Ihre Mitarbeiter:innen nutzen ChatGPT längst – die Frage ist nur, ob mit Ihrem Wissen und unter Ihren Regeln. Wer interne Dokumente, Kundendaten oder Vertragsentwürfe in einen privaten Chatbot-Account kopiert, schafft ein Datenschutzrisiko, das kaum jemand im Blick hat. Die gute Nachricht: Es gibt sichere Wege, die Vorteile generativer KI im Unternehmen zu nutzen.
Wo die Risiken liegen
Personenbezogene Daten verlassen das Unternehmen
Sobald Namen, E-Mail-Adressen, Gesundheits- oder Personaldaten in einen externen Dienst eingegeben werden, ist das eine Datenverarbeitung im Sinne der DSGVO. Dafür brauchen Sie eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag und – bei Anbietern außerhalb der EU – eine Grundlage für die Drittlandübermittlung.
Eingaben können zum Training genutzt werden
Bei Consumer-Versionen vieler KI-Dienste können Eingaben je nach Einstellung zur Verbesserung der Modelle verwendet werden. Für Geschäftsgeheimnisse ist das keine Option.
Schatten-KI ohne Regeln
Das größte Risiko ist oft nicht das Tool, sondern das Fehlen von Regeln: Niemand weiß, wer welche Daten wo eingibt. Ein Verbot hilft selten – es verschiebt die Nutzung nur auf private Geräte.
Drei sichere Alternativen
1. Business- und API-Zugänge mit AVV
Business-Angebote und API-Zugänge großer Anbieter schließen das Training mit Ihren Daten vertraglich aus und bieten Auftragsverarbeitungsverträge, teils mit Datenverarbeitung in Europa. Für viele Anwendungsfälle ohne besonders sensible Daten ist das ein pragmatischer Weg.
2. Europäische Modelle in deutschen Rechenzentren
Europäische Anbieter wie Mistral oder Open-Source-Modelle, die in deutschen Rechenzentren betrieben werden, halten Ihre Daten vollständig in der EU. Die Qualität ist für die meisten Unternehmensaufgaben – Zusammenfassen, Formulieren, Klassifizieren, Fragen zu Dokumenten beantworten – inzwischen sehr gut.
3. Internes ChatGPT mit Ihren eigenen Daten
Der größte Nutzen entsteht, wenn die KI Ihr Unternehmenswissen kennt: Richtlinien, Handbücher, Produktdaten. Eine interne KI-Wissensdatenbank beantwortet Fragen mit Quellenangabe, respektiert bestehende Zugriffsrechte und läuft auf Servern in Deutschland oder bei Ihnen On-Premise.
Checkliste für den DSGVO-konformen Start
- Anwendungsfälle festlegen: Wofür soll KI genutzt werden – und wofür ausdrücklich nicht?
- Anbieter prüfen: Serverstandort, AVV, Ausschluss des Trainings, Unterauftragsverarbeiter.
- Datenklassen definieren: Welche Daten dürfen in welches System? Personenbezogene und vertrauliche Daten nur in freigegebene Umgebungen.
- Datenschutz einbinden: Verarbeitungsverzeichnis aktualisieren, bei Bedarf eine Datenschutz-Folgenabschätzung durchführen.
- Team schulen: Der EU AI Act verlangt ein angemessenes Maß an KI-Kompetenz bei Mitarbeiter:innen, die KI-Systeme nutzen.
- Richtlinie schreiben: Eine kurze, verständliche KI-Nutzungsrichtlinie wirkt mehr als ein Verbot.
Fazit
ChatGPT im Unternehmen ist kein Datenschutz-Albtraum, wenn Sie es bewusst aufsetzen: mit dem richtigen Anbieter, klaren Regeln und – für sensible Daten – europäischen oder selbst gehosteten Modellen. Wie wir dabei vorgehen, lesen Sie auf unserer Seite KI & Datenschutz. Hinweis: Dieser Artikel ersetzt keine Rechtsberatung; stimmen Sie den konkreten Einsatz mit Ihrer bzw. Ihrem Datenschutzbeauftragten ab.
