Interne Dokumente in einen Chatbot zu geben ist technisch schnell erledigt: Ablage anbinden, Index aufbauen, fertig. Ob das Ergebnis tragfähig ist, entscheiden drei Fragen, die vorher beantwortet sein sollten.
Der typische Wunsch klingt so: „Alle sollen einfach fragen können, wie unsere Reisekostenregel lautet oder welche Garantie wir auf Produkt X geben – ohne im Laufwerk zu suchen.“ Das ist ein gutes Ziel. Der Weg dorthin führt aber nicht über das komplette Laufwerk.
1. Welche Daten genau?
Nicht „das Fileshare“, sondern benannte Ablagen mit einem klaren Zweck: Handbücher, Richtlinien, Produktdokumentation, freigegebene Vorlagen.
Personalakten, Bewerbungen, Gehaltsdaten, Gesundheitsinformationen und Verträge mit Personenbezug gehören in keinen allgemeinen Index. Sie landen dort trotzdem schnell, wenn ganze Laufwerke eingelesen werden – in irgendeinem Unterordner liegt immer eine Gehaltsliste.
Hilfreich ist eine einfache Positivliste: Welche Ordner kommen hinein, wer ist für ihren Inhalt verantwortlich, und wer entfernt veraltete Dokumente? Ein Chatbot, der eine Regel von 2019 zitiert, schadet mehr, als er nützt.
2. Wer darf was sehen?
Ein Chatbot ohne Berechtigungskonzept macht jedes indizierte Dokument für alle lesbar. Die Zugriffsrechte, die im Laufwerk gelten, müssen sich in den Antworten abbilden – sonst wird aus einem Komfortprojekt ein Datenschutzvorfall.
Lösungen wie Microsoft 365 Copilot übernehmen die vorhandenen Berechtigungen automatisch. Das klingt beruhigend, verlagert das Problem aber nur: Wenn die Rechte selbst zu großzügig vergeben sind, findet der Chatbot eben alles, was schon vorher offen stand. Freigaben für „Jeder im Unternehmen“ und alte Teams mit ehemaligen Mitgliedern sind die häufigsten Ursachen.
Deshalb gilt: Erst die Berechtigungen prüfen, dann den Chatbot anbinden. Bei eigenen Lösungen außerhalb von Microsoft 365 muss die Rechteprüfung ausdrücklich eingebaut werden. Fragen Sie den Anbieter, wie das technisch gelöst ist.
3. Wo läuft die Verarbeitung?
Bevor das erste Dokument hochgeladen wird, gehören vier Punkte schriftlich geklärt:
- Standort: Werden die Daten in der EU verarbeitet und gespeichert?
- Auftragsverarbeitungsvertrag: Liegt ein Vertrag nach Art. 28 DSGVO vor?
- Kein Training: Sichert der Anbieter zu, dass Ihre Daten nicht zum Training seiner Modelle verwendet werden?
- Löschung: Was passiert mit Index und Verläufen, wenn Sie den Dienst kündigen?
Kostenlose Verbraucherversionen von Chat-Diensten erfüllen diese Punkte in der Regel nicht. Für Firmendaten kommen nur Geschäftskundentarife infrage.
Die unterschätzte Hürde: Betriebsrat und Beschäftigte
Ein Chatbot protokolliert, wer was fragt. Damit ist er eine technische Einrichtung, die grundsätzlich geeignet ist, Verhalten zu überwachen. Gibt es einen Betriebsrat, hat er nach § 87 BetrVG mitzubestimmen. Das ist kein Hindernis, sondern planbar: Eine Betriebsvereinbarung regelt, wofür die Protokolle genutzt werden dürfen und wofür nicht.
Auch ohne Betriebsrat sollten die Beschäftigten wissen, was gespeichert wird. Dass sie mit einer KI sprechen, muss nach der KI-Verordnung erkennbar sein. Bei einem internen Chatbot ist das meist ohnehin offensichtlich, ein kurzer Hinweis im Fenster schadet trotzdem nicht.
Checkliste vor dem Start
- Zweck in einem Satz formulieren
- Positivliste der Ablagen mit Verantwortlichen
- Berechtigungen dieser Ablagen prüfen und bereinigen
- Vertrag: EU-Verarbeitung, AV-Vertrag, kein Training, Löschung
- Betriebsrat einbinden oder Beschäftigte informieren
- Mit einer kleinen Gruppe testen und gezielt nach Dingen fragen, die sie nicht sehen dürfte
Der letzte Punkt ist der wichtigste Test: Findet der Chatbot etwas, das er nicht finden sollte, ist es jetzt aufgefallen – und nicht erst nach dem Start.