Immer mehr Mitarbeitende in mittelständischen Unternehmen nutzen ChatGPT und ähnliche Werkzeuge im Arbeitsalltag. Die Frage nach der DSGVO-Konformität bleibt für viele Entscheider dabei offen. Die kurze Antwort: Der Einsatz lässt sich datenschutzkonform gestalten, erfordert aber klare Regeln, die passende Vertragsgrundlage und technische Vorkehrungen.

Das Grundproblem: personenbezogene Daten in der Cloud
Wer personenbezogene Daten in ein öffentliches KI-Tool eingibt, verarbeitet diese Daten im Sinne der DSGVO. Ohne passende Rechtsgrundlage und ohne Auftragsverarbeitungsvertrag entsteht ein Datenschutzverstoß.
Kritisch wird es vor allem dann, wenn Kundendaten, Personaldaten oder Geschäftsgeheimnisse in kostenlose Standard-Tools gelangen, deren Eingaben zum Training der Modelle herangezogen werden können. Was einmal eingegeben wurde, lässt sich nicht ohne Weiteres zurückholen.

Drei Bausteine für den rechtssicheren Einsatz
Erstens braucht es eine unternehmensweite KI-Richtlinie, die klar regelt, welche Daten in welche Tools eingegeben werden dürfen und welche nicht. Diese Richtlinie ist die Grundlage für alles Weitere.
Zweitens sollten Unternehmen auf Enterprise- oder API-Varianten setzen, die einen Auftragsverarbeitungsvertrag bieten und die Eingaben nicht zum Training verwenden. Drittens empfiehlt sich, die Datenverarbeitung möglichst innerhalb der EU zu halten oder sensible Daten vor der Übertragung zu anonymisieren.

DSGVO und EU AI Act zusammen denken
Seit dem 2. Februar 2025 gilt zusätzlich die KI-Kompetenzpflicht des EU AI Act. Unternehmen sind damit ohnehin verpflichtet, den kompetenten Umgang ihrer Mitarbeitenden mit KI sicherzustellen. Datenschutz und KI-Regulierung lassen sich deshalb sinnvoll in einem gemeinsamen Regelwerk und einer gemeinsamen Schulung bündeln, statt sie getrennt zu behandeln.

"Die meisten Unternehmen verbieten generative KI entweder komplett oder lassen sie unkontrolliert laufen. Beides ist ein Fehler. Mit einer klaren Richtlinie und der richtigen technischen Basis wird ChatGPT vom Risiko zum produktiven Werkzeug."
Jochen Glunk, Geschäftsführung von KI Pioniere

Häufige Fragen (FAQ)
Ist ChatGPT im Unternehmen DSGVO-konform nutzbar?
Ja, unter Bedingungen: mit klaren Nutzungsregeln, einem Auftragsverarbeitungsvertrag und einer Variante, die Eingaben nicht zum Training verwendet. Der kostenlose Standardzugang ohne AV-Vertrag ist für personenbezogene Daten nicht geeignet.

Dürfen Kundendaten in ChatGPT eingegeben werden?
In kostenlose Standard-Tools ohne Auftragsverarbeitungsvertrag nicht. Für die Verarbeitung personenbezogener Daten sind Enterprise-Lösungen mit entsprechender Vertragsgrundlage und Trainings-Ausschluss erforderlich.

Was ist der erste Schritt zur DSGVO-konformen KI-Nutzung?
Eine unternehmensweite KI-Richtlinie, die erlaubte und verbotene Anwendungen klar benennt, verbunden mit einer kurzen Schulung der Mitarbeitenden.