit kommuniziert. Dafür sind Prüfungen durch Produktverantwortliche sowie Sicherheits- und Rechtsfachleute erforderlich, die weit über Regeln für Beschäftigte hinausgehen.
Es kann auch die praktische Übung nicht ersetzen. Zu wissen, dass ein Entwurf eine erfundene Zahl enthalten könnte, ist etwas anderes, als sie unter Zeitdruck zu erkennen. Tosheo.ai wird für diesen Übungsschritt entwickelt: In den geplanten rollenspezifischen Lernpfaden endet jede Lektion mit einer praktischen Aufgabe in einem echten KI-Tool, die anhand eines einsehbaren Bewertungsrasters benotet wird. Tosheo.ai erstellt Ihre Richtlinie nicht und setzt sie auch nicht durch.
Quellen und Geltungsbereich
NIST, Risikoprofil für generative KI (NIST KI 600-1), Juli 2024 ↗
NCSC, ChatGPT und große Sprachmodelle: Welche Risiken gibt es?, 14 March 2023 ↗
Stadt Boston, Vorläufige Richtlinien für den Einsatz generativer KI, Version 1.1, 18 May 2023 ↗
ICO, Leitfaden zu KI und Datenschutz (wird überarbeitet), geprüft am 16 October 2026 ↗