Aus der Beratungspraxis. Andreas Rübsam, CEO DextraData Advisory, über das, was er in deutschen Mittelständlern gerade beobachtet. Fünf Minuten Lesezeit.
Es war ein Dienstag im März, kurz nach elf, und Herr Berger hatte ein Problem. Vertriebsleiter eines mittelständischen Maschinenbauers, achtzehn offene Anfragen auf dem Tisch, der Vorstand wollte bis Freitag wissen, warum die Pipeline schwächelt. Berger öffnete ChatGPT, kopierte die Anfrage eines Großkunden hinein, samt der internen Preiskalkulation aus dem letzten Projekt, und tippte: „Schreib mir daraus ein überzeugendes Angebot.“
Sieben Sekunden später hatte er einen Entwurf. Dreißig Sekunden später war die nächste Anfrage drin. Nach zwei Stunden waren alle achtzehn Angebote raus, er hatte keinen Kaffee gebraucht und ein außerordentlich gutes Gewissen, weil er endlich mal modern war.
Sein Vorstand hatte zwei Wochen vorher gesagt: „Wir müssen jetzt mit KI.“ Die IT plante gerade einen „Use-Case-Workshop“. Der externe Datenschutzbeauftragte saß in seinem Büro und ahnte nichts. Berger hatte einfach gemacht, was alle Welt ihm seit Monaten gesagt hatte. KI nutzen. Endlich.
Die Geschichte ist erfunden. Sie passiert gerade tausendfach in echt. Und das Problem darin ist nicht das, was Sie vermutlich gerade denken.
Warum ich diesen Text überhaupt schreibe
Vorab eine Klarstellung, weil sie sonst zwischen den Zeilen lauert: Ich bin Datenschutzbeauftragter, kein Jurist. Über die KI-Verordnung darf ich mich öffentlich nicht äußern, das wäre Rechtsdienstleistung. Ich darf auch nicht beurteilen, in welche Risikoklasse Bergers Vorgehen genau fällt. Dafür gibt es Fachanwälte, und das ist gut so.
Ich sage es meinen Mandanten so: Ich habe von vielen Dingen eine Ahnung. Zu noch mehr habe ich eine Meinung. Dummerweise verbieten mir bestimmte Verordnungen und Kontexte, beides öffentlich auszubreiten, obwohl ich tagtäglich in dieser Suppe rühre und manchmal ein sehr nützlicher Ratgeber wäre. Sei’s drum.
Worüber ich aber sprechen darf, und was offenbar gerade niemand tut: was in Unternehmen wirklich passiert, wenn KI ankommt. Ich tue das aus einer Position, die mich vielleicht qualifiziert: 35 Jahre IT, davon 18 Jahre als IT-Leiter in der Automobilzulieferindustrie, gefolgt von mehr als zwölf Jahren in Datenschutz und Informationssicherheit. Erst Industrie, dann Governance. Beides aus der Praxis.
Aus dieser Perspektive sehe ich gerade Muster, die mir bekannt vorkommen. Nicht weil sie alt sind, sondern weil sie schon mal gelöst waren und jetzt gerade wieder vergessen werden.
Was niemand offen sagt
Datenschutz ist nicht das KI-Problem deutscher Unternehmen. Das eigentliche Problem ist banaler und größer: Niemand fragt mehr, wozu.
Berger hat ChatGPT nicht eingesetzt, weil er ein klar definiertes Problem lösen wollte. Er hat es eingesetzt, weil das Werkzeug da war und der Vorstand „KI“ gesagt hatte. Der Zweck wurde nach dem Werkzeug gesucht, nicht umgekehrt. Das ist, als würde man sich eine Drehmaschine kaufen und dann überlegen, was man damit drehen könnte.
In der Industrie, in der ich groß geworden bin, gab es für solche Fragen ein Verfahren. Anforderung, Lastenheft, Maschinenauswahl, Lieferantenfreigabe, Inbetriebnahme, Schulung. Nicht spaßig, nicht modern, aber es funktionierte, weil es Verantwortlichkeiten und Reihenfolge klärte. Das hat übrigens nichts mit Industrie zu tun, sondern mit Systematik. Lässt sich auf jedes Werkzeug anwenden, das in ein Unternehmen kommt. Auch auf KI.
Heute kauft jemand einen ChatGPT-Pro-Account auf die Firmenkreditkarte, und drei Wochen später formuliert die KI Angebote, in die die komplette Preisstruktur des Hauses geflossen ist. Auf einem Server in den USA. Lesbar, im Zweifel, für das Trainingsdatenset des nächsten Modells. Und ja, ich weiß, der Anbieter schreibt in den AGB, dass er nicht trainiert. Mein eigener Filter ist trotzdem ein anderer, und er stammt im Geiste noch von meiner Oma, die zwar längst nicht mehr lebt, deren Maßstab mir aber bis heute brauchbar erscheint: Was ich ihr nicht erzählt hätte, das gebe ich auch nicht in einen Prompt ein. Das funktioniert, bevor ich die AGB gelesen habe.
Was zwischen „KI ist da“ und „wir nutzen KI“ eigentlich passiert
Der Satz „KI verändert alles“ hat eine Wirkung, die selten reflektiert wird. Er zwingt Menschen in eine bestimmte Haltung. Die Haltung, dass etwas mit ihnen passiert. Dass sie reagieren müssen, dass es schnell gehen muss, dass sie sonst hinten runterfallen.
Diese Haltung produziert zwei Sorten von Unternehmen. Die einen erstarren und tun gar nichts, aus Angst, etwas falsch zu machen. Die anderen rennen los und tun alles, aus Angst, zu langsam zu sein. Beide stehen am Ende mit derselben Frage da: Was eigentlich war unser Plan?
Es gibt einen dritten Weg, und der ist langweilig. Er besteht darin, sich einen kurzen Moment Zeit zu nehmen, bevor man etwas tut. Diesen Moment, in dem man fragt: Wozu eigentlich? Wem hilft das? Wer wird es nutzen, wer nicht?
Wer diesen Moment ausspart, weil er ja schnell sein muss, der landet bei Berger.
Die drei Fragen, die in jedem KI-Projekt fehlen
Ich habe in den letzten zwei Jahren in vielleicht zwanzig Unternehmen Gespräche zu KI-Einsatz geführt. In keinem dieser Gespräche wurden mir am Anfang diese drei Fragen beantwortet. Sie wurden nicht einmal gestellt.
Die erste Frage: Welches Problem lösen wir? Nicht „wo könnten wir KI einsetzen“, sondern welches konkrete Problem mit messbarem Schaden wird kleiner, wenn dieses Werkzeug funktioniert. Wenn die Antwort nicht in zwei Sätzen kommt, lohnt sich das Werkzeug nicht.
Die zweite Frage: Wer trägt die Verantwortung für die Ergebnisse? Nicht für die Einführung, nicht für das Budget, sondern für jede einzelne Entscheidung, die dieses System trifft oder vorbereitet. Wenn Berger einem Großkunden ein Angebot schickt, das ChatGPT formuliert hat, dann ist Berger verantwortlich. Auch für den Konditionsfehler, der drinsteht, weil die KI plausibel klang, aber falsch rechnete. Das sollte Berger wissen, bevor er tippt.
Die dritte Frage: Was machen wir, wenn es schiefgeht? In der industriellen Praxis heißt das FMEA, Fehlermöglichkeits- und Einflussanalyse. Übersetzt: Wir denken vor der Inbetriebnahme darüber nach, was im schlechtesten Fall passieren kann, wie wahrscheinlich das ist, wie groß der Schaden wäre, und wie wir es überhaupt bemerken würden. Das dauert eine halbe Stunde. Es spart manchmal Jahre.
Diese drei Fragen sind keine juristischen Fragen. Sie sind das, was übrig bleibt, wenn man die Juristik weglässt. Und sie sind erstaunlicherweise schon das halbe Compliance-Programm.
Warum KI nicht das Problem ist, sondern unser Umgang damit
Eine Beobachtung, die ich loswerden will, weil sie selten ausgesprochen wird. Ich habe nichts gegen KI. Ich nutze sie täglich. Ich glaube auch, dass viele Berufskolleginnen und -kollegen, die heute noch hundert Stunden im Jahr in manuelle Verfahrensverzeichnisse stecken, in fünf Jahren ein Problem haben werden. Nicht weil KI sie ersetzt, sondern weil sie von Kolleginnen und Kollegen ersetzt oder ergänzt werden, die gelernt haben, mit KI vernünftig umzugehen. Das ist ein Unterschied, der die ganze Diskussion verschiebt.
Vernünftig umgehen heißt nicht: Tool öffnen, Knopf drücken, Ergebnis weiterleiten. Vernünftig umgehen heißt: Den Prompt sorgfältig formulieren, das Ergebnis plausibilisieren, das Fachwissen weiter im Kopf behalten. Ich habe in den letzten Wochen mit mehreren Anwälten gesprochen, die mir berichten, dass selbst gute juristische KI-Systeme Paragraphen erfinden oder falsch zitieren. Wer das nicht erkennen kann, weil ihm das Fachwissen fehlt, ist nicht produktiver mit KI. Er ist nur schneller falsch.
Übrigens, kleine Randbemerkung: Wir nennen das „Halluzinieren“, und ich habe das auch lange so genannt. Bis ich nachgesehen habe. Halluzinieren ist psychiatrisch der falsche Begriff, eine Halluzination ist eine Sinneswahrnehmung ohne realen Reiz. Was die KI tut, heißt eigentlich Fabulieren, also Geschichten erfinden, die plausibel klingen. Ich habe seither aufgehört, das Wort zu korrigieren, wenn andere es benutzen, aber ich finde es bezeichnend, dass die ganze Branche einen Begriff übernommen hat, ohne ihn zu prüfen. Auch das ist irgendwie ein Symptom.
Was vernünftiges Arbeiten mit KI braucht, ist nicht weniger Mensch, sondern mehr. Mehr Urteilsfähigkeit, mehr Fachwissen, mehr Geduld für Nachfragen. Ein guter Kollege, der mich seit Jahren kennt, ahnt aus drei Wortfetzen, was ich meine, und fragt nach, wenn er es nicht sicher weiß. Eine KI tut etwas anderes. Sie sagt: „Was für eine interessante Frage, lass mich das gleich für dich erledigen“, und liefert eine selbstbewusste Antwort, ob sie sie nun verstanden hat oder nicht. Wer das nicht weiß, läuft in jeden Fehler hinein, den man sich vorstellen kann.
Was der Datenschutzbeauftragte damit zu tun hat
Wenig. Und genau das ist der Punkt.
Wenn ein Datenschutzbeauftragter im KI-Kontext nur über Verarbeitungsverzeichnisse, AVVs und Rechtsgrundlagen spricht, dann nutzt er einen Bruchteil seiner möglichen Wirkung. Diese Themen sind wichtig. Aber sie sind das Ende eines Denkens, nicht der Anfang. Am Anfang steht die Frage, ob das, was hier passiert, überhaupt jemand möchte. Und ob jemand darüber nachgedacht hat.
Mein Job, so wie ich ihn verstehe, ist nicht zu sagen „Sie dürfen das nicht“. Mein Job ist zu fragen „Wollen Sie das wirklich?“. Das ist eine andere Art von Beratung. Sie ist unbequemer für mich, weil ich keine Paragraphen vorlesen kann. Sie ist anstrengender für den Mandanten, weil er denken muss, bevor er handelt. Aber es ist die einzige Beratung, die in der Geschichte von Berger irgendetwas verändert hätte.
Und ja, manchmal kratze ich dabei an der Grenze zwischen Datenschutzberatung und Rechtsberatung. Diese Grenze wird durch die zunehmende Verschränkung von Datenschutz, KI-Recht, IT-Sicherheitsrecht und Branchenregulierung gerade jeden Monat unklarer. Ich akzeptiere die Grenze, ich überschreite sie nicht. Aber ich will ehrlich sein: Ich bin froh, einen Anwalt im Netzwerk zu haben, dem ich die Frage stellen kann, die ich selbst nicht beantworten darf.
Was Sie aus dieser Geschichte mitnehmen
Einen einzigen Satz. Den Rest können Sie vergessen.
Bevor in Ihrem Unternehmen das nächste KI-Werkzeug eingeführt wird, fragen Sie drei Personen, was sie sich konkret davon erhoffen. Wenn die drei Antworten zusammen weniger ergeben als „Wir sind dann auch endlich modern“, warten Sie noch zwei Wochen. Diese zwei Wochen ändern nichts an Ihrer Marktposition. Sie ändern alles an Ihrer Klarheit.
Berger hätte diese zwei Wochen gut gebrauchen können. Seine Kunden auch.
