Freigegebene KI-Werkzeuge

Ihre Beschäftigten nutzen KI-Werkzeuge: Chat-Assistenten, Code-Assistenten, Office-Copilots, KI-Funktionen in CAD und ERP. Die KI-Nutzungsrichtlinie sagt in einem Satz, dass nur freigegebene Werkzeuge genutzt und keine vertraulichen Daten in öffentliche Werkzeuge eingegeben werden dürfen. Das Register der freigegebenen KI-Werkzeuge macht aus dem Satz eine gepflegte Liste: Werkzeug, Anbieter, Ihre Entscheidung, zulässige Datenklassen, Auflagen, Verantwortliche und nächste Überprüfung. Die Richtlinie verweist darauf, das Mitarbeiterportal zeigt es, das Art.-4-Nachweispaket enthält es. Das Register ist eine Funktion des Enterprise-Plans.

Was das Register ist — und was nicht

• Eine Maßnahme, die Sie nachweisen. Der AI Act schreibt weder eine Liste freigegebener Werkzeuge noch Datenklassen vor. Art. 4 verlangt von Betreibern Maßnahmen für ein ausreichendes Maß an KI-Kompetenz; eine gepflegte, kommunizierte Liste erlaubter Werkzeuge und erlaubter Daten ist eine angemessene Maßnahme und ihr Nachweis — nicht mehr. Resilic sagt nirgends, das Register sei gesetzlich gefordert.
• Wem die Datenklassen-Regel dient: Ihrem Datenschutz (DSGVO Art. 32 Sicherheit der Verarbeitung, Art. 28 Auftragsverarbeitung), dem Schutz Ihrer Geschäftsgeheimnisse (das Geschäftsgeheimnisgesetz schützt nur, was durch angemessene Maßnahmen geschützt wird), NIS2 Art. 21, wo Sie darunter fallen, und Ihrer eigenen Informationssicherheit. Welche davon auf Sie zutreffen, bestimmt Resilic nicht.
• Keine Überwachung. Das Register hält Entscheidungen fest, keine Nutzung. Es gibt keinen Agenten, keinen Proxy, keine Inhaltsprüfung und keine Nutzungsdaten je Beschäftigtem. Eine veröffentlichte Liste löst keine Mitbestimmung aus; eine Überwachung würde es. Das Register bleibt bewusst auf dieser Seite.
• Sie entscheiden. Resilic schlägt nichts vor außer einer Startliste gängiger Werkzeuge; jede Freigabe, jede Datenklasse und jede Auflage ist Ihre Entscheidung, festgehalten mit Name und Datum.

Ein Werkzeug erfassen

Unter Compliance → KI-Werkzeuge. Gängige Werkzeuge hinzufügen legt eine Startliste verbreiteter Werkzeuge (ChatGPT, Microsoft 365 Copilot, GitHub Copilot, Claude, DeepL, …) als In Prüfung an — mit Name, Anbieter, Art und Website, ohne jede Entscheidung. Die Aktion lässt sich wiederholen; bereits erfasste Namen werden übersprungen. Eigene Werkzeuge legen Sie mit Neues Werkzeug an.

Je Werkzeug erfassen Sie die Fakten: Name, Anbieter, Art (Chat-Assistent, Code-Assistent, Office-Copilot, eingebettete Funktion, API, Sonstiges), Website, den Verarbeitungsort laut Anbieter (EU, außerhalb der EU, unbekannt), ob ein Auftragsverarbeitungsvertrag vorliegt und ob der Anbieter zusichert, Eingaben nicht zum Training zu verwenden, sowie wer in Ihrer Organisation verantwortlich ist. Die Anbieterangaben übernehmen Sie aus den Anbieterbedingungen — Resilic prüft sie nicht.

Die Freigabe

Die Entscheidung ist ein eigener Schritt und wird mit dem angemeldeten Mitglied und dem Zeitpunkt festgehalten:

• In Prüfung — der Ausgangszustand. Beschäftigte sehen das Werkzeug nicht.
• Freigegeben — mit mindestens einer zulässigen Datenklasse.
• Eingeschränkt freigegeben — mit Datenklassen und Auflagen, zum Beispiel „nur mit dem Unternehmenskonto; keine Kundendaten“.
• Untersagt — ohne Datenklassen; eine Begründung können Sie in den Auflagen hinterlassen.

Die Datenklassen sind Öffentlich, Intern, Vertraulich, Personenbezogene Daten und Kundendaten. Die nächste Überprüfung liegt standardmäßig ein Jahr nach der Entscheidung; fällige Überprüfungen werden im Register markiert.

Richtlinie, Mitarbeiterportal, Nachweispaket

• Der Abschnitt Zulässige Nutzung der generierten KI-Nutzungsrichtlinie verweist auf das Register und sagt, dass es getrennt gepflegt wird und sich ohne neue Richtlinienversion ändern kann. Eine Änderung im Register macht deshalb keine Bestätigung ungültig — die Liste bleibt aktuell, ohne dass alle erneut bestätigen müssen.
• Beschäftigte sehen auf ihrer Bestätigungsseite die entschiedenen Werkzeuge mit Datenklassen und Auflagen; Werkzeuge in Prüfung erscheinen dort nicht.
• Das Art.-4-Nachweispaket enthält einen Abschnitt „Approved AI tools“ mit allen Entscheidungen, Datenklassen, Auflagen, Entscheidenden und Überprüfungsterminen.

Hinweis zur Anwendbarkeit

Das Register ist Orientierungshilfe und Nachweis, keine Rechtsberatung. Ob und welche Pflichten aus DSGVO, Geschäftsgeheimnisgesetz oder NIS2 für ein Werkzeug gelten, prüfen Sie im eigenen Datenschutz- und Sicherheitsprozess.