Ein Vertriebsmitarbeiter kopiert eine Kundenanfrage in einen öffentlichen KI-Chat. Ein Projektleiter lässt technische Spezifikationen zusammenfassen. Ein Controller analysiert vertrauliche Zahlen mit einem Browser-Tool. Solche Situationen entscheiden darüber, wie sicher Firmenmodelle in der Praxis tatsächlich sind. Denn nicht das Sprachmodell allein schützt ein Unternehmen, sondern die Infrastruktur, die Regeln und die Einbettung in reale Prozesse.
Für Geschäftsführer ist deshalb nicht die Frage entscheidend, ob KI grundsätzlich sicher ist. Entscheidend ist, welche Daten ein System verarbeitet, wer darauf zugreifen kann, wo die Verarbeitung stattfindet und ob sich jede Nutzung kontrollieren lässt. Ein KI-Modell kann sehr leistungsfähig sein und dennoch ein nicht vertretbares Risiko darstellen, wenn diese Fragen offenbleiben.
Wie sicher sind Firmenmodelle wirklich?
Unter Firmenmodellen sind hier KI-Systeme gemeint, die für den Einsatz im Unternehmen bereitgestellt, angepasst oder auf unternehmensinterne Daten ausgerichtet werden. Ihre Sicherheit hängt nicht primär davon ab, ob ein Modell selbst entwickelt, lizenziert oder über eine Schnittstelle genutzt wird. Sie entsteht aus dem Zusammenspiel von Modell, Datenhaltung, Zugriffsrechten, Schnittstellen, Protokollierung und Governance.
Öffentliche KI-Dienste sind für erste Experimente attraktiv: Sie sind sofort verfügbar und liefern oft überzeugende Ergebnisse. Für produktive Prozesse entsteht jedoch ein strukturelles Problem. Mitarbeiter geben Inhalte in eine Umgebung ein, deren Datenflüsse, Speicherdauern und Berechtigungslogik das Unternehmen nur eingeschränkt steuert. Selbst wenn ein Anbieter vertragliche Zusagen zur Datennutzung macht, bleiben Fragen der Nachvollziehbarkeit, der Mandantentrennung und der Einbindung in interne Sicherheitsvorgaben.
Ein geschlossenes Corporate LLM setzt an einer anderen Stelle an. Es schafft einen klar definierten Arbeitsraum für das Unternehmen: autorisierte Nutzer, freigegebene Wissensquellen, kontrollierte Schnittstellen und dokumentierte Regeln für die Verarbeitung. Das reduziert Risiken erheblich, ersetzt aber keine Sicherheitsarchitektur. Auch ein geschlossenes System wird unsicher, wenn Berechtigungen zu großzügig vergeben sind oder sensible Dokumente ohne Klassifizierung in einen zentralen Wissensspeicher gelangen.
Die größten Risiken liegen selten nur im Modell
Die öffentliche Debatte konzentriert sich häufig auf das Training großer Sprachmodelle. Im Unternehmensalltag entstehen die kritischeren Risiken meist vor und nach der Modellanfrage. Sie betreffen die Daten, die ein System erhält, die Systeme, auf die es zugreifen darf, und die Entscheidungen, die auf seinen Ergebnissen beruhen.
Ein typisches Risiko ist die unkontrollierte Datenweitergabe. Dazu zählen Kundeninformationen, Vertragsentwürfe, Personalunterlagen, interne Kalkulationen, Quellcode oder Inhalte aus Forschung und Entwicklung. Werden solche Daten in nicht freigegebenen Diensten verarbeitet, kann das gegen Datenschutzvorgaben, Geheimhaltungspflichten oder vertragliche Vereinbarungen verstoßen. Die Gefahr entsteht oft nicht aus Absicht, sondern aus einem pragmatischen Versuch, Arbeit schneller zu erledigen.
Ebenso relevant ist der Zugriff auf internes Wissen. Ein KI-Assistent, der Dokumente durchsucht, muss nicht nur wissen, welche Inhalte fachlich passen. Er muss auch berücksichtigen, ob der jeweilige Nutzer diese Inhalte sehen darf. Ohne dokumenten- und rollenbasierte Berechtigungen kann ein nützlicher Assistent ungewollt zur Quelle für Informationsabfluss werden.
Hinzu kommt das Risiko falscher oder manipulierter Ergebnisse. Sprachmodelle formulieren überzeugend, auch wenn ihre Aussage nicht belegt ist. Werden sie an externe Inhalte, E-Mails oder Dokumente angebunden, können gezielte Anweisungen in diesen Quellen das Verhalten des Systems beeinflussen. Dieses Risiko wird als Prompt Injection bezeichnet. Es lässt sich nicht mit einem einzelnen Filter vollständig lösen, sondern verlangt technische Schutzmechanismen, begrenzte Rechte und klare Freigabeprozesse.
Besonders kritisch wird es, wenn KI nicht nur analysiert, sondern handelt: Termine anlegt, Datensätze verändert, Angebote erzeugt oder Bestellungen auslöst. Je näher ein Workflow an operative Kernprozesse rückt, desto präziser müssen Rollen, Prüfungen und Eskalationswege definiert sein. Vollautomatisierung ist nicht immer der beste Reifegrad. Bei finanziellen, rechtlichen oder personalbezogenen Entscheidungen bleibt eine kontrollierte Freigabe durch einen verantwortlichen Mitarbeiter sinnvoll.
Sicherheit beginnt mit einer passenden Architektur
Ein sicheres Firmenmodell benötigt eine Architektur, die zum Schutzbedarf des Unternehmens passt. Für einen allgemeinen Textassistenten gelten andere Anforderungen als für einen KI-Workflow, der auf ERP-Daten, Vertragsarchive und CRM-Systeme zugreift. Pauschale Aussagen wie „DSGVO-konform“ reichen deshalb nicht aus. Entscheidend ist, wie die Konformität technisch und organisatorisch umgesetzt wird.
Die Datenverarbeitung sollte klar abgegrenzt sein. Unternehmen brauchen Transparenz darüber, in welcher Region Daten gespeichert und verarbeitet werden, welche Unterauftragnehmer eingebunden sind und welche Daten in Protokollen verbleiben. Bei besonders schutzwürdigen Informationen kann eine private oder dedizierte Bereitstellung erforderlich sein. Das ist aufwendiger als die Nutzung eines offenen Standarddienstes, gibt dem Unternehmen aber die notwendige Kontrolle über seinen Datenraum.
Darauf baut ein konsequentes Identitäts- und Berechtigungskonzept auf. Mitarbeiter sollten sich über bestehende Unternehmensidentitäten anmelden, etwa über Single Sign-on. Rechte müssen sich an Funktionen, Abteilungen und konkreten Anwendungsfällen orientieren. Ein Assistent für den Vertrieb benötigt andere Wissensquellen als ein Assistent für die Rechtsabteilung. Diese Trennung schützt nicht nur vertrauliche Informationen, sondern verbessert auch die Qualität der Antworten.
Eine weitere Säule ist die Trennung von Modell und Unternehmenswissen. In vielen Anwendungen müssen interne Dokumente nicht zum Training eines Sprachmodells verwendet werden. Stattdessen ruft das System zum Zeitpunkt der Anfrage nur die passenden, freigegebenen Inhalte ab. Dieses Prinzip reduziert das Risiko, dass Unternehmenswissen unkontrolliert in einem Modellbestand aufgeht. Gleichzeitig lassen sich Quellen aktualisieren, sperren oder nachvollziehen, ohne ein Modell neu trainieren zu müssen.
Kontrolle muss im Betriebsmodell verankert sein
Technik allein schafft keine sichere KI-Nutzung. Ein Unternehmen benötigt ein Betriebsmodell, das Verantwortlichkeiten festlegt und den Einsatz dauerhaft steuerbar macht. Dazu gehört zunächst ein verbindlicher Katalog zulässiger Anwendungsfälle. Mitarbeiter müssen wissen, welche Tools freigegeben sind, welche Daten sie verarbeiten dürfen und wann sie eine Fachabteilung oder den Datenschutzbeauftragten einbeziehen müssen.
Protokollierung ist dabei kein Selbstzweck. Sie dient dazu, sicherheitsrelevante Vorfälle aufzuklären, fehlerhafte Antworten zu analysieren und die Nutzung kontinuierlich zu verbessern. Gute Protokolle erfassen nur das notwendige Maß, schützen selbst sensible Inhalte und ermöglichen dennoch eine belastbare Prüfung. Wer nicht nachvollziehen kann, welche Wissensquelle eine Antwort beeinflusst hat oder welche Aktion ein Workflow ausgelöst hat, kann das System nur eingeschränkt verantworten.
Auch regelmäßige Tests gehören zum Betrieb. Dazu zählen Berechtigungsprüfungen, Versuche zur Umgehung von Schutzregeln, Tests mit vertraulichen Datenklassen und die Bewertung von Fehlantworten. Bei KI-Workflows mit Systemzugriffen sollten Unternehmen prüfen, ob die vorgesehenen Schutzmaßnahmen auch bei unvollständigen oder böswillig formulierten Eingaben greifen.
Fünf Fragen vor dem produktiven Einsatz
Bevor ein KI-System in einen Geschäftsprozess integriert wird, sollten Entscheider fünf Fragen eindeutig beantworten können:
- Welche Daten verarbeitet das System, und welche davon sind personenbezogen, vertraulich oder geschäftskritisch?
- Wo werden Eingaben, Antworten, Dokumente und Protokolle gespeichert und verarbeitet?
- Wer darf welche Wissensquellen sehen, Funktionen nutzen oder Aktionen auslösen?
- Welche Ergebnisse benötigen vor einer Weitergabe oder Ausführung eine menschliche Freigabe?
- Wie werden Fehler, Sicherheitsvorfälle und Änderungen an Datenquellen dokumentiert und behandelt?
Wenn diese Antworten fehlen, ist ein Pilotprojekt möglicherweise technisch beeindruckend, aber noch nicht produktionsreif. Sind sie klar dokumentiert und technisch umgesetzt, wird KI zu einem kontrollierbaren Bestandteil der Unternehmensinfrastruktur.
Wann sich eine individuelle Lösung lohnt
Standardsoftware reicht aus, wenn der Anwendungsfall klar abgegrenzt ist, keine sensiblen Daten betrifft und keine tiefen Integrationen benötigt. Sobald ein System jedoch internes Wissen zuverlässig nutzen, mehrere Fachanwendungen verbinden oder kritische Prozesse unterstützen soll, steigt der Bedarf an einer individuellen Architektur deutlich.
Das betrifft beispielsweise einen Assistenten, der Vertragswissen und CRM-Daten zusammenführt, einen Workflow zur Bearbeitung von Serviceanfragen oder ein System zur Analyse technischer Dokumentationen. Hier entscheidet nicht allein die Qualität des Basismodells über den Nutzen. Entscheidend sind Datenzugriff, Rechtekonzept, Prozesslogik und die Frage, ob das System in die bestehende IT-Landschaft passt.
Solara AI entwickelt solche geschlossenen KI-Systeme mit dem Ziel, Nutzen und Kontrolle nicht gegeneinander auszuspielen. Das bedeutet: KI wird dort eingesetzt, wo sie manuelle Arbeit reduziert und Wissen verfügbar macht, während Datenräume, Rollen und Integrationen unternehmensgerecht steuerbar bleiben.
Die richtige Sicherheitsfrage lautet daher nicht, ob ein Firmenmodell hundertprozentig risikofrei ist. Kein digitales System erfüllt diesen Anspruch. Die entscheidende Frage ist, ob Risiken sichtbar gemacht, technisch begrenzt und im Betrieb beherrscht werden. Genau dort beginnt aus einem einzelnen KI-Tool eine tragfähige Unternehmenslösung.