KI-Guideline §4: Unternehmensbezogene Daten und Geheimhaltung

§4 Geheimhaltungsverpflichtung beachten

In KI-Anwendungen dürfen keine vertraulichen Informationen über Ihr Unternehmen oder über Dritte verwendet werden. Holen Sie im Zweifel die Erlaubnis der Unternehmensleitung zur Verwendung ein. API-Zugriffsschlüssel sind wie Passwörter zu behandeln und dürfen nicht geteilt oder öffentlich gemacht werden. Die Nutzung unternehmenseigener KI-Systeme für außerbetriebliche oder konkurrierende Zwecke ist untersagt.

Erläuterungen

Auch bei unternehmensbezogenen Daten ist es wichtig, den Mitarbeitenden Leit- und Richtlinien zum Umgang mit KI zur Verfügung zu stellen. Beachten Sie bitte, dass Sie der Verschwiegenheit verpflichtet sind und Geschäfts- und Betriebsgeheimnisse keinesfalls weitergeben dürfen. Dies betrifft auch die Weitergabe solcher Informationen an KI-Systeme. Bei vielen KI-Systemen, vor allem bei kostenlos verfügbaren, sind der Speicherort und die Verwertung der Daten noch nicht ausreichend transparent. Dadurch besteht das Risiko, dass wichtige Daten in falsche Hände geraten. Mehr Sicherheit bieten unternehmenseigene KI-Anwendungen, die lokal gehostet werden und so verhindern, dass eingegebene Daten außerhalb des Unternehmens einsehbar werden.

Als Mitarbeitende eines Unternehmens gehören Sie oft zu den Ersten, die von neuen Entwicklungen erfahren. Das können noch nicht fixierte Aufträge, Informationen über die finanzielle Lage des Unternehmens oder neue Geschäftsideen sein, die noch nicht in der Öffentlichkeit präsentiert wurden. Das berechtigt Sie jedoch nicht dazu, diese Informationen zu verbreiten. Unternehmensinterne Richtlinien sollen hierfür einen Rahmen bieten und ausreichende Schutzmaßnahmen gewährleisten. Empfehlenswert ist eine Abstimmung mit der Datenschutzbeauftragten bzw. dem Datenschutzbeauftragten des Unternehmens.

Seien Sie besonders wachsam bei ungeprüften Prompts aus externen Quellen, da diese manipulativ sein könnten (Prompt Injection). Nutzen Sie Sandbox- oder Test-Umgebungen für Experimente mit nicht sensiblen Daten.

Tipps für die Praxis

Überlegen Sie:

• Wurden die Daten bzw. Informationen bereits für alle zugänglich veröffentlicht (z.B. auf der Unternehmenswebsite, in einer Pressemitteilung, durch weitere Informationen)?
• Betreffen die Daten Kategorien, die der Geheimhaltung unterliegen? Überprüfen Sie ggf. die Geheimhaltungserklärung Ihres Unternehmens.
• Besteht die Möglichkeit, ein unternehmensinternes KI-System zu verwenden, das lokal bzw. innerhalb Europas gehostet wird?