Ein Ingenieur bekommt ein Lastenheft vom OEM-Kunden. Streng vertraulich, NDA. Er soll bis morgen die Kernanforderungen rausziehen.
Also kopiert er zwei Absätze in ein öffentliches KI-Tool und lässt sie zusammenfassen.
Nicht weil er fahrlässig ist. Nicht weil ihm die NDA egal ist. Sondern weil zwischen »ich fasse kurz was zusammen« und »ich verletze eine Geheimhaltung« im Kopf kein Zusammenhang entsteht.
Absatz markieren. Kopieren. In den Chat. Zusammenfassung zurück ins Dokument. Fertig in fünf Minuten.
Was dabei wirklich passiert, steht in keinem Prozess: Der Absatz liegt jetzt auf dem Server eines Dritten.
Rechtlich gilt das als Offenlegung gegenüber einem Dritten. Ein Geschäftsgeheimnis ist aber nur geschützt, solange es geheim ist und durch angemessene Geheimhaltungsmaßnahmen aktiv geschützt wird. Mit der Eingabe kann genau diese Voraussetzung entfallen — nicht irgendwann, sondern in dem Moment, in dem es passiert.
Nicht durch eine Strafe. Durch den Vorgang selbst.
Einen Nebeneffekt erwähne ich noch, weil er oft übersehen wird: Die Verantwortung dafür liegt rechtlich nicht beim Ingenieur, sondern bei der Geschäftsführung. Und die KI-Kompetenzpflicht aus dem EU AI Act — seit Februar 2025 in Kraft, seit August 2025 sanktionsbewehrt — verlangt von Unternehmen genau die Steuerung, die in diesem Moment fehlt.
Bei einem Lastenheft im Quartal ist das ein überschaubares Risiko. Bei einer Abteilung, die für drei OEMs parallel arbeitet, ist es ein offenes Tor — eines, von dem du im Zweifel erst durch den Kunden erfährst.
Es fühlt sich an wie eine harmlose Abkürzung.
Es ist die stille Aufgabe eines Schutzes, den du nicht zurückbekommst.
Wüsstest du im Zweifel zu belegen, welche Kundendaten eure Teams in KI-Tools eingegeben haben?
Quelle: § 2 Nr. 1 GeschGehG; Art. 4 EU AI Act (KI-Kompetenzpflicht, in Kraft seit 02/2025, sanktionsbewehrt seit 08/2025)