Sicherheit für KMUs

Aktualisiert am 2. November 2026 — Le Chat ist nun Vibe. Seit dem 28. Mai 2026 wurde Le Chat in Vibe umbenannt (nach wie vor unter chat.mistral.ai): ein einziger Agent für Arbeit und Code, der Ihre Gespräche, Einstellungen und Abonnements übernimmt. Die klassische Le Chat-Erfahrung bleibt im Chat-Modus zugänglich; im Work-Modus sind Agenten nun Fähigkeiten (über @ aufrufbar), Memories dienen als Wissensbasis und Deep Search ist die Fähigkeit Deep Research. Die Pläne heißen nun Mistral Free, Pro, Team und Enterprise. Diese Lektion verwendet den Namen Vibe; beachten Sie, dass einige hier beschriebene Menüs andere Namen oder Positionen haben können.

KI-Sicherheit ist keine Option

Vibe ist nun Teil Ihres täglichen Routines und möglicherweise auch der Ihres gesamten Teams. Es ist Zeit, die Spielregeln zu formalisieren – nicht aus Paranoia, sondern aus Professionalität und weil die DSGVO (Datenschutz-Grundverordnung) dies als Verantwortlicher für Sie vorschreibt. Bis zum Ende dieser Lektion werden Sie das benötigen, um eine KI-Nutzungsrichtlinie zu entwerfen.

Was die DSGVO von Ihnen erwartet

Als geschäftsführende Persönlichkeit sind Sie für die Verarbeitung personenbezogener Daten durch Ihr Unternehmen verantwortlich, einschließlich Daten, die einer KI anvertraut wurden. Mistral agiert als Ihr Datenverarbeiter: Die Verordnung verpflichtet beide Parteien, doch Sie bleiben für die Art und Weise verantwortlich, wie die Daten verwendet werden.

Die erste Pflicht ist die Minimierung: Übermitteln Sie ausschließlich streng notwendige Daten. Um einen Vertrag zusammenzufassen, entfernen Sie vorher Namen und Kontaktdaten; die Zusammenfassung leidet nicht darunter, da Sie sich für die Klauseln interessieren, nicht für die Identitäten der Unterzeichner. Die zweite ist die Rechtsgrundlage – der legitime Grund für die Datenverarbeitung. Das berechtigte Interesse deckt das Erstellen, Analysieren und Organisieren ab, schließt jedoch die Profilierung von Bewerbern oder Kunden ohne deren Einwilligung aus. Die dritte ist Transparenz: Wenn Sie Kundendaten über KI verarbeiten, müssen Sie dies informieren. Ein Absatz in Ihrer Datenschutzerklärung erfüllt diese Anforderung.

Die letzten beiden Pflichten sind operativer Natur. Sicherheit verlangt starke Passwörter für Mistral-Konten, ein Verbot der Kontenweitergabe und das Abmelden von offenen Sitzungen. Schließlich gewähren die Rechte der betroffenen Personen einem Kunden oder Mitarbeiter das Recht zu fragen, welche Daten über sie verarbeitet wurden. Sie können dies nur beantworten, wenn Sie ein Verzeichnis führen, selbst ein einfaches Excel-Blatt, das Verarbeitungstypen und eingesetzte Tools auflistet.

Was zu teilen ist und was niemals zu teilen ist

Die Reflex zum Bauen reduziert sich auf drei Farben: Die rote Liste ist ein absolutes Verbot, unabhängig von der Dringlichkeit; die orange Liste erlaubt das Teilen nach Anonymisierung; die grüne Liste stellt keine Probleme dar.

Denken Sie an die Logik statt an die Liste: Wenn Daten eine Person identifizieren oder ihr Schaden zufügen können, anonymisieren Sie sie, bevor sie in ein Gespräch eingegeben werden.

Eine einseitige Nutzungsrichtlinie

Jede KMU, die KI nutzt, sollte ein einseitiges Dokument haben, das fünf Fragen beantwortet. Seien Sie explizit bei den autorisierten Tools: „Das Unternehmen autorisiert die Nutzung von Vibe (Mistral) für berufliche Aufgaben. Die Nutzung anderer nicht validierter KI-Tools auf Unternehmensdaten ist untersagt.” Für Daten passen Sie die drei Listen oben an Ihre Branche an. Für autorisierte Aufgaben zitieren Sie, was Ihr Team bereits tut: E-Mail-Entwürfe, Zusammenfassungen von Dokumenten, Analyse nicht-empfindlicher Daten, Branchenaufklärung und Unterstützung bei kommerziellen Angeboten. Für verbotene Aufgaben nennen Sie die echten Risikozonen: automatisierte HR-Entscheidungen wie die Ablehnung eines Bewerbers allein aufgrund von KI, das Absenden von Kunden-E-Mails ohne Prüfung oder das Teilen sensibler medizinischer oder finanzieller Daten. Hinsichtlich der Haftung stellen Sie fest, dass jeder Nutzer für das verantwortlich ist, was er teilt, und identifizieren Sie Ihren KI-Kontakt.

Lassen Sie jeden Mitarbeiter dieses Dokument unterschreiben, genau wie Ihre IT-Charta. Das ist keine Bürokratie; es ist rechtlicher Schutz für das Unternehmen und Klarheit für das Team.

Einstellungen konfigurieren, ein Konto pro Person

Bitten Sie jeden, seine Einstellungen zu überprüfen. Das Teilen von Gesprächen für das Training muss deaktiviert sein – in Mistral Pro ist dies standardmäßig ausgeschaltet. Erfordern Sie ein eindeutiges Passwort mit mindestens 12 Zeichen, aktivieren Sie die Zwei-Faktor-Authentifizierung, falls verfügbar, und überprüfen Sie regelmäßig aktive Sitzungen, um unbekannte Logins zu erkennen.

Ein Prinzip duldet keine Ausnahmen: Teilen Sie niemals ein Vibe-Konto unter mehreren Mitarbeitern. Jeder muss sein eigenes Konto mit eindeutigen Zugangsdaten haben. Dies ist eine DSGVO-Anforderung – mit einem geteilten Konto verschwindet die Rückverfolgbarkeit – und die Grundlage jeder Sicherheitsrichtlinie.

Wenn etwas schiefgeht

Zwei Szenarien treten häufig auf. Wenn ein Mitarbeiter versehentlich sensible Daten teilt:

1. Löschen Sie das Gespräch in Vibe
2. Protokollieren Sie den Vorfall in Ihrem Verzeichnis
3. Bewerten Sie das Risiko (welche Daten, wie viele Personen betroffen)
4. Wenn personenbezogene Kundendaten involviert sind, haben Sie 72 Stunden, um die CNIL (die französische Datenschutzbehörde) zu informieren

Wenn ein Mistral-Konto kompromittiert wird, ist die Reihenfolge ebenso streng: Ändern Sie das Passwort sofort, widerrufen Sie MCP-Verbindungen, überprüfen Sie die Gesprächshistorie, und informieren Sie dann Ihren Sicherheitsleiter. Diese Reflexe werden nicht improvisiert an einem Tag; integrieren Sie sie in Ihre Nutzungsrichtlinie, damit die erste Reaktion nicht darin besteht, den Vorfall zu verschweigen.

Kernaussagen

• Die DSGVO verhängt konkrete Pflichten, wenn Sie KI im Geschäft nutzen
• Klassifizieren Sie Ihre Daten als rot (verboten), orange (mit Vorsicht) oder grün (frei)
• Entwerfen Sie eine einseitige Nutzungsrichtlinie und lassen Sie sie vom Team unterschreiben
• Jeder Mitarbeiter muss ein eigenes Konto mit einem starken Passwort haben
• Im Falle eines Vorfalls mit personenbezogenen Daten haben Sie 72 Stunden, um die CNIL zu informieren