ChatGPT, Microsoft Copilot, Google Gemini, Claude - KI-Assistenten sind produktiv, aber datenschutzrechtlich heikel. Wer als Unternehmen KI-Tools einsetzt, ohne die datenschutzrechtlichen Rahmenbedingungen zu klaren, riskiert Bußgelder, Vertragsstrafen und Datenverluste. Dieser Artikel zeigt die wichtigsten Risiken und wie man sie sauber lost.

Das Grundproblem: Daten verlassen das Unternehmen

Wenn ein Mitarbeiter einen Kundenbrief in ChatGPT einfugt, um ihn umzuformulieren, verlassen personenbezogene Daten das Unternehmen. Sie werden - je nach Anbieter und Einstellung - moglicherweise fur das Training zukunftiger Modelle verwendet. Das ist datenschutzrechtlich problematisch, selbst wenn es technisch simpel ist. Artikel 28 DSGVO schreibt vor, dass Unternehmen mit Auftragsverarbeitern einen Auftragsverarbeitungsvertrag (AVV) abschliesen mussen. Viele Unternehmen nutzen KI-Tools, ohne diesen Vertrag abgeschlossen zu haben.

Welche Daten sind besonders kritisch?

Nicht alle Daten sind gleich riskant. Offentlich verfugbare Produktbeschreibungen oder allgemeine Textentwurfe sind unkritisch. Heikel wird es bei: Kundennamen, E-Mail-Adressen oder Telefonnummern, Vertragsdetails oder Angebotsinformationen, Personaldaten von Mitarbeitern und Gesundheitsdaten oder anderen besonderen Kategorien nach Art. 9 DSGVO.

Losungsansatze fur den Unternehmenseinsatz

Unternehmensvertrage mit AVV

Die meisten groben Anbieter bieten Business- oder Enterprise-Tarife an, die einen AVV einschlieben und Training auf Basis Ihrer Daten deaktivieren. OpenAI ChatGPT Enterprise, Microsoft Copilot for Microsoft 365 und Google Workspace mit Gemini sind Beispiele.

EU-konforme Anbieter bevorzugen

Anbieter mit Rechenzentren in der EU - wie Azure OpenAI Service in Sweden North oder Mistral AI aus Frankreich - erleichtern die DSGVO-Compliance erheblich. Daten bleiben im europaischen Rechtsraum.

On-Premises oder Private Deployment

Fur besonders sensible Daten ist eine selbst gehostete Losung die sicherste Option. Open-Source-Modelle wie Llama, Mistral oder Qwen lassen sich auf eigenen Servern oder in einer privaten Cloud betreiben. Die Modellqualitat ist heute fur viele Anwendungsfalle vollkommen ausreichend.

Pseudonymisierung vor der Eingabe

Eine pragmatische Zwischenlosung: Personenbezogene Daten werden vor der Ubergabe an das KI-Tool durch Platzhalter ersetzt. Ein Kundenname wird zu "KUNDE_A", eine E-Mail-Adresse zu "[E-MAIL]". Das Ergebnis wird zuruckubersetzt - aufwandig, aber datenschutzrechtlich deutlich sauberer.

Organisatorische Masnahmen

Technik allein reicht nicht. Unternehmen, die KI-Tools einsetzen, sollten klare interne Richtlinien definieren: Welche Daten durfen in welche Tools eingegeben werden? Mussen Mitarbeiter geschult werden? Muss das KI-Tool im Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentiert werden? In vielen Fallen: ja.

Fazit

DSGVO-konformer KI-Einsatz ist kein Hindernis, sondern eine Planungsaufgabe. Wer von Anfang an den richtigen Anbieter wahlt, den AVV abschlieSt und klare interne Regeln definiert, kann KI produktiv und sicher einsetzen. Die Alternative - unkontrollierter Einsatz durch Mitarbeiter - ist das eigentliche Risiko.