KI im Büro sicher nutzen: die wichtigsten Empfehlungen des BSI für kleine Unternehmen

Veröffentlicht am 24.10.2026

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die staatliche Stelle für Computersicherheit in Deutschland. In seinem Leitfaden „Management Blitzlicht #4“ (Stand Juli 2024) beschreibt es, wie ein Betrieb mit wenig bis gar keiner Erfahrung einen sicheren Start mit KI hinlegt. Der Leitfaden ist ausdrücklich ein Einstieg: Er ersetzt keine gründliche Auseinandersetzung mit dem Thema und erhebt keinen Anspruch auf Vollständigkeit.

Drei Wege, auf denen KI in den Betrieb kommt

Das BSI unterscheidet drei Fälle und nennt für jeden eigene Schritte. Erstens: Sie nutzen eine fertige KI über eine Webseite, zum Beispiel zum Übersetzen oder für Bilder. Zweitens: Ein fremdes KI-System wird über eine API in eine eigene Anwendung eingebaut. API heißt Programmierschnittstelle, also ein technischer Zugang, über den zwei Programme miteinander sprechen. Drittens: Sie bauen ein eigenes KI-System auf, zum Beispiel eine Bildverarbeitung, die Teile automatisch kontrolliert.

1. Erst aufschreiben, was schon benutzt wird

Beginnen Sie mit einem Demand Management für KI. Das bedeutet: Erfassen Sie den Ist-Stand und legen Sie eine Übersicht an, welche KI-Systeme in Ihrer Organisation schon verwendet werden. Klären Sie danach, welche rechtlichen Bedingungen für Sie gelten.

2. Kriterien für den Anbieter festlegen

Achten Sie bei möglichen Anbietern auf Transparenz und darauf, wo die Server stehen. Legen Sie Firmenkonten an statt privater Konten, wählen Sie datensparsame Einstellungen, verbieten Sie die Nutzung Ihrer Daten für Trainings und setzen Sie Löschfristen für Chats und Dokumente.

3. KI-Leitlinien schreiben

Eine KI-Leitlinie beantwortet eine einfache Frage: Wer darf welche KI-Systeme zu welchem Zweck einsetzen? Das BSI nennt dazu vier Regeln:

4. Die Menschen mitnehmen

Schaffen Sie Akzeptanz bei Mitarbeitenden und in Gremien und binden Sie alle Beteiligten frühzeitig ein. Ohne das bleiben die besten Regeln auf dem Papier.

5. Wenn ein fremdes KI-System in eine eigene Anwendung kommt

Hier empfiehlt das BSI zusätzlich: Rollen und Verantwortlichkeiten eindeutig zuweisen, die KI-Abläufe in das eigene Sicherheitsmanagement einhängen, Systeme und Prozesse mit KI kennzeichnen, auflisten, auf welche Datenbanken die KI zugreift, und den Zugriff auf andere Systeme einschränken. Prüfen Sie die Ausgaben, bevor sie an nachgelagerte Systeme weitergegeben werden. Beschreiben Sie den Verwendungszweck und legen Sie fest, welche Daten dafür freigegeben sind. Beziehen Sie den Datenschutzbeauftragten von Beginn an ein.

6. Wenn ein eigenes KI-System entsteht

Zusätzlich zum IT-Sicherheitsmanagement rät das BSI zu einem Expertenteam für KI und einem Team für KI-Sicherheit, dazu Tests wie ein AI Pen Testing. Das ist ein Angriffstest, der Schwachstellen der KI aufdecken soll. Verfolgen Sie die Lieferkette der Bausteine, fordern Sie Model Cards an (kurze Steckbriefe zu einem KI-Modell) und verwenden Sie nur vertrauenswürdige Bausteine.

Was der EU AI Act für kleine Betriebe bedeutet

Der AI Act ist das erste umfassende und bindende Regelwerk der EU für KI. Er wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und trat am 1. August 2024 in Kraft. Er teilt KI-Systeme in Risikoklassen ein; der BSI-Leitfaden bezieht sich auf die niedrigste Klasse. Viele Fragen — Urheberrecht, Datenschutz, Haftung, Ethik und Fairness — werden erst in den kommenden Jahren durch Gerichte ausdefiniert, und zwar in verschiedenen Regionen unterschiedlich. Für den Einsatz in Europa kann es deshalb rechtlich vereinfachend wirken, europäische KI-Systeme zu verwenden.

Gut zu wissen

Der Leitfaden ist eine Orientierung und keine Rechtsberatung. Prüfen Sie die Regeln für Ihren Betrieb selbst oder mit fachkundiger Hilfe.

Quelle: BSI, Management Blitzlicht #4: Getting started – Secure AI Operations (PDF)