ChatGPT im Unternehmen: Sieben Datenschutz-Regeln für den Arbeitsalltag
Ihr Team nutzt ChatGPT, Copilot oder Gemini längst — mit oder ohne Ihr Wissen. Verbote helfen nicht; sie verlagern die Nutzung nur aufs private Smartphone. Was hilft, sind klare Regeln: Was darf hinein, was nicht, und welche Werkzeuge sind für Unternehmen überhaupt geeignet. Eine praktische Anleitung ohne Juristendeutsch.
Das eigentliche Problem: Schatten-KI
In fast jedem Unternehmen nutzen Mitarbeitende KI-Werkzeuge, ohne dass es eine Regel dafür gibt. Die Angebotsmail wird „schnell verbessert“, das Kundenprotokoll zusammengefasst, die Excel-Formel erklärt — und dabei landen Namen, Adressen, Vertragsdetails und interne Zahlen bei einem Anbieter, dessen Bedingungen niemand gelesen hat. Das ist kein Fehlverhalten der Mitarbeitenden, sondern eine Lücke in der Führung: Wo keine Regel ist, entsteht Gewohnheit.
Consumer-Version oder Business-Version — der entscheidende Unterschied
Die kostenlosen und privaten Versionen der großen KI-Dienste dürfen Eingaben in der Regel zum Training verwenden und speichern sie unbegrenzt. Business- und Enterprise-Versionen schließen das vertraglich aus, bieten Auftragsverarbeitungsverträge nach Artikel 28 DSGVO und lassen sich zentral verwalten. Wer KI beruflich nutzt, braucht die zweite Variante — oder einen europäischen Anbieter, bei dem diese Fragen von vornherein geklärt sind.
Sieben Regeln für den Arbeitsalltag
- Keine personenbezogenen Daten in Consumer-Tools. Namen, Adressen, E-Mails, Gesundheits- oder Gehaltsdaten haben in kostenlosen KI-Diensten nichts zu suchen — auch nicht „nur kurz“.
- Anonymisieren vor der Eingabe. „Kunde A, Rechnung über Betrag X“ statt echter Namen und Zahlen. Das Ergebnis ist genauso brauchbar.
- Vertrauliches bleibt vertraulich. Verträge, Kalkulationen, Quellcode, Strategiepapiere werden nicht in externe Werkzeuge kopiert, sofern kein Vertrag das ausdrücklich erlaubt.
- Ergebnisse prüfen, bevor sie rausgehen. KI erfindet Fakten, Paragrafen und Zahlen überzeugend. Wer den Text verschickt, verantwortet ihn.
- Nur freigegebene Werkzeuge nutzen. Eine kurze Liste — welche Dienste, welche Konten, wofür — schafft Klarheit und verhindert Wildwuchs.
- KI-Inhalte kennzeichnen, wo es die KI-Verordnung verlangt. Bei Bildern, Audio und Video, die echt wirken könnten, ist das seit August 2026 Pflicht.
- Zugänge absichern. Geschäftliche KI-Konten gehören dem Unternehmen, laufen über Firmen-E-Mail und Zwei-Faktor-Authentifizierung — und werden beim Austritt deaktiviert.
Europäische Alternativen, die den Aufwand senken
Es gibt inzwischen KI-Dienste aus Europa, die vergleichbare Sprachmodelle in Rechenzentren innerhalb der EU betreiben, keine Eingaben zum Training verwenden und Auftragsverarbeitungsverträge standardmäßig anbieten. Für viele Aufgaben im Büro — Texte, Zusammenfassungen, Übersetzungen — reicht ihre Qualität vollständig aus. Wer noch weiter gehen will, betreibt ein offenes Sprachmodell auf eigenen Servern: Dann verlässt keine Eingabe das Unternehmen. Für kleine Teams ist das inzwischen realistisch und bezahlbar.
Die Nutzungsrichtlinie: eine Seite genügt
Eine gute KI-Richtlinie passt auf eine Seite und beantwortet fünf Fragen: Welche Werkzeuge sind erlaubt? Welche Daten dürfen nicht eingegeben werden? Wer prüft Ergebnisse vor der Weitergabe? Wie wird gekennzeichnet? An wen wende ich mich bei Unsicherheit? Ergänzt um eine kurze Schulung erfüllt sie gleichzeitig die Anforderungen an KI-Kompetenz aus der KI-Verordnung — zwei Pflichten, ein Dokument.
Kurz beantwortet
- Dürfen Mitarbeitende ChatGPT überhaupt beruflich nutzen?
- Ja, wenn die Regeln stimmen: Business-Version mit Auftragsverarbeitungsvertrag oder ein europäischer Anbieter, keine personenbezogenen Daten in Consumer-Tools, Ergebnisse werden geprüft.
- Was ist ein Auftragsverarbeitungsvertrag und wann brauche ich ihn?
- Ein Vertrag nach Artikel 28 DSGVO, der regelt, wie ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Sobald Kundendaten in ein KI-Tool gelangen, ist er Pflicht.
- Reicht es, das Training in den Einstellungen abzuschalten?
- Nein. Die Einstellung verhindert die Nutzung zum Training, ersetzt aber keinen Vertrag und ändert nichts an der Übermittlung in die USA.
- Was kostet ein eigenes Sprachmodell auf eigenen Servern?
- Für kleine Teams ist das mit überschaubarer Hardware oder einem gemieteten Server in der EU umsetzbar. Die Kosten liegen meist im Bereich weniger Business-Lizenzen — bei voller Datenkontrolle.
- Brauchen wir eine Schulung, wenn wir eine Richtlinie haben?
- Die KI-Verordnung verlangt seit Februar 2025 nachweisbare KI-Kompetenz. Eine Richtlinie allein reicht nicht; eine kurze, dokumentierte Schulung schließt die Lücke.