StartseiteKI und Datenschutz
Darf ich ChatGPT im Unternehmen nutzen? KI im Unternehmen nutzen, ohne den Datenschutz zu riskieren.
In vielen Unternehmen nutzen Mitarbeitende KI, oft mit privaten Konten. Die DSGVO verbietet KI nicht. Sie verlangt aber, dass Sie wissen, welche Daten wohin gehen. Hier die wichtigsten Punkte und der Weg zu klaren Regeln.
Stand Oktober 2026, geprüft am Verordnungstext. Allgemeine Information, keine Rechtsberatung.
Was die DSGVO verlangt
Sobald personenbezogene Daten in ein KI‑Werkzeug gelangen, gelten die üblichen Regeln des Datenschutzes.
-
Eine Rechtsgrundlage
Personenbezogene Daten wie Namen, E‑Mails, Personal- oder Kundendaten dürfen nur verarbeitet werden, wenn es dafür eine Grundlage nach Art. 6 DSGVO gibt.
-
Ein Vertrag mit dem Anbieter
Für die meisten Einsätze braucht es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Geschäftsversionen bieten ihn an, private Konten in der Regel nicht.
-
Klarheit über Server in Drittländern
Viele Anbieter verarbeiten Daten in den USA. Grundlage ist derzeit meist das EU-US Data Privacy Framework, das vor dem Europäischen Gerichtshof überprüft wird. Wo möglich, ist eine Datenhaltung in der EU die robustere Wahl.
-
Information und Risikoabwägung
Datenschutzinformationen müssen den Einsatz abdecken. Bei heiklen Daten oder großem Umfang kann eine Datenschutz-Folgenabschätzung nötig sein.
-
Betriebsrat
Gibt es einen Betriebsrat, ist er bei Systemen, die Leistung oder Verhalten erfassen können, in der Regel einzubinden.
Privates Konto oder Geschäftsversion
Der größte Unterschied liegt nicht im Modell, sondern im Vertrag dahinter.
- Private und kostenlose Konten: Eingaben können je nach Einstellung zum Training verwendet werden. Ein Vertrag zur Auftragsverarbeitung fehlt, das Unternehmen hat keinen Überblick.
- Geschäftsversionen von ChatGPT, Copilot und vergleichbaren Diensten: Die Anbieter sagen zu, Eingaben standardmäßig nicht zum Training zu nutzen, bieten einen Vertrag zur Auftragsverarbeitung, eine zentrale Verwaltung und teils eine Datenhaltung in der EU.
- Eigene Lösungen: KI‑Modelle über eine Schnittstelle oder auf Servern in der EU, angebunden an Ihre eigenen Dokumente und mit Ihren Zugriffsrechten.
Die Vertragsbedingungen der Anbieter ändern sich häufig. Prüfen Sie vor der Einführung die aktuelle Fassung.
Was nicht ins Chatfenster gehört
Solange es keine freigegebene Lösung mit passendem Vertrag gibt, sind diese Daten tabu.
- Personaldaten, Bewerbungen und Gesundheitsdaten.
- Kundendaten mit Namen, Adressen oder Vertragsdetails.
- Passwörter, Zugangsdaten und Schlüssel, auch in Code oder Protokollen.
- Vertrauliche Verträge, Angebote und Geschäftsgeheimnisse.
Wie Sie das verständlich regeln, zeigt unsere Seite zur KI‑Richtlinie für Unternehmen.
Wo wir helfen Von der Unsicherheit zu klaren Regeln und sicheren Werkzeugen.
-
Bestandsaufnahme
Welche KI‑Werkzeuge im Unternehmen schon genutzt werden, mit welchen Daten und wofür.
-
Das passende Werkzeug
Wir empfehlen eine Lösung, die zu Ihren Daten passt, und richten sie ein: Geschäftsversion, Lösung auf EU-Servern oder eigener KI‑Agent für Ihre Dokumente.
-
KI‑Richtlinie
Wir entwerfen mit Ihnen klare, kurze Regeln für den Alltag Ihrer Mitarbeitenden.
Allgemeine Information, keine Rechtsberatung.
Häufige Fragen zu KI und Datenschutz
Ist ChatGPT DSGVO-konform?
Das lässt sich nicht pauschal sagen. Entscheidend sind die Version, der Vertrag mit dem Anbieter und welche Daten eingegeben werden. Mit einer Geschäftsversion, einem Vertrag zur Auftragsverarbeitung und klaren Regeln ist ein datenschutzgerechter Einsatz in vielen Fällen möglich.
Dürfen Mitarbeitende Kundendaten in ChatGPT eingeben?
Nicht mit privaten Konten. Mit einer freigegebenen Geschäftsversion und passendem Vertrag kann es zulässig sein, wenn es eine Rechtsgrundlage gibt. Wo es geht, sollten Namen und andere Personenbezüge vorher entfernt werden.
Ist Microsoft Copilot sicherer?
Copilot in Microsoft 365 läuft innerhalb Ihres Firmenkontos und mit Vertrag. Er sieht aber alles, was ein Nutzer sehen darf. Zu weit gefasste Zugriffsrechte auf Ablagen und Postfächer sollten deshalb vorher aufgeräumt werden.
Brauchen wir eine KI‑Richtlinie?
Ein eigenes Gesetz verlangt sie nicht ausdrücklich. Sie ist aber der einfachste Weg, damit Mitarbeitende wissen, was erlaubt ist, und das Unternehmen zeigen kann, dass es den Einsatz geregelt hat.
Was ist mit der EU‑KI‑Verordnung?
Sie gilt zusätzlich zur DSGVO und stellt eigene Anforderungen, zum Beispiel an Transparenz und an den Umgang mit KI‑Systemen. Was davon Ihr Unternehmen betrifft, klären wir in der KI‑Beratung. Einen Überblick gibt unsere Seite zur KI‑Verordnung.
Wie wird KI in Ihrem Unternehmen heute genutzt?
Schreiben Sie uns ein paar Sätze dazu. Wir melden uns persönlich, kostenlos und unverbindlich.
Stand Oktober 2026, geprüft am Verordnungstext. Allgemeine Information, keine Rechtsberatung.