Heabsy
Datenschutz · Praxis

ChatGPT im Unternehmen: was gilt und was hilft

Zulässig ist der Einsatz, wenn drei Dinge stimmen: ein Auftragsverarbeitungsvertrag mit dem Anbieter, deaktiviertes Training auf Ihren Eingaben und ein geklärter Verarbeitungsort. In der kostenlosen Variante ist keine dieser Bedingungen erfüllt — dort ist jede Eingabe mit Kunden- oder Mitarbeiterbezug ein Datenschutzvorfall. Der praktisch wichtigere Teil ist aber ein anderer: in den meisten Unternehmen wird das Werkzeug längst genutzt, nur ohne Freigabe.

3 Bedingungen
für zulässigen Einsatz
AVV
ohne ihn geht nichts
5 Schritte
aus der Grauzone

Unter welchen Bedingungen ist der Einsatz zulässig?

Drei Punkte, alle drei schriftlich. Fehlt einer, hilft auch eine interne Richtlinie nicht weiter.

Auftragsverarbeitungsvertrag

Abgeschlossen, versioniert, mit Liste der Unterauftragsverarbeiter und ihren Ländern.

Training deaktiviert

Vertraglich zugesichert, nicht nur als Schalter in den Einstellungen.

Verarbeitungsort geklärt

Wo laufen die Modelle tatsächlich, wer hat Zugriff, welche Transfermechanismen greifen.

Die kostenlose Variante erfüllt keinen dieser Punkte. Das ist kein Werturteil über das Produkt — es ist schlicht ein Verbraucherdienst, der für betriebliche Verarbeitung nicht gebaut wurde.

Was tun, wenn Mitarbeiter es längst nutzen?

Das ist der Regelfall, nicht die Ausnahme. Der erste Reflex — ein Verbot — verschlimmert die Lage: die Nutzung wandert auf private Geräte und private Konten, wo weder Protokolle noch Vertrag noch Aufsicht existieren.

Wirksam ist die umgekehrte Reihenfolge: erst eine erlaubte Alternative bereitstellen, dann Regeln setzen, dann die unkontrollierte Nutzung beenden. Fünf Schritte, die sich in zwei bis drei Wochen umsetzen lassen.

  1. 1
    Bestand aufnehmen

    Fragen Sie ohne Sanktionsandrohung, wer welche Werkzeuge nutzt. Ergebnis ist fast immer länger als erwartet — und es ist die Grundlage für alles Weitere.

  2. 2
    Erlaubte Variante bereitstellen

    Geschäftstarif mit Auftragsverarbeitungsvertrag oder eine eigene Lösung in der EU. Ohne Alternative ist jede Regel wirkungslos.

  3. 3
    Nutzungsregel auf einer Seite

    Welche Werkzeuge erlaubt sind, welche Daten hineindürfen, was nie hineingehört, wer bei Zweifeln entscheidet.

  4. 4
    Einweisung durchführen

    Bezogen auf Ihre Systeme und Daten. Deckt zugleich die Schulungspflicht nach Artikel 4 des EU AI Act ab.

  5. 5
    Unkontrollierte Nutzung beenden

    Erst jetzt — wenn es eine erlaubte Alternative gibt und die Regeln bekannt sind.

Welche Alternative gibt es, wenn Daten die EU nicht verlassen dürfen?

Ein Assistent auf Infrastruktur in der EU, betrieben mit offenen Modellen. Für die betrieblich häufigsten Aufgaben — Recherche in eigenen Dokumenten, Zusammenfassungen, Entwürfe, Übersetzungen — ist der Unterschied im Ergebnis gering, und der Verarbeitungsort ist nachprüfbar statt zugesichert.

Ehrlich bleibt: bei offenen kreativen Aufgaben und sehr langen Kontexten liegen die großen Anbieter weiter vorn. Wer beides braucht, fährt zweigleisig — interne Daten im EU-System, unkritische Allzweckaufgaben im Geschäftstarif mit AVV.

Wie wir das betreiben, steht auf der Seite zurInferenz-Plattform; die Auswahlkriterien für Anbieter unterDSGVO-konforme Werkzeuge.

Häufige Fragen

Ist ChatGPT im Unternehmen datenschutzkonform?+
Die kostenlose Variante praktisch nicht: ohne Auftragsverarbeitungsvertrag und mit Training auf Eingaben fehlt die Grundlage. Die Geschäftsvarianten sind es unter Bedingungen — AVV abgeschlossen, Training deaktiviert, Verarbeitungsort geklärt, Nutzung geregelt.
Was passiert mit Daten, die Mitarbeiter eingeben?+
Das hängt vom Tarif ab. In Geschäftsvarianten werden Eingaben laut Anbieter nicht für Training verwendet und nach begrenzter Zeit gelöscht; in kostenlosen Varianten ist Training die Voreinstellung. Entscheidend ist, was vertraglich zugesichert ist, nicht was in den FAQ steht.
Dürfen Kundendaten hinein?+
Nur mit Rechtsgrundlage, Auftragsverarbeitungsvertrag und geklärtem Verarbeitungsort. Ohne diese drei Punkte ist jede Eingabe mit Kundenbezug ein Datenschutzvorfall — auch wenn technisch nichts passiert.
Unsere Leute nutzen es längst ohne Freigabe. Was jetzt?+
Nicht verbieten, sondern kanalisieren. Ein Verbot verschiebt die Nutzung auf private Geräte, wo Sie nichts mehr sehen. Wirksam ist: erlaubte Variante bereitstellen, Nutzungsregel auf einer Seite, Einweisung — und erst dann die unkontrollierte Nutzung untersagen.
Was ist die Alternative, wenn Daten die EU nicht verlassen dürfen?+
Ein Assistent auf Infrastruktur in der EU, betrieben mit offenen Modellen. Funktional deckt das Recherche in eigenen Dokumenten, Zusammenfassungen und Textarbeit ab; für kreative Allzweckaufgaben bleibt der Abstand zu den großen Anbietern spürbar.
Brauchen wir eine Betriebsvereinbarung?+
In Deutschland regelmäßig ja, sobald das Werkzeug zur Verhaltens- oder Leistungskontrolle geeignet ist — und das ist bei Assistenzsystemen schnell der Fall. Der Betriebsrat sollte früh eingebunden werden, nicht nach der Einführung.

Aus der Grauzone in drei Wochen

Bestandsaufnahme, erlaubte Alternative, Nutzungsregel, Einweisung — dieselben Artefakte decken zugleich die Schulungspflicht nach Artikel 4 des EU AI Act ab. Wenn Sie das selbst erledigen können, sagen wir Ihnen das im ersten Gespräch.

Vorgehen besprechenSchulungspflicht ansehen