Heute Morgen kam Tobias aus der IT bei mir im Glaskasten vorbei, sichtlich nervös. Er hatte diesen Blick drauf, den er immer hat, wenn jemand in der Fertigung versucht hat, einen WLAN-Router eigenmächtig mit Alufolie zu 'verstärken'. Aber diesmal war es das Marketing. Er hielt mir sein Tablet hin und zeigte mir ein Bild, das auf den ersten Blick wie ein normales Teamfoto aussah. Auf den zweiten Blick hatten einige Kollegen sechs Finger und Frau Krüger aus der Fertigungsleitung trug plötzlich ein Abendkleid statt ihrer üblichen Arbeitsweste. Ein Kollege aus dem Marketing hatte für eine 'lokale Kampagne' einfach echte Mitarbeiterfotos in ein US-KI-Tool hochgeladen, um daraus 'sympathische Avatare' zu generieren. Ungefragt. Ohne Einwilligung. Mitten in meine frisch sortierte Welt als AI-Act-Beauftragte.
KW 48: Ein kleiner Foto-Fauxpas mit großen Folgen
Ich saß da und starrte auf das Bild. In meinem Kopf ratterte es. Wir sind 78 Mitarbeiter hier in Düsseldorf. Das sind 78 Datensätze, 78 Persönlichkeitsrechte und 78 potenzielle Gründe für Ärger, wenn wir die Datenschutz-Grundverordnung (DSGVO) ignorieren. Was der Kollege als 'effizientes Content-Creation-Tool' sah, war für mich ein Albtraum aus fehlenden Auftragsverarbeitungs-Verträgen (AVV) und unklaren Serverstandorten. Ich habe in diesem Moment gemerkt, dass meine Rolle hier kein Papiertiger ist. Wenn wir hier Mist bauen, tickt die Uhr: Wir haben genau 72 Stunden Zeit, um eine Datenpanne zu melden, wenn ein Risiko für die Rechte der Betroffenen besteht. 72 Stunden, in denen ich wahrscheinlich kein Auge zutun würde.
Ich musste dem Kollegen erst einmal erklären, dass er gerade biometrische Merkmale unserer Belegschaft auf Server geschickt hat, von denen wir nicht einmal wissen, ob sie in der EU stehen. In meinem BWL-Studium habe ich viel über Marketing-Mix gelernt, aber niemand hat mir beigebracht, wie man einem enthusiastischen Content-Creator erklärt, dass er gerade die Grundlagen für ein Bußgeld von bis zu 20 Millionen Euro gelegt hat. Okay, ganz so schlimm wäre es bei uns als KMU wahrscheinlich nicht sofort, aber der Höchstsatz der DSGVO steht nun mal so im Gesetz. Ich habe mir vorgenommen, das Marketing nicht zu bremsen, aber wir brauchen Leitplanken.
KW 14: Wenn Paragrafen rascheln – Die Suche nach der Transparenz
Kurz vor Ostern saß ich abends noch lange im Büro. Das trockene Papiergefühl der ausgedruckten 144 Erwägungsgründe der KI-Verordnung zwischen den Fingern, während draußen die Düsseldorfer Abendsonne hinter den Werkshallen verschwand. Ich hatte mir vorgenommen, die 4 Risikoklassen des AI Act auswendig zu lernen, um im nächsten Meeting nicht wie der Ochs vor dem Berg zu stehen. Das meiste, was wir im Marketing machen – Texte schreiben, Bilder generieren – fällt zum Glück in den Bereich mit geringem oder begrenztem Risiko. Aber es gibt Transparenzpflichten nach Art. 52. Wenn wir KI-Bilder nutzen, müssen wir das kennzeichnen. So simpel, so logisch, und doch so schwer umzusetzen, wenn das Tool keinen 'Made with AI'-Stempel automatisch draufklatscht.
Ich hatte diesen kurzen Moment der Panik, als ich realisierte, dass ich als BWLerin plötzlich entscheiden soll, ob ein Algorithmus eine 'biometrische Kategorisierung' betreibt. Ich bin keine Juristin und habe keine IT-Zertifikate, aber ich bin diejenige, die die Unterschrift unter die Prozessbeschreibung setzt. Ich habe dann angefangen, für jedes Tool eine kleine Checkliste zu machen: Wo liegen die Daten? Werden sie zum Training des globalen Modells genutzt? Gibt es Standardvertragsklauseln (SCCs) für den Datentransfer in die USA? Es fühlte sich an wie Detektivarbeit, nur ohne den coolen Hut.
Ehrlich gesagt war ich anfangs völlig überfordert. Ich dachte, ich müsste jedes Tool einzeln tiefenprüfen. Dann habe ich gemerkt, dass viele Probleme hausgemacht sind, weil wir nicht klar kommunizieren, was erlaubt ist. Wenn du dich auch so fühlst, als würdest du im Paragrafendschungel ersticken, schau dir mal an, wie ich versuche, Stress als KI-Beauftragte im Mittelstand mit mehr Gelassenheit zu begegnen. Manchmal hilft es schon, tief durchzuatmen und zu akzeptieren, dass man nicht alles am ersten Tag wissen kann.
KW 30: Die KI-Ampel als Rettungsanker
Mitten im Sommerloch, als es in der Fertigung etwas ruhiger war, haben Tobias und ich uns zusammengesetzt. Wir haben die 'KI-Ampel' erfunden. Drei Farben, die für jeden im Marketing sofort verständlich sind.
- Grün: Tools, für die wir einen AV-Vertrag haben und die keine Daten zum Training nutzen. Go for it!
- Gelb: Tools, die nur für anonymisierte Daten genutzt werden dürfen (keine Namen, keine Fotos von Kollegen, keine internen Maschinenspezifikationen).
- Rot: Alles, was biometrische Daten verarbeitet oder dessen AGB uns das Recht an unseren eigenen Inhalten abspricht. Finger weg!
Ein Punkt, der mir besonders wichtig war: Entgegen der landläufigen Meinung, man solle alles anonymisieren, bin ich einen anderen Weg gegangen. Ich habe der Geschäftsführung vorgeschlagen, dass wir gezielt in geschlossene Instanzen investieren. Das bedeutet: Wir zahlen monatlich ein bisschen mehr, dafür landen unsere Daten in einem geschützten Raum. Warum? Weil die Qualität der KI-Ergebnisse massiv steigt, wenn das Modell den Kontext unseres Unternehmens kennt – unsere Tonalität, unsere Fachbegriffe aus dem Maschinenbau. Anonymisierung macht den Output oft generisch und unbrauchbar. Kontextbezogenes Training in einer sicheren Umgebung ist für mich der wahre Hebel für KMU, statt sich mit abstrakten Prompts abzumühen.
Warum Compliance kein Bremsklotz ist
Gestern Abend, nach meiner Stunde Yoga, saß ich noch einen Moment auf der Matte und dachte über die letzten Monate nach. Am Anfang war die KI-Verordnung für mich nur ein riesiger Berg Arbeit, den niemand machen wollte. Jetzt sehe ich, dass uns diese Regeln eigentlich schützen. Sie zwingen uns dazu, genau hinzuschauen, wem wir unsere Daten anvertrauen. Wenn wir heute eine Kampagne planen, weiß das Marketing genau, in welche Schranken sie weisen müssen. Das spart uns am Ende Zeit und Nerven.
Natürlich passieren Fehler. Neulich hat jemand vergessen, ein KI-generiertes Icon zu kennzeichnen. Aber weil wir jetzt einen Plan haben, wie wir KI-Vorfälle im Unternehmen melden, war das kein Weltuntergang. Wir haben es korrigiert, kurz im Team besprochen und weitergemacht. Kein Drama, keine Panik vor der Aufsichtsbehörde. Wenn du in einer ähnlichen Rolle bist: Such dir Verbündete in der IT. Tobias und ich sind mittlerweile ein eingespieltes Team. Er prüft die Technik, ich prüfe den Prozess und das Menschliche. Fragt im Zweifel aber immer eine Fachanwältin für IT-Recht, wenn es um wirklich kritische Verträge geht – ich bin schließlich auch nur eine HRlerin, die versucht, das Beste aus der Situation zu machen.
Compliance im Marketing bedeutet nicht 'Nein' zu sagen. Es bedeutet 'Ja, aber sicher' zu sagen. Und wenn ich dadurch mittwochs pünktlich zum Yoga komme, ohne Angst vor einer 72-Stunden-Frist haben zu müssen, dann hat sich die ganze Wühlerei in den Gesetzestexten gelohnt.