Die Beschäftigten waren schneller als die Richtlinie

Im Frühjahr 2023 wurde bekannt, dass Beschäftigte von Samsung in mehreren Fällen vertrauliche Unternehmensinformationen in ChatGPT eingegeben hatten, um sich bei alltäglichen Aufgaben helfen zu lassen. Berichten zufolge kopierten sie unter anderem Quellcode zur Fehlersuche in die öffentlich zugängliche Version des Chatbots und ließen interne Besprechungsprotokolle zusammenfassen. Da diese Version eingegebene Inhalte damals zur Weiterentwicklung des Modells verwenden konnte, bestand die Sorge, dass vertrauliche Informationen dauerhaft der Kontrolle des Unternehmens entzogen waren. Samsung beschränkte daraufhin die Nutzung solcher Dienste.

Der Fall zeigt ein Muster, das sich bei neuen, leicht zugänglichen Technologien immer wieder beobachten lässt. Generative KI-Werkzeuge verbreiteten sich in vielen Unternehmen zunächst dezentral und informell. Getragen wurde diese Verbreitung von einzelnen Beschäftigten, die in ihrer täglichen Arbeit einen unmittelbaren Nutzen erkannten, lange bevor ihre Organisation entschieden hatte, ob und wie solche Werkzeuge eingesetzt werden sollen. Die Geschwindigkeit, mit der sie ein kostenloses Werkzeug in ihren Alltag integrierten, übertraf bei Samsung wie anderswo deutlich die Geschwindigkeit, mit der IT-Sicherheit, Rechtsabteilung und Geschäftsleitung eine abgestimmte Richtlinie entwickeln konnten.

Diese Lücke zwischen gelebter Nutzung und offizieller Regelung trifft keineswegs nur nachlässige Unternehmen. Sie ist eine strukturelle Eigenschaft neuer, leicht zugänglicher Technik in einem Umfeld, in dem Beschäftigte selbst entscheiden können, welche Werkzeuge sie nutzen. Ein Verbot, das erst ausgesprochen wird, sobald die Nutzung weit verbreitet ist, kommt fast zwangsläufig zu spät, um die bereits erfolgte Preisgabe vertraulicher Informationen rückgängig zu machen.

Eine Nutzungsrichtlinie für generative KI muss deutlich früher entstehen, als es die übliche Reaktionszeit vieler Organisationen erlaubt, am besten in dem Moment, in dem ein neues Werkzeug öffentlich verfügbar wird und für die eigenen Beschäftigten erkennbar nützlich erscheint. Wer abwartet, bis ein Vorfall die Lücke sichtbar macht, hat die Regelung längst der informellen Praxis der eigenen Belegschaft überlassen.

Neue Technik wird genutzt, lange bevor eine Organisation sie regelt. Eine Richtlinie muss deshalb früh entstehen, sonst regelt die informelle Praxis der Belegschaft, was die Organisation offengelassen hat.

Mehr solcher Fälle gibt es hier!