ChatGPT im Unternehmen: DSGVO, KI-Verordnung und eine Nutzungsrichtlinie für das Team
In den meisten Unternehmen nutzen Mitarbeiter ChatGPT längst, oft mit privaten Konten und ohne Regeln. Das Risiko liegt dabei nicht im Werkzeug, sondern darin, was hineinkopiert wird: Kundendaten, Angebote, Personalthemen. Dieser Artikel zeigt, wie Sie aus wildem Einsatz einen geregelten machen: mit dem passenden Tarif, klaren Regeln und den Pflichten aus DSGVO und KI-Verordnung.
Private Konten sind das eigentliche Problem
Bei privaten Konten können Eingaben je nach Einstellung zum Training von Modellen verwendet werden, es gibt keinen Auftragsverarbeitungsvertrag mit Ihrem Unternehmen, und Sie haben keinen Überblick, wer was eingegeben hat. Die Business-Tarife von OpenAI (ChatGPT Business und Enterprise) und die API sind dafür gemacht: Eingaben werden standardmäßig nicht zum Training verwendet, es gibt einen Auftragsverarbeitungsvertrag mit OpenAI Ireland als Vertragspartner für den EWR, und Konten werden zentral verwaltet.
Für Enterprise, Edu und die API bietet OpenAI zusätzlich die Speicherung in Europa an. Ob sie für Ihren Tarif verfügbar ist, prüfen Sie vor dem Abschluss. Vergleichbares gilt für Microsoft Copilot, Google Gemini oder Claude: Entscheidend ist der Geschäftstarif mit Vertrag, nicht das Modell.
Was nicht hineingehört
Auch mit Business-Tarif sollten Sie klare Grenzen ziehen. Ohne gesonderte Prüfung nicht eingeben:
- Personenbezogene Daten von Kunden, Bewerbern oder Mitarbeitern, wenn sie für die Aufgabe nicht nötig sind; oft reicht es, Namen durch Platzhalter zu ersetzen.
- Gesundheitsdaten und andere besonders geschützte Daten nach Art. 9 DSGVO.
- Geschäftsgeheimnisse, nicht veröffentlichte Zahlen, Zugangsdaten.
- Daten, für die Sie einer Verschwiegenheitspflicht unterliegen.
Pflichten aus der KI-Verordnung
Unternehmen, die KI-Systeme einsetzen, müssen nach Art. 4 KI-Verordnung Maßnahmen ergreifen, um die KI-Kompetenz der Mitarbeiter zu fördern, die damit arbeiten. Die Digital-Omnibus-Verordnung hat diese Pflicht 2026 abgeschwächt, aber nicht gestrichen. Praktisch heißt das: eine kurze Schulung zu Funktionsweise, Grenzen und Fehlern der Werkzeuge und eine dokumentierte Richtlinie.
Texte, die KI-generiert sind und die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, müssen seit August 2026 gekennzeichnet werden, wenn kein Mensch sie redaktionell geprüft hat. Für normale Marketingtexte, die ein Mitarbeiter prüft und verantwortet, ist das selten relevant.
Eine Nutzungsrichtlinie auf einer Seite
Eine gute Richtlinie ist kurz genug, dass sie gelesen wird. Sie beantwortet:
- Welche Werkzeuge mit welchem Konto erlaubt sind, und dass private Konten für Firmendaten tabu sind.
- Welche Daten nicht eingegeben werden dürfen, mit Beispielen aus Ihrem Alltag.
- Dass Ergebnisse geprüft werden müssen, bevor sie an Kunden gehen; KI erfindet Fakten, Quellen und Zahlen.
- Wer Ansprechpartner für Fragen und neue Werkzeuge ist.
Datenschutz-Dokumentation und Betriebsrat
Nehmen Sie den Einsatz ins Verzeichnis der Verarbeitungstätigkeiten auf, schließen Sie den Auftragsverarbeitungsvertrag ab und prüfen Sie, ob für bestimmte Anwendungen eine Datenschutz-Folgenabschätzung nötig ist, etwa bei Auswertungen über Mitarbeiter. Gibt es einen Betriebsrat, binden Sie ihn früh ein: Werkzeuge, die Verhalten oder Leistung der Mitarbeiter überwachen können, sind nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Bei der Auswahl, Richtlinie und Schulung unterstützen wir im Rahmen unserer Beratung ab 60 € pro Stunde.
Häufige Fragen
- Ist ChatGPT überhaupt DSGVO-konform nutzbar?
- Ja, mit einem Geschäftstarif, Auftragsverarbeitungsvertrag und klaren Regeln, welche Daten eingegeben werden. Kritisch ist vor allem die Nutzung privater Konten für Firmendaten.
- Dürfen wir ChatGPT einfach verbieten?
- Können Sie, aber Verbote werden oft umgangen. Ein freigegebenes Werkzeug mit klaren Regeln schützt Daten meist besser als ein Verbot, das niemand kontrolliert.
- Brauchen wir eine KI-Schulung für alle?
- Für alle, die KI-Werkzeuge beruflich nutzen, sollte es Maßnahmen zur KI-Kompetenz geben. Eine kurze, dokumentierte Schulung mit Beispielen aus Ihrem Betrieb reicht für den Anfang meist aus.
Quellen
Erzählen Sie uns, wofür Ihr Team KI heute nutzt. Wir schlagen Werkzeug, Tarif und eine einseitige Richtlinie vor und schulen das Team mit Beispielen aus Ihrem Alltag.
KI-Einsatz regeln