ChatGPT und Co. im Betrieb datenschutzkonform nutzen: sieben Regeln
In vielen Betrieben nutzen Mitarbeitende längst ChatGPT oder ähnliche Dienste, oft mit privaten Konten und ohne feste Regeln. Das muss kein Problem sein, wenn ein paar Grundsätze klar sind. Diese sieben Regeln können Sie auch ohne eigene IT-Abteilung einführen.
Warum ein Betrieb Regeln braucht
Was in ein öffentliches KI-Werkzeug eingegeben wird, verlässt den Betrieb. Die Eingaben landen auf den Servern des Anbieters, oft außerhalb der EU, und können je nach Dienst und Einstellung zur Verbesserung der Modelle verwendet werden. Die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Datenschutzaufsichtsbehörden, hat dazu im Mai 2024 eine Orientierungshilfe zu KI und Datenschutz veröffentlicht. Die folgenden Regeln stützen sich auf deren Empfehlungen und übersetzen sie in den Alltag eines kleineren Betriebs.
Ein Verbot hilft meist wenig. Wer KI im Betrieb einfach untersagt, erreicht oft nur, dass sie heimlich genutzt wird, auf dem privaten Handy und mit privaten Konten. Dafür hat sich der Begriff Schatten-KI eingebürgert. Die Geschäftsführung weiß dann nicht, welche Daten wohin gehen. Klare Regeln und ein erlaubter Weg sind deshalb verlässlicher als ein Verbot, an das sich niemand hält. Die Regeln müssen auch nicht kompliziert sein. Sie sollten auf eine Seite passen, in einer Teambesprechung erklärt werden und an einer Stelle hängen, an der jeder sie wiederfindet. Wichtig ist, dass die Geschäftsführung sie selbst einhält, denn sonst nimmt sie im Betrieb niemand ernst.
Die sieben Regeln
- Keine personenbezogenen Daten in öffentliche KI-Dienste. Namen, Adressen, Telefonnummern, Kundennummern, Gesundheitsangaben oder Angaben zu Mitarbeitenden gehören nicht in ein frei zugängliches Chatfenster. Die Datenschutzkonferenz empfiehlt, dass Eingaben grundsätzlich keine personenbezogenen Daten enthalten sollten. Wer eine Kundenbeschwerde beantworten will, ersetzt den Namen durch „Kunde A“ und lässt Adresse und Auftragsnummer weg.
- Keine Geschäftsgeheimnisse. Kalkulationen, Einkaufspreise, Konstruktionszeichnungen, Lieferantenkonditionen oder interne Zahlen sind kein Datenschutzthema im engeren Sinn, für Ihren Betrieb aber genauso heikel. Was Sie nicht in eine E-Mail an Fremde schreiben würden, gehört auch nicht in ein öffentliches KI-Werkzeug.
- Unternehmenskonten statt privater Accounts. Wenn KI genutzt wird, dann über Konten, die der Betrieb angelegt hat und verwaltet. Nur so wissen Sie, wer welchen Dienst nutzt, und können Zugänge sperren, wenn jemand den Betrieb verlässt. Auch die Datenschutzkonferenz rät zu dienstlichen statt privaten Konten. Prüfen Sie bei Geschäftstarifen, ob der Anbieter einen Vertrag zur Auftragsverarbeitung anbietet.
- Einstellungen zum Training prüfen. Bei vielen Diensten lässt sich einstellen, ob Eingaben zum Training der Modelle verwendet werden. Sehen Sie diese Einstellung für jedes Konto nach und schalten Sie das Training ab, wo das möglich ist. Bei manchen Geschäftstarifen ist es vertraglich ausgeschlossen. Verlassen Sie sich darauf aber nicht, sondern lesen Sie es in den Bedingungen nach.
- Ergebnisse prüfen, bevor sie rausgehen. KI-Systeme formulieren überzeugend, auch wenn der Inhalt falsch ist. Ein Angebotstext mit falscher Norm, eine E-Mail mit erfundener Zusage oder eine Übersetzung mit verdrehter Bedeutung fällt auf Ihren Betrieb zurück. Die Datenschutzkonferenz weist darauf hin, dass Ergebnisse überprüft werden müssen. Die Regel im Betrieb lautet deshalb: Ein Mensch liest jedes Ergebnis, bevor es an Kunden, Lieferanten oder Behörden geht.
- Feste Einsatzfälle definieren. Legen Sie fest, wofür KI im Betrieb genutzt werden darf, zum Beispiel für Entwürfe von Werbetexten, für Übersetzungen ohne Personenbezug oder zum Zusammenfassen öffentlich zugänglicher Dokumente. Was nicht auf der Liste steht, wird vorher mit der Ansprechperson abgesprochen. Das entspricht der Empfehlung der Orientierungshilfe, den Einsatzzweck vorab festzulegen.
- Ansprechperson benennen und dokumentieren. Eine Person im Betrieb ist für das Thema zuständig. Sie führt die Liste der erlaubten Dienste und Einsatzfälle, beantwortet Fragen und hält fest, wer eingewiesen wurde. Haben Sie einen Datenschutzbeauftragten, binden Sie ihn früh ein. Die Dokumentation muss nicht umfangreich sein. Eine Seite mit Diensten, Einsatzfällen, Regeln und Datum ist ein guter Anfang.
So sieht das im Alltag aus
| Aufgabe | So geht es | So nicht |
|---|---|---|
| Kundenanfrage beantworten | Antwortentwurf mit „Kunde A“ statt Namen, danach selbst prüfen | Die komplette E-Mail mit Name, Adresse und Auftragsdaten einfügen |
| Produktbeschreibung für den Onlineshop | Entwurf aus den technischen Daten, danach fachlich prüfen | Einkaufspreise und Lieferantenkonditionen mitgeben |
| Übersetzung | Allgemeine Texte und Bedienungsanleitungen ohne Personenbezug | Verträge mit Kundendaten oder Unterlagen aus der Personalakte |
| Besprechung zusammenfassen | Eigene Stichpunkte ohne Namen | Aufzeichnung eines Mitarbeitergesprächs hochladen |
Was die DSGVO grundsätzlich verlangt
Die Datenschutz-Grundverordnung gilt auch für KI. Wer personenbezogene Daten verarbeitet, braucht dafür eine Rechtsgrundlage, muss die Betroffenen informieren, darf nur so viele Daten verwenden wie nötig und muss für ihre Sicherheit sorgen. Verarbeitet ein externer Dienst Daten in Ihrem Auftrag, ist in der Regel ein Vertrag zur Auftragsverarbeitung nötig. Bei Anbietern außerhalb der EU kommen Regeln für die Übermittlung in Drittländer hinzu. Ob ein bestimmter Dienst diese Anforderungen erfüllt, lässt sich nur im Einzelfall beurteilen. Wer die sieben Regeln einhält, vermeidet viele typische Fehler, weil personenbezogene Daten gar nicht erst in öffentliche Dienste gelangen. Seit Februar 2025 verlangt außerdem Artikel 4 der KI-Verordnung, dass Betriebe die KI-Kompetenz ihrer Mitarbeitenden fördern. Die Regeln oben und eine kurze Einweisung sind dafür ein solider Anfang.
Hinweis: Dieser Artikel gibt allgemeine Hinweise und ersetzt keine Rechtsberatung. Für Ihren konkreten Fall sprechen Sie mit Ihrem Datenschutzbeauftragten oder mit einer Fachanwältin oder einem Fachanwalt für Datenschutzrecht.
Sie möchten KI im Betrieb nutzen und dabei Datenschutz und Geschäftsgeheimnisse im Griff behalten? Im Erstgespräch schauen wir, welche Einsatzfälle bei Ihnen passen. Kostenloses Erstgespräch