In vielen Betrieben wird KI längst genutzt — oft mit privaten Konten und ohne Regeln. Das ist verständlich, aber riskant. Die gute Nachricht: Mit ein paar Grundsätzen lässt sich ChatGPT, Microsoft Copilot oder Claude im Unternehmen datenschutzbewusst einsetzen.
1. Private Konten sind keine Firmenlösung
Kostenlose oder private Konten sind nicht für Kunden- oder Mitarbeiterdaten gedacht. Für Unternehmen bieten die großen Anbieter eigene Varianten (z. B. Business-, Team- oder Enterprise-Tarife bzw. Microsoft 365 Copilot) an — in der Regel mit Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) und der Zusage, Eingaben standardmäßig nicht zum Training zu verwenden. Welche Bedingungen genau gelten, steht beim jeweiligen Anbieter und ändert sich regelmäßig — vor dem Einsatz prüfen.
2. Wo liegen die Daten?
Einige Anbieter bieten inzwischen Datenspeicherung oder -verarbeitung in der EU an, teils nur in bestimmten Tarifen. Auch dann bleibt ein US-Anbieter beteiligt; die Übermittlung stützt sich in der Regel auf das EU-US Data Privacy Framework oder Standardvertragsklauseln. Für die meisten Büro-Aufgaben ist das handhabbar — für besonders sensible Daten braucht es eine genauere Prüfung.
3. Was gehört nicht in die KI?
- Besonders geschützte Daten (Art. 9 DSGVO) wie Gesundheitsdaten — ohne passende Vereinbarungen und Schutzmaßnahmen tabu.
- Berufsgeheimnisse (z. B. Mandanten- oder Patientendaten) nur mit dafür geeigneten Lösungen.
- Passwörter, Zugangsdaten, Kontodaten — nie.
- Im Zweifel: anonymisieren. Statt „Herr Müller, Musterstraße 5“ reicht oft „ein Kunde mit Wohnung in Bielefeld“.
4. Eine kurze KI-Richtlinie
Ein bis zwei Seiten reichen meist: Welche Tools sind erlaubt, mit welchem Konto, für welche Aufgaben? Welche Daten dürfen hinein, welche nicht? Wer prüft Ergebnisse, bevor sie an Kunden gehen? Die Orientierungshilfe der Datenschutzkonferenz (siehe Quellen) ist eine gute Grundlage.
5. Transparenz und Informationspflichten
Wenn personenbezogene Daten mit KI-Diensten verarbeitet werden, gehört das in der Regel in die Datenschutzerklärung bzw. das Verzeichnis der Verarbeitungstätigkeiten. Und KI-erzeugte Inhalte, die echte Personen, Orte oder Ereignisse täuschend echt darstellen (Deepfakes), müssen nach der EU-KI-Verordnung gekennzeichnet werden.
6. Team schulen
Die beste Regel hilft wenig, wenn niemand sie kennt. Eine kurze Schulung zu Möglichkeiten, Grenzen und Datenschutz ist außerdem ein naheliegender Baustein, um die KI-Kompetenz nach dem AI Act zu fördern — mehr im Ratgeber zur KI-Schulungspflicht.