Geschäftsgeheimnisse und KI: was das GeschGehG vom Mittelstand verlangt

Eine Zeichnung eines Frästeils, eine Preisliste eines Lieferanten, die Parameter eines Schweißverfahrens, an denen zehn Jahre gefeilt wurde: Im industriellen Mittelstand steckt der eigentliche Wert oft in einer Handvoll Dateien. Genau diese Dateien landen heute in Tools für generative KI, manchmal ohne dass die Geschäftsführung davon weiß.

Das deutsche Recht stellt eine klare Bedingung: Ein Geschäftsgeheimnis ist nur geschützt, wenn das Unternehmen angemessene Geheimhaltungsmaßnahmen getroffen hat. Wer eine Zeichnung in einen öffentlichen Chatbot kopiert, kann diesen Schutz schwächen. So behält der Mittelstand die Kontrolle.

Das GeschGehG in zwei Minuten

Das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) gilt seit dem 26. April 2019. Es setzt die EU-Richtlinie 2016/943 über den Schutz von Geschäftsgeheimnissen um.

§ 2 definiert das Geschäftsgeheimnis. Eine Information ist nur dann eines, wenn drei Bedingungen erfüllt sind:

• sie ist nicht allgemein bekannt oder ohne Weiteres zugänglich und hat daher wirtschaftlichen Wert;

• sie ist Gegenstand von angemessenen Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber;

• es besteht ein berechtigtes Interesse an der Geheimhaltung.

Die zweite Bedingung verändert alles. Vor 2019 reichte oft schon der Wille, eine Information geheim zu halten. Heute muss das Unternehmen im Streitfall zeigen, was es konkret zum Schutz getan hat. Ohne Maßnahmen kein Geschäftsgeheimnis und kein Anspruch gegen denjenigen, der es genutzt hat.

Was Teams wirklich an die KI schicken

In der Konstruktion oder im Einkauf ist generative KI echte Hilfe: ein Lastenheft zusammenfassen, ein Angebot für einen ausländischen Kunden übersetzen, Angebote vergleichen, eine Betriebsanleitung entwerfen. Das Problem ist das Rohmaterial dieser Anfragen.

• Ausschnitte aus Zeichnungen und Stücklisten, mit Maßen und Toleranzen;

• Einkaufspreise, Rabatte und mit Lieferanten verhandelte Konditionen;

• Maschinenparameter, Materialrezepturen oder Prüfergebnisse;

• Kundenlisten mit Mengen und Margen.

Jede dieser Informationen kann ein Geschäftsgeheimnis sein. Sobald sie an einen Verbraucherdienst geht, verlässt sie das Unternehmen. Je nach Bedingungen des Anbieters wird sie gespeichert, von Menschen geprüft oder fürs Training genutzt. Dieses Szenario beschreiben wir in unserem Artikel zur Anatomie eines KI-Datenlecks.

Warum ein Rundschreiben nicht reicht

Viele Unternehmen haben mit einer internen Mitteilung reagiert: keine vertraulichen Daten in ChatGPT. Das ist ein guter Anfang. Vor Gericht wird aber gefragt, ob die Maßnahmen angesichts des Werts der Information und der bekannten Risiken angemessen waren.

Eine Regel, die im Alltag niemand umsetzen kann, wiegt wenig. Ein Techniker unter Zeitdruck liest die Richtlinie nicht noch einmal, bevor er um eine Übersetzung bittet. Und die Geschäftsführung hat keinen Nachweis darüber, was tatsächlich abgeflossen ist. KI-Nutzung ist inzwischen ein bekanntes Risiko. Die Maßnahmen müssen es also mit technischen Mitteln adressieren, nicht nur mit Anweisungen.

Angemessene Maßnahmen, auf KI zugeschnitten

Das Gesetz enthält keine abschließende Liste. In der Fachliteratur werden Maßnahmen meist in drei Gruppen eingeteilt: organisatorisch, rechtlich und technisch. Für generative KI heißt das zum Beispiel:

1. Informationen klassifizieren: die Zeichnungen, Preise und Verfahren benennen, die wirklich zählen, und sie kennzeichnen.

2. Freigegebene Tools festlegen: KI-Dienste mit Unternehmensvertrag, ohne Weiterverwendung der Daten fürs Training.

3. Beim Absenden prüfen: sensible Informationen im Prompt oder in der Datei erkennen, bevor sie das Haus verlassen.

4. Mit echten Fällen schulen: den Teams zeigen, wie ein Geschäftsgeheimnis in ihrem eigenen Job aussieht.

5. Dokumentieren: Regeln, Kontrollen und bearbeitete Vorfälle nachweisbar festhalten.

Der letzte Punkt wird oft vergessen. Dabei ist er es, mit dem sich im Ernstfall belegen lässt, dass das Unternehmen das Thema ernst genommen hat.

Auch Lieferanten und Kunden

In der Industrie sind die Geheimnisse nicht nur die eigenen. Ein Automobilzulieferer erhält die Zeichnungen seines Auftraggebers unter einer Geheimhaltungsvereinbarung. Landen diese Zeichnungen in einem öffentlichen KI-Tool, steht der Vertrag auf dem Spiel und manchmal die ganze Geschäftsbeziehung.

Große Kunden fragen in Lieferantenaudits immer häufiger danach. Eine KI-Nutzungsrichtlinie vorzeigen zu können, die technisch durchgesetzt wird, wird zum Verkaufsargument. Wer weiter gehen will, findet in unserem Artikel zu souveräner KI für europäische CISOs die Hosting-Optionen.

Die Rolle des Betriebsrats

Ein Tool, das analysiert, was Beschäftigte an die KI schicken, berührt die Überwachung am Arbeitsplatz. Der Betriebsrat hat ein Mitbestimmungsrecht bei technischen Einrichtungen, die geeignet sind, das Verhalten der Beschäftigten zu überwachen. Er gehört also von Anfang an mit an den Tisch. Dazu gibt es einen eigenen Artikel: generative KI mit dem Betriebsrat einführen.

Die gute Nachricht: Geheimnisschutz und Respekt vor den Beschäftigten zeigen in dieselbe Richtung. Eine Lösung, die Daten anonymisiert statt alles zu blockieren, und nur relevante Vorfälle speichert, lässt sich leichter vereinbaren.

Wie ZeusLock den Mittelstand unterstützt

ZeusLock läuft auf den Geräten und Browsern der Beschäftigten. Es erkennt sensible Daten in Prompts und Dateien: Teilenummern, Preise, Kundennamen, personenbezogene Daten. Je nach Regel warnt es, blockiert oder ersetzt die Daten durch einen realistischen Wert im gleichen Format, damit die Antwort der KI brauchbar bleibt. Wie das funktioniert, erklärt unser Artikel zur formatbewahrenden Anonymisierung.

Jeder Vorfall wird protokolliert. Diese Protokolle werden zu einem konkreten Baustein der Dokumentation der Geheimhaltungsmaßnahmen, die das GeschGehG verlangt.

Das Wichtigste in Kürze

Das GeschGehG schützt nur Geheimnisse, die das Unternehmen selbst schützt. Bei generativer KI müssen diese Maßnahmen in dem Moment greifen, in dem jemand eine Anfrage absendet, und eine Spur hinterlassen. Klassifizieren, ausstatten, schulen und dokumentieren: Das macht im Streitfall den Unterschied.

Sie möchten sehen, wie ZeusLock Ihre Zeichnungen und Lieferantendaten schützt, ohne Ihre Teams auszubremsen? Demo anfragen.