„Ich habe die Kundenliste eben reinkopiert, damit die KI mir die Mail schreibt." Dieser Satz beschreibt den häufigsten KI-Compliance-Vorfall in deutschen Unternehmen. Er passiert selten aus Nachlässigkeit, sondern meist aus Unkenntnis.
Ebene 1: Datenschutz-Grundverordnung
Sobald personenbezogene Daten in ein KI-Werkzeug gehen, ist das eine Verarbeitung im Sinne der DSGVO. Daraus folgen vier Anforderungen, die alle erfüllt sein müssen.
- Eine Rechtsgrundlage für die Verarbeitung
- Ein Auftragsverarbeitungsvertrag mit dem Anbieter des Werkzeugs
- Eine geregelte Übermittlung, wenn der Anbieter außerhalb der EU verarbeitet
- Ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten
Mit einem privaten Gratis-Konto haben Sie von alldem nichts. Der Anbieter hat mit Ihrem Unternehmen keinen Vertrag geschlossen, und Ihr Unternehmen hat keine Kontrolle darüber, was mit den Eingaben geschieht.
Ebene 2: Geschäftsgeheimnisse
Das Geschäftsgeheimnisgesetz schützt Informationen nur dann, wenn der Inhaber angemessene Geheimhaltungsmaßnahmen ergriffen hat. Fehlen solche Maßnahmen, entfällt der rechtliche Schutz – unabhängig davon, wie wertvoll die Information ist.
Wandert eine Kalkulation, ein Quellcode oder ein Vertragsentwurf ungeregelt in ein öffentliches KI-Werkzeug, riskieren Sie also nicht in erster Linie ein Bußgeld. Sie riskieren, dass Sie Ihr Wissen später nicht mehr gegen Nachahmer verteidigen können. Genau deshalb ist eine schriftliche KI-Richtlinie auch aus dieser Perspektive keine Formalie, sondern die Maßnahme, die den Schutz begründet.
Ebene 3: Die KI-Verordnung
Der AI Act verbietet die Eingabe nicht. Er verlangt aber, dass die Menschen, die das tun, wissen, was sie tun – das ist die Kompetenzpflicht aus Artikel 4. Ein Unternehmen, dessen Beschäftigte den Unterschied zwischen einem privaten und einem geschäftlichen Konto nicht kennen, erfüllt diese Pflicht erkennbar nicht.
Der entscheidende Unterschied: das Konto
- Kein Auftragsverarbeitungsvertrag verfügbar
- Eingaben können zur Modellverbesserung genutzt werden
- Keine Kontrolle und keine Verwaltung durch das Unternehmen
- Keine Protokollierung, keine Löschkonzepte
- Auftragsverarbeitungsvertrag verfügbar
- In der Regel kein Training auf Ihren Eingaben
- Zentrale Verwaltung von Konten und Rechten
- Vertragliche Zusagen zu Speicherorten und Löschung
Dieselbe Oberfläche, völlig andere Rechtslage. Prüfen Sie die Angaben immer in den aktuellen Bedingungen Ihres Anbieters – die ändern sich, teilweise mehrmals im Jahr.
Vier Faustregeln für Ihr Team
Namen, Adressen, Gesundheits- und Vertragsdaten gehören in kein Werkzeug, für das kein Auftragsverarbeitungsvertrag vorliegt.
„Ein Kunde aus der Baubranche mit 40 Beschäftigten" statt Firmenname und Ansprechpartner. In den meisten Fällen leidet das Ergebnis darunter nicht.
Keine privaten Zugänge für Firmendaten – auch nicht „nur kurz" und auch nicht im Homeoffice.
Sensible Fälle vor der Eingabe klären. Dafür braucht es eine benannte Ansprechperson, sonst passiert es nicht.
Wo steht Ihr Unternehmen?
Die kostenlose AI-Act-Checkliste geht die Anforderungen Punkt für Punkt durch – in 15 Minuten sehen Sie, was Ihnen noch fehlt.
Häufige Fragen
Darf mein Team Kundendaten in ChatGPT eingeben?
Das hängt vom Konto ab, nicht vom Werkzeug. Bei privaten Gratis-Konten fehlt in der Regel ein Auftragsverarbeitungsvertrag, und Eingaben können zur Modellverbesserung genutzt werden – personenbezogene Daten gehören dort nicht hinein. Geschäfts- und Enterprise-Tarife bieten meist Vertrag und Trainingsausschluss.
Reicht es, die Namen zu entfernen?
Nicht immer. Personenbezug kann auch über Kombinationen entstehen – Branche, Ort, Umsatzgröße und Zeitraum können eine Person oder ein Unternehmen eindeutig identifizierbar machen. Je kleiner der Markt, desto schneller passiert das.