Wer über KI-Anbindung an Unternehmenssysteme spricht, denkt an Microsoft, an Connectoren, an Gateways. Die Daten nehmen heute einen anderen Weg. Jemand exportiert eine Liste als CSV, lädt sie in ChatGPT und stellt seine Frage. Das ist keine Ausnahme. Es ist der Normalfall, und es ist die einzige Integration, die in jedem Unternehmen schon läuft.
Ein Dienstag
Ein Sachbearbeiter in der Debitorenbuchhaltung braucht die überfälligen Rechnungen für Deutschland, Österreich und die Schweiz, gruppiert nach Kundenbetreuer, für einen Termin um zwei. Den Report gibt es in dieser Form nicht. Das Ticket für einen neuen Report hat drei Wochen Vorlauf. Also öffnet er das ERP, filtert die offenen Posten, exportiert als CSV, zieht die Datei in ChatGPT und tippt die Frage. Zwanzig Sekunden später hat er die Tabelle, mit Summen, sortiert, wie der Termin sie braucht.
Es ist das dritte Mal seit Montag, dass er das macht. In der Datei stehen Kundenname, Adresse, die E-Mail-Adresse des Ansprechpartners, die Zahlungsbedingungen und der offene Betrag. Über die Datei hat er nicht nachgedacht. Er hat an den Termin um zwei gedacht.
Warum das rational ist
Er ist nicht fahrlässig. Er hat ein Werkzeug, das seine Frage beantwortet, und ein anderes, das drei Wochen braucht. Die Compliance-Regel verliert gegen diesen Vergleich, jedes Mal, in jeder Abteilung, und keine Erinnerungsmail ändert die Rechnung. Die Person in dieser Szene ist nicht das Problem. Die fehlende Alternative ist es.
Das entscheidet, wie Sie den Rest lesen. Wenn Sie nach dem Mitarbeiter suchen, der das getan hat, finden Sie in jedem Team einen, und Sie haben nichts gefunden. Wenn Sie nach dem Grund suchen, warum er keine bessere Möglichkeit hatte, sehen Sie auf die eigentliche Lücke.
Was dabei tatsächlich das Haus verlässt
In den zwanzig Sekunden zwischen Export und Antwort passieren vier Dinge, und keines davon taucht irgendwo auf.
- Vollständige Datensätze verlassen das Unternehmen. Der Export enthält jede Spalte, die der Bildschirm hatte, auch die, die in der Frage nichts zu suchen hatten. Das Modell brauchte Betrag und Kundenbetreuer. Es hat auch die E-Mail-Adresse des Ansprechpartners und die Zahlungsbedingungen bekommen.
- Es gibt kein Log. Kein Wer, kein Wann, kein Was. Das ERP hat einen Export durch einen berechtigten Nutzer protokolliert. Der KI-Anbieter hat einen Upload durch einen Kontoinhaber protokolliert. Niemand hat protokolliert, dass beides derselbe Vorgang war.
- Berechtigungen enden am Export. Das Quellsystem wusste genau, welche Zeilen diese Person sehen darf. Die Datei weiß es nicht. Wer die Liste ziehen darf, darf sie hochladen, und ab da ist das Zugriffsmodell des Systems eine Erinnerung.
- Die Datei liegt bei einem Anbieter unter fremdem Recht. In den meisten Fällen ist das US-Recht. Der Justiziar von Microsoft Frankreich hat im Juni 2025 vor dem französischen Senat erklärt, er könne nicht garantieren, dass Daten dem Zugriff von US-Behörden entzogen bleiben. Unter Eid, über EU-Rechenzentren, vom Anbieter, dem die meisten europäischen Unternehmen am meisten vertrauen.
Und jetzt multiplizieren Sie. Es ist nicht ein Sachbearbeiter. Der Vertrieb zieht die Pipeline vor dem Forecast-Termin, die Personalabteilung kopiert die Stellenliste vor der Budgetrunde, der Service Desk lädt die Tickets des letzten Monats hoch, um das Muster zu finden. Jeder von ihnen beantwortet eine echte Frage mit dem einzigen Werkzeug, das sie rechtzeitig beantwortet, und jeder erzeugt dieselben vier Lücken.
Die Regeln, die hier gelten, sind nicht neu. Die KI-Verordnung legt Betreibern in Artikel 26 Pflichten auf, darunter menschliche Aufsicht und die Nutzung gemäß Betriebsanleitung. Die DSGVO verlangt einen Auftragsverarbeitungsvertrag nach Artikel 28 und eine Rechtsgrundlage für Drittlandübermittlungen nach Artikel 44 ff. Für Finanzunternehmen kommt mit DORA das Management von IKT-Drittparteienrisiken dazu. All das gilt für den Dienstag oben. Nichts davon wird angewendet, weil niemand den Dienstag sieht.
Warum Verbote nicht wirken
ChatGPT im Firmennetz zu sperren verlegt den Upload auf das private Handy, wo die Datei als Foto vom Bildschirm oder über eine private E-Mail-Adresse ankommt. Upload-Filter erkennen eine Tabelle mit Kundennamen nicht als sensibel, weil eine Tabelle mit Kundennamen aussieht wie jede andere Tabelle. Schulungen wirken etwa zwei Wochen, dann kommt der nächste Termin um zwei.
Ein Hebel hat je funktioniert, in der Sicherheit wie überall sonst: Der erlaubte Weg muss schneller sein als der verbotene. Nicht gleich schnell. Schneller.
Wie der erlaubte Weg aussehen muss
Nehmen Sie denselben Dienstag und streichen Sie den Export. Der Sachbearbeiter stellt seine Frage im Assistenten, den er ohnehin offen hat. Die Antwort kommt aus dem ERP selbst, über eine Verbindung, die ihn mit seinem Firmenkonto angemeldet hat, sodass das System seine Berechtigungen anwendet, nicht die von demjenigen, der die Verbindung eingerichtet hat. Personenbezogene Felder sind maskiert, bevor die Anfrage das Netz verlässt: Das Modell gruppiert nach Kundenbetreuer, die E-Mail-Adresse des Ansprechpartners bekommt es nie. Jeder Aufruf steht mit seinem Namen, der Uhrzeit und dem verwendeten Tool im Log.
Für ihn ist das weniger Arbeit, nicht mehr. Kein Export, kein Upload, keine Datei auf dem Desktop, die er zu löschen vergisst. Für die Compliance ist es das erste Mal, dass der Dienstag sichtbar ist. Für die IT ist es eine Verbindung, die sie steuert, statt einer Gewohnheit, der sie hinterherläuft.
Die Frage ist nicht, ob
Die Frage, die Sie sich stellen sollten, ist nicht, ob Sie KI an Ihre Systeme anbinden. Das ist passiert, vor einiger Zeit, in jeder Abteilung, über den Export-Knopf. Die Frage ist, ob Sie die Anbindung sehen. Heute läuft sie ohne Sie. Loopthink ist ein Weg, sie mit Ihnen laufen zu lassen: derselbe Assistent, die Berechtigungen des Systems selbst, personenbezogene Felder maskiert, bevor etwas das Netz verlässt, und ein Audit-Log über alle Assistenten, die Ihre Leute nutzen.
Wenn Ihr Architekt jetzt fragt, wie das technisch geht und warum der naheliegende Microsoft-Weg allein nicht dorthin führt, steht die Antwort im Begleitartikel: Läuft der Microsoft SQL MCP Server mit SSO in Claude? Die lange Fassung für die Sicherheitsprüfung ist das Whitepaper.