Generative KI sicher nutzen: Spickzettel für Mitarbeitende

• Nur eingeben, was die Aufgabe braucht: Personenbezogene Daten sind auf das notwendige Maß zu beschränken (Art. 5 Abs. 1 lit. c DSGVO); das BSI rät zu sparsamem Umgang mit sensiblen Daten (M18).
• Platzhalter wie [Kunde A] statt Namen. Lässt sich der Bezug mit zusätzlichen Informationen wiederherstellen, bleiben die Daten personenbezogen (Erwägungsgrund 26 DSGVO).
• Uploads zählen wie Eingaben (BSI R2); das Modell liest auch Metadaten, Anmerkungen und Kommentare (BSI, Basisschutz), Text in Screenshots und unter Schwärzungsbalken im PDF (OWASP LLM02:2026).

Das BSI empfiehlt, verbindlich festzulegen, welche KI-Anwendungen wofür genutzt, was eingegeben und wie Ergebnisse weiterverwendet werden dürfen, und Dienste gezielt zu sperren oder freizuschalten (M16). Denn Betreiber von Internetdiensten können auf Ein- und Ausgaben zugreifen und sie je nach Nutzungsbedingungen zum Training verwenden (BSI R2).

• Nur mit dem Arbeitskonto: Private Konten und Verbraucherversionen sind für Unternehmensdaten tabu, solange Ihr Unternehmen nichts anderes regelt.
• Erweiterungen, Plug-ins und Agenten nur nach Freigabe: Bieten Drittanbieter Zusatzfunktionen wie das Verwalten von E-Mails an, ist ein Datenabfluss an sie denkbar (BSI R2).
• Bildgeneratoren: Manche veröffentlichen Bilder samt Eingabe und Benutzername standardmäßig (BSI R2).
• Microsoft Copilot (vormals Microsoft 365 Copilot, mit Arbeitskonto) zeigt nur Daten, für die Sie mindestens Anzeigeberechtigung haben (Microsoft Learn). Sehen Sie etwas, das nicht für Sie bestimmt ist, melden Sie es.

Generative KI erzeugt statistisch wahrscheinliche Ausgaben, die selbstsicher formuliert und trotzdem falsch sein können; NIST nennt das Konfabulation, umgangssprachlich Halluzination (NIST AI 600-1, 2.2). Weil die Texte schlüssig wirken, werden sie leicht ungeprüft übernommen (Automation Bias, BSI R8; NIST 2.7).

• Besser fragen: „Ich weiß es nicht“ erlauben, nur bereitgestellte Dokumente verwenden lassen, Zitat und Quelle je Aussage verlangen; abweichende Antworten auf dieselbe Frage können auf Halluzinationen hindeuten (Anthropic).
• Auch das beseitigt Halluzinationen nicht vollständig: Kritische Informationen immer prüfen (Anthropic), Ausgaben vor der Weitergabe an andere prüfen (Microsoft).

Bei einer indirekten Prompt Injection stecken Anweisungen an die KI in Inhalten, die das Modell verarbeitet, etwa in einer Webseite, einem Dokument, einer E-Mail oder einem Bild; Sie haben sie weder geschrieben noch gesehen (OWASP LLM01:2026, NIST 2.9). Typische Verstecke sind weiße Schrift auf weißem Grund, unsichtbare Unicode-Zeichen, Metadaten und Kommentare. Eine zuverlässige Gegenmaßnahme, die das Problem vollständig beseitigt, gibt es laut BSI nicht (BSI, Basisschutz 2026).

• Wenig Rechte: Zugriffs- und Ausführungsrechte von KI-Anwendungen auf das Minimum beschränken (BSI M17). Wer E-Mails zusammenfassen lässt, braucht kein Recht zum Senden (OWASP LLM03:2026).
• Selbst bestätigen: Privilegierte, unumkehrbare oder nach außen sichtbare Aktionen nur nach menschlicher Bestätigung, dabei die Aktion selbst prüfen, nicht nur ihre Zusammenfassung (OWASP LLM01:2026, Maßnahme 7; BSI M17).
• Gefährliche Dreierkombination: Zugriff auf private Daten, Lesen fremder Inhalte und Kommunikation nach außen oder Änderungen. Dann empfiehlt OWASP, jede einzelne Aktion von einem Menschen freigeben zu lassen (LLM01:2026, Maßnahme 8).

• Deepfakes offenlegen (Art. 50 Abs. 4 UAbs. 1): Wer als Betreiber mit KI Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die wirklichen Personen, Orten oder Ereignissen ähneln und fälschlich echt wirken (Art. 3 Nr. 60), muss das offenlegen, bei offensichtlich künstlerischen oder satirischen Werken in eingeschränkter Form. Gilt seit 2. August 2026 (Art. 113).
• KI-Texte offenlegen (Art. 50 Abs. 4 UAbs. 2): Veröffentlichte KI-Texte, die über Angelegenheiten von öffentlichem Interesse informieren, sind offenzulegen, außer sie wurden menschlich überprüft oder redaktionell kontrolliert und jemand trägt die redaktionelle Verantwortung.
• Pflichten der Anbieter (Art. 50 Abs. 1 und 2): KI-Hinweis bei Chatbots, maschinenlesbare Kennzeichnung synthetischer Inhalte; für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, ist Abs. 2 bis 2. Dezember 2026 zu erfüllen (Art. 111 Abs. 4).
• KI-Kompetenz fördern (Art. 4): Anbieter und Betreiber, also auch Ihr Arbeitgeber, wenn er KI in eigener Verantwortung einsetzt (Art. 3 Nr. 4), ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein Niveau ist nicht zu garantieren. Neu gefasst seit 27. Juli 2026; davor hieß es, „nach besten Kräften“ ein „ausreichendes Maß“ sicherzustellen (VO (EU) 2026/1744).

Für Sie heißt das (Empfehlung von TOMORIS): Deepfakes immer kennzeichnen, Veröffentlichungen über den Freigabeprozess, Schulungen wahrnehmen. Ein Zertifikat ist laut EU-Kommission nicht nötig; Unternehmen können Schulungen intern dokumentieren (AI Literacy Q&A).

Vor dem Absenden eines Prompts, eines Uploads oder einer Verbindung zu Postfach und Dateien:

• Nutze ich ein freigegebenes Werkzeug mit meinem Arbeitskonto?
• Welche Ampelstufe haben die Daten, ist das Werkzeug dafür freigegeben, und genügen Platzhalter?
• Sind Zugangsdaten, Kommentare, Metadaten oder geschwärzte Stellen enthalten, die nicht hinausdürfen?
• Stammt der Inhalt aus einer unbekannten Quelle? Dann auf versteckte Anweisungen achten.
• Braucht der Assistent dafür wirklich Zugriff auf Postfach, Dateien oder Browser?

Vor dem Verwenden eines Ergebnisses, dem Bestätigen einer Aktion oder einer Veröffentlichung:

• Habe ich Fakten, Zahlen und Quellen geprüft: Gibt es jede Quelle, und sagt sie das wirklich?
• Fehlt in der Zusammenfassung etwas Wichtiges, etwa Ausnahmen, Zeitangaben oder Risiken?
• Ist Code geprüft und getestet, und gibt es die vorgeschlagenen Pakete wirklich?
• Passen Aufforderungen, Links und Aktionen zur Aufgabe, und habe ich Empfänger, Inhalt und Ziel gelesen?
• Muss das Ergebnis gekennzeichnet oder vor der Veröffentlichung freigegeben werden?

Für Führungskräfte: Werkzeuge, Datenklassen und Meldeweg festlegen (Vorlage KI-Nutzungsrichtlinie), Schulungen dokumentieren, Berechtigungen etwa in SharePoint bereinigen (Microsoft Learn).