Zum Hauptinhalt springen
RATGEBER · HINWEISGEBER

KI in der Meldestelle: Vertraulichkeit zuerst

Der Meldekanal steht, die Meldungen kommen, und die Fristen laufen. Wir zeigen, welche fünf Probleme entstehen, wenn unter Zeitdruck improvisiert wird, und wie ein Sprachmodell die Bearbeitung stützt, ohne dass die Vertraulichkeit zur Verhandlungsmasse wird.

So läuft es heute in den meisten Meldestellen

Der Kanal steht. Das Meldeformular ist veröffentlicht, der QR-Code hängt am schwarzen Brett, die Zuständigkeiten sind geklärt. Damit beginnt der Teil, über den vor der Einführung selten gesprochen wird: die Bearbeitung der Meldungen, die nun tatsächlich eingehen.

Besetzt ist die interne Meldestelle in mittelständischen Unternehmen mit einer, selten mit zwei Personen. Meist ist es die Compliance-Beauftragte oder der Compliance-Beauftragte in Doppelfunktion mit Recht, Personal oder Revision. Meldungen sind dort ein Nebenprozess: Sie kommen unangekündigt, sie kommen selten, und sie kommen nicht als ausgefüllte Maske, sondern als Text. Zwei Bildschirmseiten Fließtext ohne Absätze, teils anonym, teils in gebrochenem Deutsch oder in einer Sprache, die im Haus niemand spricht. Dazu drei Anhänge: ein abfotografierter Schichtplan, ein Screenshot aus einem Chatverlauf, eine PDF ohne sprechenden Dateinamen.

Bis jemand verstanden hat, worum es überhaupt geht – welcher Zeitraum, welche Abteilung, welcher Vorwurf, welche Person ist betroffen und welche nur erwähnt –, ist ein halber Arbeitstag vergangen. Danach beginnt die Formulierungsarbeit. Die Eingangsbestätigung wird von Hand geschrieben, weil der Fall eben kein Standardfall ist. Risiken werden in Stichworten notiert, Maßnahmen in einem Absatz beschrieben, und die Rückmeldung nach drei Monaten entsteht erneut von Hand, oft aus dem Gedächtnis und dem Mailverlauf.

Gleichzeitig läuft die Uhr: sieben Tage bis zur Eingangsbestätigung, drei Monate bis zur Rückmeldung. Beide Fristen beginnen mit dem Eingang der Meldung, nicht mit dem Tag, an dem die zuständige Person aus dem Urlaub zurückkommt.

Die Abkürzung, die niemand dokumentiert

An dieser Stelle entsteht ein Verhalten, das in keiner Verfahrensbeschreibung steht. Wer Zeit sparen will, markiert den Sachverhalt, kopiert ihn in einen öffentlichen Chatbot im Browser und bittet um eine Zusammenfassung, eine Risikoeinschätzung oder einen Textentwurf. Das Ergebnis ist brauchbar. Der Vorgang ist es nicht.

Übermittelt wird dabei alles, was in der Zwischenablage lag: der vollständige Sachverhalt, die genannten Namen von Beschäftigten und Führungskräften und im schlechtesten Fall die Kontaktdaten der hinweisgebenden Person selbst. Kopieren und Einfügen kennt keine Datenminimierung. Wohin die Inhalte gegangen sind, unter welchem Konto, bei welchem Anbieter und zu welchem Zweck, weiß danach niemand. Ein Protokoll des Vorgangs existiert nicht, weil er außerhalb jedes Systems stattgefunden hat.

Der Moment, in dem es auffällt

Auffällig wird das in drei Situationen: wenn die Geschäftsführung oder eine Auditorin fragt, mit welchen Werkzeugen Meldungen bearbeitet werden und wohin Inhalte übertragen wurden; wenn eine hinweisgebende Person wissen will, wer ihren Fall gelesen hat; oder wenn eine Frist gerissen ist und rekonstruiert werden soll, woran die Bearbeitung hing. Dann lautet die Frage nicht „Nutzen Sie KI?", sondern „Wer hat wann welche Inhalte an wen übermittelt – und wo ist das dokumentiert?"

Die Analyse

Fünf Probleme, die improvisierte KI-Nutzung erzeugt

Sie entstehen unabhängig von der Sorgfalt der Meldestelle – sie sind Eigenschaften des improvisierten Vorgehens, nicht der Person.

Meldungsverwaltung in preeco ansehen

Unkontrollierte Übermittlung vertraulicher Inhalte

Ein öffentlicher Chatbot ist keine Meldestelle. Sachverhalt, Anhangstexte und Namen verlassen das Unternehmen über ein Konto, das niemand freigegeben hat, zu Bedingungen, die niemand geprüft hat. Der Vorgang ist danach nicht mehr rückholbar.

Die Identität gerät mit in den Text

Kopieren und Einfügen kennt keine Datenminimierung. Wer den Fall als Ganzes überträgt, überträgt auch Name, Adresse und Funktion der hinweisgebenden Person mit. Genau diese Angabe ist die, die das HinSchG schützt.

Kein Nachweis darüber, was übermittelt wurde

Ohne Protokoll lässt sich der Vorgang nicht rekonstruieren. Es bleibt offen, wann wer welchen Inhalt an welches Modell gegeben hat. Auf die Frage einer Auditorin oder der hinweisgebenden Person gibt es dann keine belastbare Antwort.

Zeitdruck erzeugt Abkürzungen

Die Frist läuft ab Eingang, nicht ab Kenntnisnahme. Sieben Tage bis zur Eingangsbestätigung sind schnell vorbei, wenn die Meldestelle nebenbei besetzt ist. Unter Druck wird das schnellste Werkzeug genommen, nicht das zulässige.

Bewertung ohne Methode

Risiken und Maßnahmen werden je Fall anders benannt, weil sie frei formuliert entstehen. Eine Auswertung über Fälle hinweg ist damit unmöglich. Auch die Frage, ob ein Fall schwerer wog als ein früherer, lässt sich nicht beantworten.

Der Soll-Prozess in sechs Schritten

Der Unterschied zwischen zulässiger Unterstützung und einem Vorfall liegt nicht im Modell, sondern im Ablauf. Diese sechs Schritte beschreiben ihn.

1. KI bewusst einschalten statt beiläufig nutzen. Die Funktion wird je Team aktiviert, ausschließlich durch Administrator:innen, und beim Aktivieren ist das Einverständnis zur Datenübertragung an den gewählten Anbieter ausdrücklich zu bestätigen. Dazu kommt eine persönliche Freigabe je Benutzer:in. Erst wenn beides vorliegt, erscheinen in einer Meldung überhaupt KI-Elemente.

2. Den Anbieter selbst bestimmen. Der Zugang wird vom Kunden gestellt: ein eigener Zugangsschlüssel, verschlüsselt gespeichert und in der Oberfläche nur maskiert dargestellt, beim Speichern gegen das eingestellte Modell getestet. Neben den unterstützten Anbietern lässt sich ein beliebiger OpenAI-kompatibler Endpunkt hinterlegen, auch ein selbst betriebenes Modell. In diesem Fall verlassen die Inhalte die eigene Infrastruktur nicht.

3. Vor dem Lauf sehen, was übermittelt wird. Das Startpanel benennt den konkret konfigurierten Anbieter und weist auf die Übertragung hin, bevor die Analyse beginnt. Übermittelt werden die Sachverhaltsangaben und Nachrichten der Meldung sowie optionale Zusatzhinweise. Name und E-Mail-Adresse der hinweisgebenden Person werden nicht übertragen.

4. Die Bearbeitung strukturieren statt beschleunigen. Vier Funktionen setzen an: eine Zusammenfassung als eigener Abschnitt der Meldung, eine Risikoanalyse mit Eintrittswahrscheinlichkeit und Schwere der Auswirkung, Maßnahmenvorschläge samt Zuständigkeit für die Umsetzung und ein Nachrichtenentwurf für die Korrespondenz. Das Ergebnis ist keine schnellere Entscheidung, sondern eine gleichförmige Grundlage für die eigene.

5. Jeden Vorschlag einzeln prüfen. Vorschläge werden nie automatisch übernommen. Die Übernahme läuft über eine Auswahlliste, jeder einzelne Vorschlag ist abwählbar, und alle Felder bleiben vor dem Speichern bearbeitbar. Übernommene Einträge sind danach gewöhnliche Risiken und Maßnahmen und werden wie manuell erfasste protokolliert.

6. Nachweis führen. Jeder Aufruf landet im KI-Aktivitätenprotokoll, erfolgreich oder fehlgeschlagen, mit Zeitpunkt, Status, Benutzer:in, Funktion, Modell, Anbieter, Dauer, Versuchen und Tokenverbrauch. Anfrage- und Antwortinhalte werden verschlüsselt gespeichert und nach sieben Tagen automatisch geleert; die Metadaten des Aufrufs bleiben erhalten.

Was die KI in der Meldestelle nicht tut

Sie entscheidet nicht. Es gibt keinen automatischen Statuswechsel, keine automatisch gesetzte oder verschobene Frist und keine Entscheidung über eine Meldung. Es gibt auch keine rechtliche und keine hinweisgeberschutzrechtliche Bewertung: Ob ein Sachverhalt in den Anwendungsbereich des HinSchG fällt, entscheidet die Meldestelle. Voreingestellt ist nichts – ohne Aktivierung und Freigabe existiert die Funktion in der Oberfläche nicht. preeco | hinweisgeber ist dabei eine eigene Plattform und schreibt darüber hinaus keine System-Logdateien, damit aus dem Betrieb der Anwendung kein Rückschluss auf hinweisgebende Personen möglich ist.

Vorher und nachher im direkten Vergleich

Kriterium Vorher: improvisiert Nachher: in der Anwendung
Einstieg in den Fall Halber Arbeitstag Lesen und Sortieren Zusammenfassung als eigener Abschnitt der Meldung
Übermittelte Daten Alles, was in der Zwischenablage lag Sachverhalt und Nachrichten, ohne Name und E-Mail-Adresse
Anbieterwahl Der Browser-Tab, der zufällig offen war Eigener Zugangsschlüssel, auf Wunsch selbst betriebener Endpunkt
Freigabe der Funktion Individuelle Entscheidung am Arbeitsplatz Teamweite Aktivierung und persönliche Freigabe, sonst nicht vorhanden
Übernahme von Vorschlägen Manuell zurückkopiert, Formulierung je Fall anders Auswahlliste, jeder Vorschlag einzeln abwählbar und bearbeitbar
Nachweis Keiner KI-Aktivitätenprotokoll mit Zeitpunkt, Person, Funktion und Modell
Aufbewahrung der KI-Inhalte Unbekannt, beim Anbieter Verschlüsselt gespeichert, nach sieben Tagen automatisch geleert
Fristen Im Kopf geführt, unter Druck gerissen Sieben Tage und drei Monate je Meldung automatisch überwacht

In der Praxis

So sieht das in preeco | hinweisgeber aus

Die drei Bausteine, die den beschriebenen Ablauf tragen.

Was der Umstieg praktisch bedeutet

Der Aufwand liegt nicht in der Technik, sondern in zwei Entscheidungen, die vor der Aktivierung zu treffen sind. Erstens: Mit welchem Anbieter arbeiten wir, und liegt dafür ein Vertrag samt Auftragsverarbeitungsvertrag vor? Zweitens: Wer in der Meldestelle darf die Funktion nutzen, und wer nicht? Beides ist eine Führungs- und keine IT-Frage. preeco stellt weder Modell noch Zugang bereit und ist nicht Vertragspartner des KI-Anbieters; die Prüfung des Anbieters bleibt beim Unternehmen.

Wer beide Fragen nicht beantworten will, lässt die Funktion aus. Das ist ein tragfähiger Zustand: Im Auslieferungszustand ist sie deaktiviert, und die Meldungsbearbeitung funktioniert vollständig ohne sie.

Drei Fehler, die den Einsatz in der Meldestelle unvertretbar machen

Die Aktivierung als technische Kleinigkeit behandeln. Die Bestätigung des Einverständnisses zur Datenübertragung ist keine Formalie, die man wegklickt. Sie ist der Punkt, an dem festgelegt wird, dass Inhalte aus Meldungen an einen Dritten gehen – mit allem, was daran vertraglich und beim Drittlandtransfer hängt.

Den Vorschlag für das Ergebnis nehmen. Eine vorgeschlagene Eintrittswahrscheinlichkeit ist eine Hypothese, keine Bewertung. Wer Vorschläge unbesehen übernimmt, verlagert die Bewertung an eine Stelle, die den Fall nicht kennt – und dokumentiert am Ende eine Einschätzung, die niemand begründen kann.

Zusatzhinweise mit Personenbezug füllen. Das Feld für zusätzliche Hinweise dient dem Blickwinkel der Analyse, nicht der Fallakte. Wer dort Namen einträgt, hebt die Datenminimierung wieder auf, die die Funktion an anderer Stelle einhält.

Woran Sie erkennen, dass es Zeit ist

  • In Ihrer Meldestelle wurden Fallinhalte schon einmal in ein öffentliches KI-Werkzeug kopiert.
  • Sie können nicht belegen, mit welchen Werkzeugen eine Meldung bearbeitet wurde.
  • Die Eingangsbestätigung verzögert sich regelmäßig, weil das Lesen und Sortieren Zeit kostet.
  • Risiken und Maßnahmen sind je Fall anders benannt, eine Auswertung über Fälle hinweg gelingt nicht.
  • Sie haben einen KI-Anbieter im Haus, aber keine Regel, wo er eingesetzt werden darf und wo nicht.

FAQ

Häufige Fragen zu KI in der Meldestelle

Das HinSchG verbietet den Einsatz technischer Hilfsmittel nicht, verlangt aber den Schutz der Identität hinweisgebender Personen und die Vertraulichkeit der Meldung. Ob ein konkreter Einsatz zulässig ist, hängt daher am gewählten Anbieter und an den Verträgen: Der Vertrag mit dem KI-Anbieter einschließlich Auftragsverarbeitungsvertrag, die Prüfung eines Drittlandtransfers und etwaige Zusicherungen zum Training mit übermittelten Daten obliegen dem Kunden. preeco stellt weder Modell noch Zugang bereit, ist nicht Vertragspartner des KI-Anbieters und erbringt keine Rechtsdienstleistung. Die rechtliche Prüfung bleibt bei Ihnen oder bei Ihrer anwaltlichen Beratung.

Nein. Übermittelt werden die Sachverhaltsangaben und die Nachrichten der Meldung sowie die optionalen Zusatzhinweise. Name und E-Mail-Adresse der hinweisgebenden Person werden nicht übertragen. Das Eingabefeld für Zusatzhinweise weist ausdrücklich darauf hin, dort keine personenbezogenen Daten zu erfassen – enthält der Sachverhalt selbst Namen, bleibt deren Prüfung Aufgabe der Meldestelle.

Sie müssen nichts ausschalten: Der Auslieferungszustand ist deaktiviert. Die Aktivierung erfolgt je Team und ausschließlich durch Administrator:innen, und zusätzlich muss jede Benutzerin und jeder Benutzer die KI-Funktionen persönlich freigeben. Ohne teamweite Aktivierung und persönliche Freigabe erscheinen in Meldungen keine KI-Elemente – die Funktion existiert dann in der Oberfläche nicht.

Nein. Es gibt keine automatisierte Entscheidung: keinen Statuswechsel, keine gesetzte oder verschobene Frist und keine Entscheidung über eine Meldung. Vorschläge werden nie automatisch übernommen. Die Übernahme läuft über eine Auswahlliste, jeder Vorschlag ist einzeln abwählbar, und alle Felder bleiben vor dem Speichern bearbeitbar. Danach sind die Einträge gewöhnliche Risiken und Maßnahmen und werden wie manuell erfasste protokolliert.

Nicht zwingend. Neben den unterstützten Anbietern lässt sich ein frei wählbarer, OpenAI-kompatibler Endpunkt hinterlegen – auch der eines selbst betriebenen Modells. In diesem Fall verlassen die Inhalte die Infrastruktur Ihres Unternehmens nicht. Unabhängig davon benennt das Startpanel den konkret konfigurierten Anbieter, bevor eine Analyse startet, und jeder Aufruf wird im KI-Aktivitätenprotokoll mit Zeitpunkt, Benutzer:in, Funktion, Modell und Anbieter festgehalten.

Den Einsatz gemeinsam abgrenzen

Bringen Sie Ihren heutigen Bearbeitungsablauf mit. In 30 Minuten zeigen wir, welche Schritte die KI stützt, was übermittelt wird und wie die Freigabe geregelt ist.