SF3TECHNOLOGIES
LeitfädenLeitfäden · KI-Readiness

ChatGPT, Claude und Copilot im kleinen Unternehmen sicher einführen

Wie Sie Ihr Team von privaten KI-Konten auf Unternehmenskonten umstellen, die Dateiberechtigungen bereinigen, die KI-Tools übernehmen, und eine einseitige Richtlinie schreiben, an die sich alle auch halten.

8 Minuten LesezeitAktualisiert

Kurz gesagt

Stellen Sie jedes KI-Tool, das Ihr Team nutzt, auf Unternehmenskonten mit Single Sign-On um, räumen Sie die Dateifreigaben auf, bevor Copilot oder Gemini Ihre Dateien lesen können, und veröffentlichen Sie eine einseitige Richtlinie mit einer kurzen Liste zugelassener Tools. Beginnen Sie dann mit einer Pilotgruppe. In dieser Reihenfolge wird KI zu etwas, das Ihr Unternehmen steuert, statt zu etwas, das auf privaten Konten passiert, in die niemand Einblick hat.

Das eigentliche Risiko ist alltäglich

Das häufigste KI-Risiko in einem kleinen Unternehmen ist kein spektakulärer Sicherheitsvorfall. Es ist jemand, der eine Kundenliste, einen Vertrag oder Quellcode in ein privates ChatGPT-Konto kopiert, in das das Unternehmen keinen Einblick hat, dessen Aufbewahrung es nicht steuern kann und aus dem es nichts entfernen kann, wenn diese Person das Unternehmen verlässt.

Das zweite Risiko ist unauffälliger. Die in Microsoft 365 und Google Workspace integrierten Assistenten können alles lesen, was die Person, die sie nutzt, ohnehin öffnen darf. Wenn ein Personalordner vor Jahren für „alle“ freigegeben wurde, findet der Assistent ihn. KI verursacht dieses Problem nicht, aber sie macht es viel leichter, darüber zu stolpern.

Schritt 1: Herausfinden, was bereits genutzt wird

Die meisten Unternehmen sind von der Antwort überrascht. Bevor Sie etwas auswählen:

  • Fragen Sie Ihr Team ohne Schuldzuweisung, welche KI-Tools es wofür nutzt
  • Prüfen Sie, welche KI-Apps Mitarbeiter mit ihren Arbeitskonten verbunden haben (in Microsoft Entra unter „Unternehmensanwendungen“ oder in der Google Admin-Konsole unter „App-Zugriffssteuerung“)
  • Sehen Sie Spesenabrechnungen und Firmenkreditkarten nach KI-Abonnements durch
  • Notieren Sie, welche Art von Daten dort eingegeben wird: Kundendaten, Finanzdaten, personenbezogene Daten, Code oder Verträge

Schritt 2: Tools auswählen und auf Unternehmenskonten umziehen

Sie müssen sich nicht auf ein Tool festlegen. Viele Unternehmen nutzen zwei, zum Beispiel Copilot in Microsoft 365 und dazu ChatGPT oder Claude zum Schreiben und für Analysen. Entscheidend ist, dass jedes Tool ein Unternehmens-Workspace mit einem Verantwortlichen ist.

ToolBusiness-TarifeGut geeignet fürVor der Einführung prüfen
ChatGPTBusiness (früher Team), EnterpriseAllgemeines Schreiben, Analyse und RechercheSSO, Aufbewahrungseinstellungen des Workspace, welche Konnektoren und benutzerdefinierten GPTs erlaubt sind
ClaudeTeam, EnterpriseLange Dokumente, gründliche Analysen, ProgrammierungSSO, Aufbewahrung, welche Konnektoren und Integrationen erlaubt sind
Microsoft 365 CopilotAdd-on für Microsoft 365-Business-TarifeArbeit in Outlook, Word, Excel, Teams und SharePointDateifreigaben und Berechtigungen in SharePoint und OneDrive
Gemini für Google WorkspaceIn Workspace-Tarifen enthalten oder hinzubuchbarArbeit in Gmail, Docs, Sheets und DriveDrive-Freigaben, geteilte Ablagen und externe Freigaben

OpenAI, Anthropic, Microsoft und Google erklären alle, dass Geschäftsdaten in diesen Tarifen standardmäßig nicht zum Training ihrer Modelle verwendet werden. Das ist der wichtigste Grund, private Konten aufzugeben. Lesen Sie vor Vertragsabschluss die aktuellen Bedingungen jedes Anbieters, denn Tarife und Namen ändern sich oft.

Für jedes Tool:

  • Richten Sie einen Unternehmens-Workspace mit einem Verantwortlichen in Ihrem Unternehmen ein
  • Binden Sie die Anmeldung an Microsoft Entra ID oder Google Workspace an, damit der Zugriff an dem Tag endet, an dem jemand das Unternehmen verlässt
  • Legen Sie eine Aufbewahrungsregel für Chats und hochgeladene Dateien fest
  • Entscheiden Sie, welche Konnektoren, Plugins und Agenten auf Unternehmensdaten zugreifen dürfen, und schalten Sie den Rest ab
  • Schließen Sie private Konten geordnet: Übernehmen Sie, was die Mitarbeiter brauchen, und löschen Sie den Rest

Schritt 3: Bereinigen, was die Tools übernehmen

Copilot und Gemini halten sich an Ihre bestehenden Berechtigungen. Das ist eine gute und eine schlechte Nachricht zugleich. Bevor sie live gehen:

  • Suchen Sie Dateien und Websites, die für das ganze Unternehmen oder für „alle Personen mit dem Link“ freigegeben sind
  • Beginnen Sie mit Personal, Finanzen und Recht, und arbeiten Sie sich dann weiter vor
  • Entziehen Sie Personen den Zugriff, die ihn nicht mehr brauchen
  • Versehen Sie in Microsoft 365 die sensibelsten Dateien mit Vertraulichkeitsbezeichnungen und Regeln zur Verhinderung von Datenverlust, und nutzen Sie die SharePoint-Berichte zu übermäßigen Freigaben
  • Prüfen Sie in Google Workspace die geteilten Ablagen und die Einstellungen für externe Freigaben

Diese Bereinigung lohnt sich auch ohne KI. Es ist dieselbe Arbeit, die den Schaden begrenzt, falls einmal ein Konto kompromittiert wird.

Schritt 4: Eine einseitige Richtlinie und ein Pilot

Eine Richtlinie, die niemand liest, schützt niemanden. Beschränken Sie sie auf eine Seite:

  • Zugelassene Tools. Die kurze Liste und wie man ein neues Tool beantragt.
  • Niemals eingeben. Passwörter, personenbezogene Kundendaten außerhalb zugelassener Tools, Gesundheits- oder Gehaltsdaten und alles, was unter eine Geheimhaltungsvereinbarung (NDA) fällt, sofern das Tool nicht dafür freigegeben ist.
  • Ergebnisse prüfen. KI macht Fehler mit großer Überzeugung. Wer etwas verschickt, ist dafür verantwortlich.
  • Offenlegen, wenn es darauf ankommt. Sagen Sie Kunden oder Kollegen Bescheid, wenn KI etwas erstellt hat, auf das sie sich verlassen werden.
  • Ansprechpartner. Ein Name oder ein Postfach für Fragen.

Schulen Sie dann eine Pilotgruppe von fünf bis zehn Personen aus verschiedenen Teams. Sammeln Sie, was funktioniert hat und was unklar war, passen Sie Einstellungen und Richtlinie an, und öffnen Sie die Tools erst dann für das ganze Unternehmen.

Dauerhaft in Ordnung halten

  • Entziehen Sie den KI-Zugriff im selben Offboarding-Schritt wie E-Mail und Dateien
  • Prüfen Sie jedes Quartal neue KI-Tools und Konnektoren, denn der Markt bewegt sich schnell
  • Kontrollieren Sie die Aufbewahrungs- und Freigabeeinstellungen nach jedem größeren Update eines Anbieters
  • Halten Sie kurz fest, wer welches Tool genehmigt hat und warum

Regulierte oder vertrauliche Arbeit

Für Rechts-, Finanz-, Gesundheits- und Entwicklungsarbeit, die niemals Ihre Kontrolle verlassen sollte, kommen private Optionen in Frage: Enterprise-Tarife mit strengeren Datenkontrollen oder KI-Modelle, die in Ihrer eigenen Umgebung gehostet werden. Ihr Betrieb ist aufwendiger, setzen Sie sie daher nur für die Arbeit ein, die sie wirklich braucht.

Wenn Sie Mitarbeiter in der Europäischen Union haben, verlangt die KI-Verordnung der EU (EU AI Act) schon heute von Unternehmen, die KI einsetzen, dafür zu sorgen, dass ihre Mitarbeiter über ausreichende KI-Kompetenz verfügen. Eine kurze Schulung und die einseitige Richtlinie tragen viel dazu bei, das nachzuweisen.

Häufig gestellte Fragen

Was uns oft gefragt wird

Kurze Antworten auf die Fragen, die uns Gründer und Finanzverantwortliche am häufigsten stellen.

Stellen Sie uns eine andere Frage

Mit einem Business-Tarif ist es deutlich sicherer als mit privaten Konten. ChatGPT Business und Enterprise geben dem Unternehmen Administratorkontrollen, Single Sign-On und Aufbewahrungseinstellungen, und OpenAI erklärt, dass Geschäftsdaten in diesen Tarifen standardmäßig nicht zum Training seiner Modelle verwendet werden.

So unterstützt Sie SF3 Technologies

Wir richten ChatGPT, Claude, Copilot und Gemini auf Unternehmenskonten mit Administratorkontrollen ein, bereinigen die Berechtigungen, die diese Tools übernehmen, und geben Ihrem Team eine kurze Richtlinie, die es auch befolgt. SF3 Technologies ist Mitglied des Microsoft AI Cloud Partner Program und berät plattformübergreifend, ohne eine Plattform zu bevorzugen. Jeder Workspace wird im Namen Ihres Unternehmens erstellt und über dedizierte Administratorkonten aus Ihrem eigenen Microsoft 365 oder Google Workspace heraus verwaltet.

KI-Readiness-Check anfragenKI-Readiness

Dieser Leitfaden ist eine allgemeine Information und keine Rechtsberatung. Tarife und Bedingungen der Anbieter ändern sich oft, prüfen Sie daher vor dem Kauf die aktuellen Bedingungen jedes Anbieters.