„Darf ich das da reinkopieren?“ Diese Frage stellen sich viele, die ChatGPT, Claude oder Copilot im Betrieb nutzen. Die gute Nachricht: Mit ein paar Grundregeln lässt sich KI im Alltag verantwortungsvoll einsetzen. Die weniger gute: Eine pauschale Antwort wie „ChatGPT ist datenschutzkonform“ oder „ist verboten“ gibt es nicht. Es kommt darauf an, welches Werkzeug, welcher Tarif und welche Daten.

Die wichtigste Unterscheidung: Privatkonto oder Firmenkonto

Kostenlose Versionen und private Konten sind für den privaten Gebrauch gedacht. Bei ihnen ist zum Beispiel oft nicht ausgeschlossen, dass Eingaben zur Verbesserung der KI genutzt werden. Einen Vertrag zur Auftragsverarbeitung gibt es dafür in der Regel nicht.

Firmentarife sind anders aufgestellt. Typisch ist:

  • Ein Auftragsverarbeitungsvertrag (AV-Vertrag) wird angeboten. Er regelt, wie der Anbieter Daten in Ihrem Auftrag verarbeitet.
  • Das Training mit Ihren Eingaben ist in der Regel abgeschaltet.
  • Es gibt eine Verwaltung: Wer hat Zugang, wie lange werden Verläufe gespeichert?

Die Details unterscheiden sich je nach Anbieter und ändern sich. Prüfen Sie vor dem Kauf die aktuellen Bedingungen. Die Grundregel bleibt: Firmendaten gehören nur in Firmenkonten.

Die Daten-Ampel

Im Alltag hilft eine einfache Einteilung in drei Farben. Sie ersetzt nicht die Prüfung im Einzelfall, gibt aber Orientierung.

Grün: unbedenklich

  • allgemeine Texte ohne Bezug zu Personen oder Geheimnissen
  • öffentliche Informationen, etwa von Ihrer eigenen Website
  • anonymisierte Beispiele

Gelb: nur im Firmenkonto mit Vertrag

  • interne Unterlagen, Angebote, Preislisten
  • geschäftliche E-Mails mit Namen und Kontaktdaten
  • Dokumente, aus denen sich Rückschlüsse auf Personen ziehen lassen

Rot: nicht in die KI oder nur nach gesonderter Prüfung

  • Passwörter, Zugangsdaten, Bankdaten
  • Gesundheitsdaten
  • Personaldaten, Bewerbungen, Beurteilungen
  • Informationen, die einer beruflichen Schweigepflicht unterliegen
  • vertrauliche Verträge und Betriebsgeheimnisse, außer in ausdrücklich freigegebenen Werkzeugen

Anonymisieren: so geht's

Oft braucht die KI die echten Daten gar nicht. Für eine Antwort auf eine Reklamation ist egal, wie der Kunde heißt. Ein Beispiel:

Statt: „Herr Max Mustermann aus der Musterstraße 1 beschwert sich, dass die Fenster in seinem Haus undicht sind …“

Besser: „Ein Kunde beschwert sich, dass nach dem Fenstertausch Wasser eindringt. Schreibe eine sachliche, freundliche Antwort mit Terminvorschlag.“

Namen, Adressen, Telefonnummern, Vertragsnummern: raus damit, bevor Sie den Text einfügen. Das Ergebnis ist meist genauso gut.

Achtung: Echte Anonymisierung heißt, dass sich die Person auch aus dem Zusammenhang nicht mehr erkennen lässt. In einem kleinen Ort kann schon „der Bäcker am Marktplatz“ reichen.

Besondere Vorsicht bei Schweigepflicht

Praxen, Kanzleien, Steuerberater und andere Berufe mit Schweigepflicht haben strengere Regeln. Hier reicht ein Firmenkonto allein oft nicht. Bevor solche Daten mit KI verarbeitet werden, sollte das mit dem Datenschutzbeauftragten und gegebenenfalls der Kammer geklärt sein. Für Texte ohne Bezug zu Mandanten oder Patienten, etwa eine Stellenanzeige oder eine Anleitung für die Anmeldung, kann KI trotzdem gut helfen.

Was der Betrieb regeln sollte

Damit nicht jeder selbst entscheiden muss, gehören ein paar Dinge auf die Liste:

  1. Erlaubte Werkzeuge festlegen: welches Werkzeug, welcher Tarif.
  2. AV-Vertrag abschließen mit dem KI-Anbieter.
  3. Einstellungen prüfen: Training aus, Speicherdauer sinnvoll gewählt.
  4. Eintrag ins Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO).
  5. Regeln aufschreiben in einer kurzen KI-Richtlinie. Was hineingehört, steht in unserem Artikel KI-Richtlinie für Mitarbeiter: Was rein muss.
  6. Team einweisen, damit alle die Ampel kennen.
  7. Betriebsrat beteiligen, wenn es einen gibt und die Nutzung protokolliert werden kann.

Wenn doch etwas passiert

Jemand hat versehentlich eine Liste mit Kundendaten in ein privates KI-Konto kopiert? Dann gilt: sofort melden, nicht verstecken. Der Betrieb prüft, ob eine Meldung an die Datenschutzaufsicht nötig ist. Dafür gilt eine Frist von 72 Stunden ab Kenntnis (Art. 33 DSGVO). Gleichzeitig hilft es, den Verlauf im Konto zu löschen und zu prüfen, wie es dazu kam. Eine Kultur, in der Fehler gemeldet werden, ist mehr wert als jede Regel.

Häufige Missverständnisse

  • „Copilot ist automatisch sicher, weil es von Microsoft ist.“ Auch hier kommt es auf Tarif, Vertrag und Einstellungen an.
  • „Wenn ich den Chat lösche, ist alles weg.“ Das hängt von den Speicherregeln des Anbieters ab.
  • „Anonymisieren heißt, den Nachnamen weglassen.“ Oft reicht das nicht, siehe oben.

Fazit

KI im Betrieb und Datenschutz schließen sich nicht aus. Die drei wichtigsten Regeln: Firmendaten nur ins Firmenkonto mit AV-Vertrag. Sensible Daten gar nicht oder nur nach Prüfung. Und im Zweifel anonymisieren. Wer das mit einer kurzen Richtlinie und einer Einweisung im Team verankert, ist gut aufgestellt. Für Ihren konkreten Fall ist Ihr Datenschutzbeauftragter der richtige Ansprechpartner.

Wie wir helfen können

In der KI-Schulung für Teams üben wir die Daten-Ampel mit Fällen aus Ihrem Alltag. Bei der KI-Einführung richten wir das Werkzeug mit passenden Einstellungen ein, unterstützen beim AV-Vertrag und schreiben mit Ihnen die KI-Richtlinie. Wie wir selbst mit Daten umgehen, lesen Sie unter Datenschutz und KI.

Kostenloses Erstgespräch vereinbaren