ChatGPT im Unternehmen DSGVO-konform nutzen
Kurz beantwortet
Der betriebliche Einsatz von ChatGPT ist DSGVO-konform möglich, erfordert aber vier Dinge: eine geschäftliche Version mit Auftragsverarbeitungsvertrag statt privater Konten, eine dokumentierte Rechtsgrundlage, eine verbindliche Nutzungsrichtlinie und die Schulung der Mitarbeitenden. Private Konten für dienstliche Zwecke sind praktisch nie zulässig.
Warum private Konten das Kernproblem sind
Nutzt eine Mitarbeiterin ihr privates ChatGPT-Konto, um eine Kundenmail zu formulieren, überträgt sie personenbezogene Daten an einen Dienstleister, mit dem das Unternehmen keinen Vertrag hat. Es fehlt der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, es fehlt die Kontrolle über die weitere Verwendung, und das Unternehmen kann seine Rechenschaftspflicht nicht erfüllen.
Hinzu kommt: In den Consumer-Tarifen werden Eingaben standardmäßig zur Verbesserung der Modelle verwendet, sofern nicht aktiv widersprochen wird. Was dort einmal eingegeben wurde, lässt sich praktisch nicht mehr zurückholen.
Die Tarife im Vergleich
| Kostenlos / Plus | Team | Enterprise | |
|---|---|---|---|
| Auftragsverarbeitungsvertrag | Nein | Ja | Ja |
| Training auf Eingaben | Standardmäßig ja | Nein | Nein |
| Administrative Kontrolle | Keine | Ja | Ja, erweitert |
| Für dienstliche Nutzung geeignet | Nein | Ja | Ja |
Die Grenze verläuft nicht zwischen kostenlos und bezahlt, sondern zwischen privat und geschäftlich. Ein bezahlter Plus-Tarif auf einem Privatkonto ist dienstlich ebenso ungeeignet wie die kostenlose Variante.
Welche Daten niemals eingegeben werden dürfen
Auch mit geschäftlichem Tarif und Auftragsverarbeitungsvertrag bleibt eine Grenze. Nicht eingegeben werden sollten:
- Besondere Kategorien nach Art. 9 DSGVO, Gesundheitsdaten, biometrische Daten, religiöse oder politische Überzeugungen, Gewerkschaftszugehörigkeit
- Vollständige Personaldaten wie Gehaltslisten, Abmahnungen, Krankmeldungen
- Berufsgeheimnisse nach § 203 StGB, bei Ärzten, Anwälten, Steuerberatern
- Zugangsdaten und Schlüsselmaterial
- Vertragsentwürfe mit Geschäftsgeheimnissen Dritter, wenn keine Erlaubnis vorliegt
Für die meisten Alltagsfälle genügt eine einfache Regel: Pseudonymisieren statt weglassen. Statt „Kundin Frau Müller aus Trier beschwert sich über die Rechnung 2026-4711" genügt „eine Kundin beschwert sich über eine Rechnung". Das Ergebnis ist gleich gut, das Risiko entfällt.
Rechtsgrundlage bestimmen
Die Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. In der Praxis kommen zwei in Betracht:
Berechtigtes Interesse (lit. f) ist der Regelfall für den internen Einsatz, etwa beim Formulieren von Texten oder Zusammenfassen eigener Dokumente. Erforderlich ist eine dokumentierte Abwägung zwischen dem Unternehmensinteresse und den Rechten der Betroffenen.
Vertragserfüllung (lit. b) greift, wenn die Verarbeitung unmittelbar zur Erbringung der vertraglich geschuldeten Leistung erforderlich ist.
Eine Einwilligung der Beschäftigten ist im Arbeitsverhältnis meist untauglich, weil sie wegen des Abhängigkeitsverhältnisses selten freiwillig ist.
Vier Schritte zum rechtssicheren Einsatz
- Geschäftliche Version einführen und private Nutzung dienstlicher Inhalte untersagen. Wichtig: Erst die Alternative bereitstellen, dann verbieten, sonst weicht die Belegschaft weiter auf Privatkonten aus.
- Verarbeitungstätigkeit dokumentieren, Aufnahme ins Verzeichnis nach Art. 30 DSGVO, Rechtsgrundlage festhalten, Auftragsverarbeitungsvertrag ablegen.
- Nutzungsrichtlinie verabschieden: welche Werkzeuge sind freigegeben, welche Daten sind tabu, wer ist Ansprechpartner bei Zweifeln. Zwei Seiten reichen; ein 30-seitiges Dokument liest niemand.
- Schulen und dokumentieren, das ist zugleich die Maßnahme, die Art. 4 EU AI Act zur KI-Kompetenz verlangt.
Was zusätzlich aus dem EU AI Act folgt
Neben der DSGVO greift seit Februar 2025 die KI-Verordnung. Für den allgemeinen Einsatz von ChatGPT bedeutet das in der Regel:
- Risikoklasse: meist minimal oder begrenzt, keine besonderen Pflichten
- Maßnahmen zur KI-Kompetenz nach Art. 4: verpflichtend, ohne Ausnahme
- Transparenz: Wo KI-generierte Inhalte nach außen gehen, kann eine Kennzeichnungspflicht bestehen
Hochriskant wird es erst durch den Einsatzzweck, etwa bei Bewerbervorauswahl oder Leistungsbewertung von Beschäftigten. Dann gelten deutlich strengere Anforderungen einschließlich menschlicher Aufsicht.
Häufige Fehler
Verbieten statt regeln. Ein Verbot ohne Alternative erzeugt Schatten-KI. Der Einsatz verschwindet nicht, er wird nur unsichtbar und damit unkontrollierbar.
Die Richtlinie ohne Schulung. Ein Dokument im Intranet ändert kein Verhalten. Die Kombination aus kurzer Richtlinie und einer Schulungsstunde wirkt deutlich besser als ein umfangreiches Regelwerk allein.
Den Auftragsverarbeitungsvertrag vergessen. Er wird beim Abschluss eines Team- oder Enterprise-Tarifs nicht automatisch aktiv, sondern muss abgeschlossen und abgelegt werden.
Ergebnisse ungeprüft übernehmen. Sprachmodelle erzeugen plausible, aber gelegentlich falsche Aussagen. Bei rechtlich oder wirtschaftlich relevanten Inhalten bleibt die fachliche Prüfung Pflicht, das ist keine Compliance-Frage, sondern eine der Sorgfalt.
Unterstützung dabei
Sie möchten das nicht selbst aufarbeiten? Sylc.ai übernimmt das als Dienstleistung.
KI-Beratung →