Welche Daten aus dem ERP sollten wir keiner Cloud-KI geben?

Das hängt vom Schutzbedarf der Daten ab, nicht von der Begeisterung für die Technik. Eine einfache Einteilung in drei Stufen hilft: Unkritisches wie Artikeltexte kann in eine Cloud-KI. Internes wie Umsätze und Kundenlisten nur in eine Lösung mit klaren Verträgen und Serverstandort in der EU. Streng Vertrauliches wie Lohndaten oder Einkaufskonditionen gehört auf eine lokale KI im Haus oder bleibt ganz draußen. Dieser Überblick ersetzt keine Rechtsberatung.

Warum sollte man überhaupt unterscheiden?

Weil ein ERP sehr unterschiedliche Daten enthält. Im selben System stehen die Produktbeschreibung, die jeder auf Ihrer Website lesen kann, und das Gehalt der Lohnverrechnerin. Behandelt man alles gleich streng, bleibt KI ungenutzt, wo sie unbedenklich wäre. Behandelt man alles gleich locker, landen Dinge in fremden Händen, die dort nichts verloren haben.

Wie sieht eine einfache Einteilung aus?

Stufe	Beispiele aus dem ERP	Naheliegender Umgang
öffentlich oder unkritisch	Artikelbezeichnungen, Datenblätter, Lieferbedingungen, Kataloge	Cloud-KI mit Firmenvertrag möglich
intern	Umsätze je Kunde, offene Aufträge, Kundenlisten, Lieferantenkorrespondenz	nur mit Auftragsverarbeitungsvertrag, Serverstandort EU, ohne Training
streng vertraulich	Lohn und Gehalt, Krankenstände, Einkaufskonditionen, Deckungsbeiträge, Bankverbindungen	lokale KI im Haus oder gar nicht

Die Einteilung ist ein Vorschlag. Ihre eigene kann anders ausfallen, etwa wenn ein Kundenvertrag Ihnen strengere Vorgaben macht.

Was ist an Lohndaten so besonders?

Im Lohnmodul stehen nicht nur Gehälter, sondern oft auch Krankenstände oder Angaben dazu, ob jemand als begünstigt behindert gilt. Das sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, für die strengere Regeln gelten als für eine Kundenadresse. Dazu kommt, dass Mitarbeiterdaten in vielen Betrieben ein Thema für den Betriebsrat sind.

Wer hier KI einsetzen will, etwa um Fragen zu Abwesenheiten oder Lohnarten zu beantworten, sollte den Datenschutzbeauftragten und gegebenenfalls den Betriebsrat von Anfang an einbinden.

Was ist mit Einkaufskonditionen und Deckungsbeiträgen?

Sie sind keine personenbezogenen Daten, aber oft das, was ein Unternehmen am wenigsten nach außen geben will. Wer Ihre Einkaufspreise und Margen kennt, kennt Ihre Verhandlungsposition. Hier geht es weniger um Datenschutz als um Geschäftsgeheimnisse. Die Frage lautet: Wem würden Sie diese Liste auch ausgedruckt geben?

Welche Wege gibt es für die heiklen Daten?

Eine Lösung mit eigenem Server in der EU. Die KI-Wissensdatenbank von Goma-IT läuft auf einem eigenen Server je Kunde in Deutschland (Hetzner, Falkenstein), das Sprachmodell über Microsoft Azure in der EU-Datenzone, ohne Training mit Ihren Daten. Für die mittlere Stufe kann das ausreichen.

Eine lokale KI im Haus. Das Sprachmodell läuft auf eigener Hardware mit Grafikprozessor (GPU) in Ihrem Serverraum, die Daten verlassen das Firmennetz nicht. Bevor Hardware gekauft wird, zeigt ein Machbarkeits-Check auf gemieteter GPU-Rechenleistung in einem EU-Rechenzentrum, ob ein lokales Modell für Ihre Aufgaben reicht, und zwar mit Testdaten statt echter Lohnlisten.

Gar keine KI. Auch das ist eine vernünftige Antwort, wenn der Nutzen den Aufwand nicht rechtfertigt.

Was gilt für die Mitarbeiter?

Die beste Einteilung nützt nichts, wenn jemand eine Lohnliste in einen kostenlosen KI-Chat kopiert, um schnell eine Summe zu bilden. Eine kurze interne Regel, welche Daten in welches Werkzeug dürfen, ist deshalb mindestens so wichtig wie die Wahl der Technik.

Wie fangen Sie an?

Gehen Sie die Module Ihres ERP durch und ordnen Sie jedes einer Stufe zu, gemeinsam mit Buchhaltung, Personal und dem Datenschutzbeauftragten. Für Daten der höchsten Stufe beschreibt die Seite zur lokalen KI, wie ein eigenes Sprachmodell im Haus geprüft und eingerichtet wird.