Der ungeregelte Prompt, dokumentiert: die Vorfallsbilanz, die jede KI-⁠Richtlinie zitieren sollte

Den grundsätzlichen Fall haben wir in [Der unkontrollierte Prompt](article-ungoverned-prompt.html) dargelegt: Mitarbeitende haben KI vor ihren Unternehmen eingeführt, und das Ergebnis ist ein Datenfluss, den niemand protokolliert und niemand auf Verlangen vorlegen kann. Dieser Beitrag ist die Beweisakte. Jeder Vorfall unten ist dokumentiert, datiert und mit Quelle versehen — die Bilanz, die ein CISO dem Vorstand vorlegen kann, und die eine KI-Richtlinie zitieren sollte. Die Frage, die sie beantwortet, ist nicht, ob ungeregeltes Prompten in der Theorie riskant ist. Sondern was in der Praxis bereits schiefgegangen ist.

Was ist tatsächlich schiefgegangen, wenn Mitarbeitende öffentliche KI nutzen?

Das ist kein hypothetisches Risiko, sondern eine Vorfallsbilanz.

• Samsung, 2023. Wenige Wochen nach der Freigabe von ChatGPT identifizierte Samsung drei separate Vorfälle, in denen Ingenieure sensibles Material einfügten — darunter halbleiterbezogener Quellcode zum Debuggen und ein aufgezeichnetes internes Meeting zur Protokollerstellung. Im Mai 2023 verbot Samsung generative KI-Tools auf Firmengeräten (Bloomberg, Forbes, Mai 2023).
• Die Datenpannen-Akten der niederländischen Datenschutzbehörde, 2024. Die Autoriteit Persoonsgegevens veröffentlichte eine formelle Warnung, nachdem sie mehrere Datenpannen-Meldungen erhalten hatte, die dadurch entstanden, dass Mitarbeitende personenbezogene Daten in KI-Chatbots eingaben — darunter eine Mitarbeiterin einer Arztpraxis, die medizinische Patientendaten eingab, und ein Telekom-Mitarbeiter, der eine Datei mit Kundenadressen eingab (Autoriteit Persoonsgegevens, 6. August 2024).

Das Muster in beiden Fällen: Die Mitarbeitenden handelten nicht böswillig. Sie waren produktiv. Die Werkzeuglandschaft bot schlicht keinen governten Weg für das, was sie brauchten — also floss der Inhalt dorthin, wo die Produktivität war.

Auch wenn Ihre Leute alles richtig machen, kann der Anbieter die Datenpanne sein

Ein ungeregelter Prompt erbt jeden Fehler des Dienstes, bei dem er landet.

• März 2023: Ein Fehler in einer Redis-Client-Bibliothek bei OpenAI machte für manche Nutzer die Chat-Titel anderer Nutzer sichtbar; in einem neunstündigen Fenster konnten bei etwa 1,2 % der ChatGPT-Plus-Abonnenten Name, Rechnungsadresse und Teile der Kartendaten für andere sichtbar gewesen sein (OpenAI-Postmortem, 24. März 2023).
• Juli–August 2025: Die ChatGPT-Option, geteilte Chats „auffindbar" zu machen, endete damit, dass über 4.500 geteilte Konversationen von Google indexiert wurden — teils mit Namen, Lebensläufen und vertraulichen Arbeitsinhalten —, bevor OpenAI die Funktion entfernte und mit der De-Indexierung begann (Fast Company; Search Engine Land, August 2025).

Für keinen der beiden Vorfälle musste ein Mitarbeitender etwas falsch machen. Die Daten lagen schlicht außerhalb des Unternehmensperimeters — den Bugs und Produktentscheidungen eines anderen ausgeliefert.

Löst eine governte Suite wie Copilot das Problem nicht?

Sie löst das Perimeter-Problem und legt ein anderes frei: Oversharing. Ein Enterprise-Assistent antwortet mit allem, worauf der angemeldete Nutzer technisch zugreifen kann — Jahre alter „Jeder"-Links, vererbter Berechtigungen und vergessener Sites inklusive. Die Analyse von Concentric AI verortet 16 % der geschäftskritischen Daten in der Kategorie „übergeteilt" — im Schnitt rund 802.000 exponierte Dateien pro Organisation —, und Microsofts eigene Deployment-Leitfäden stellen inzwischen die Sanierung von Oversharing mit Purview und SharePoint Advanced Management ins Zentrum, bevor der Assistent ausgerollt wird (Concentric AI; Microsoft, 2024–2025). Die Lehre lässt sich verallgemeinern: Ein KI-Assistent ist ein Berechtigungs-Auditor, den Sie nicht bestellt haben. Ist die Suche nicht berechtigungsbewusst und protokolliert, findet der Assistent, was Ihr Zugriffsmodell vergessen hat.

Was erwarten die Aufsichtsbehörden von Ihnen?

Zwei Signale zählen.

• Schon die Eingabe personenbezogener Daten in einen Chatbot kann eine meldepflichtige Datenpanne sein. Das ist die explizite Position hinter der Warnung der niederländischen Datenschutzbehörde von 2024 — die zitierten Meldungen wurden eingereicht, weil Mitarbeitende eine KI mit personenbezogenen Daten befüllt hatten (Autoriteit Persoonsgegevens, 6. August 2024).
• Die Anbieterseite steht unter Enforcement, nicht nur unter Hinweisen. Die italienische Garante verhängte im Dezember 2024 eine Geldbuße von über 15 Millionen Euro gegen OpenAI — unter anderem, weil Nutzerdaten ohne ausreichende Rechtsgrundlage für das Training verarbeitet worden seien (Garante-Entscheidung, 20. Dezember 2024; OpenAI hat Berufung angekündigt).

Eine Organisation, die nicht rekonstruieren kann, was ihre Mitarbeitenden an einen KI-Dienst gesendet haben, kann die Fragen nicht beantworten, die beide Entwicklungen ihr früher oder später stellen werden.

Was kostet es, den Prompt ungeregelt zu lassen?

• Kein Audit-Trail: Sie können nicht auflisten, was das Haus verlassen hat — also weder melden noch sanieren noch sich verteidigen.
• Unsicherheit bei Aufbewahrung und Trainingsnutzung: Was ein öffentlicher Dienst speichert und woraus er lernt, regeln dessen Bedingungen — die sich ändern —, nicht Ihre Richtlinie.
• Exponiertes Zugriffsmodell: Ungeregelte Assistenten fördern zutage, was Berechtigungen erlauben — und das ist selten das, was die Richtlinie meint.
• Richtlinien-Theater: Werkzeuge zu verbieten, ohne eine governte Alternative anzubieten, verlagert die Nutzung auf Privatgeräte — wo die Sichtbarkeit exakt null ist. Samsungs Verbot war rationale Triage — ein Endzustand ist es nicht.

Was muss „governt" heißen, bevor KI Unternehmensdaten berührt?

• Assistent, Retrieval und Inferenz laufen innerhalb Ihres Perimeters — ein Prompt ist ein internes Ereignis, kein Export.
• Jeder Prompt und jede Antwort landet in einem Audit-Trail, den Compliance tatsächlich lesen kann.
• Retrieval ist berechtigungsbewusst pro Nutzer — wer fragt, sieht nur, wofür er freigegeben ist, mit Quellenangaben.
• Sensible Arbeit läuft standardmäßig auf lokalen Modellen; alles, was den Perimeter verlässt, ist eine bewusste, richtliniengeprüfte Ausnahme — kein Default.
• Egress ist default-deny: Nichts spricht nach draußen, bevor es jemand erlaubt.

Ihre Mitarbeitenden werden weiter prompten — zu Recht; der Produktivitätsgewinn ist real. Die einzige tragfähige Antwort ist, dem Prompt einen governten Ort zu geben.

Quellen: Bloomberg / Forbes (Samsung-Verbot, Mai 2023); OpenAI-Postmortem „March 20 ChatGPT outage" (24. März 2023); Fast Company & Search Engine Land (indexierte geteilte Chats, August 2025); Leitlinien der Autoriteit Persoonsgegevens (6. August 2024); Garante-Entscheidung zu OpenAI (20. Dezember 2024); Datenrisiko-Analysen von Concentric AI & Microsoft-365-Copilot-Deployment-Leitfäden (2024–2025). Zahlen wie von diesen Quellen berichtet.