Kann Ihr britischer Arbeitgeber Ihre ChatGPT-Nutzung sehen?

Die kurze Antwort: Es kommt darauf an. Auf einem privaten ChatGPT-Konto zeigt OpenAI Ihre Unterhaltungen Ihrem Arbeitgeber nicht. Nur Sie sehen sie. Eine Führungskraft kann sie nicht aus der Ferne lesen. Doch das Gerät und das Netzwerk ändern alles. Wenn Sie einen Firmencomputer oder ein Firmen-WLAN nutzen, kann Ihr Arbeitgeber deutlich mehr sehen. Er kann sehen, dass ChatGPT geöffnet wurde, wann, und manchmal, was Sie eingegeben haben. Im Vereinigten Königreich ist diese Überwachung gesetzlich geregelt. Sehen wir uns beide Fälle an und dann die einfache Abhilfe.

Privates Konto: OpenAI zeigt Ihrem Arbeitgeber nichts

Beginnen wir mit der guten Nachricht. Auf einem privaten ChatGPT-Konto gehören Ihre Unterhaltungen Ihnen. OpenAI legt sie Ihrem Arbeitgeber nicht offen. Sie sind die einzige Person, die Ihren Verlauf sieht.

Eine Führungskraft kann die Chats einer anderen Person nicht direkt lesen. Es gibt keine Schaltfläche „Unterhaltungen meines Teams anzeigen“. Die einzige Ausnahme: wenn Sie einen Chat selbst über einen Link teilen. Dann öffnen Sie die Tür bewusst. Ohne diese Handlung bleibt Ihr privater Chat auf der Seite von OpenAI privat.

Arbeitsgerät oder -netzwerk: Hier ändert sich alles

Das Problem ist nicht OpenAI. Es ist der Arbeitsplatzrechner. Auf einem vom Unternehmen verwalteten Gerät oder Netzwerk verfügt Ihr Arbeitgeber über Überwachungswerkzeuge. Und diese Werkzeuge sehen die Aktivität, selbst auf einem privaten ChatGPT-Konto.

In der Praxis kann der Arbeitgeber sehen, dass ChatGPT genutzt wurde. Er kann sehen, wann, und welche Website besucht wurde. In manchen Konfigurationen kann er sogar sehen, was Sie eingegeben oder eingefügt haben. Mehrere Technologien machen das möglich.

• Endpunktsicherheit: Ein auf dem Computer installierter Agent beobachtet die Aktivität.
• Browser-Überwachung: Sie zeichnet die geöffneten Websites und manchmal die Eingaben auf.
• Webfilterung (ein Proxy): Sie protokolliert die besuchten Adressen, einschließlich chat.openai.com.
• DLP-Agenten („Data Loss Prevention“): Sie erkennen sensible Daten, die das Unternehmen verlassen.
• Bildschirmaufzeichnung: In manchen Konfigurationen erfasst sie den Bildschirm in Echtzeit.

Ein Wort zu DLP. Es ist ein System, das Datenlecks verhindert. Es prüft, was das Unternehmen verlässt. Ein Kopieren und Einfügen in ChatGPT kann also gesehen oder sogar blockiert werden. Merken Sie sich die einfache Regel: Behandeln Sie ChatGPT auf einem Arbeitsgerät wie Ihre geschäftliche E-Mail. Gehen Sie davon aus, dass alles protokolliert werden kann.

Was das britische Recht vom Arbeitgeber verlangt

Im Vereinigten Königreich kann ein Arbeitgeber nicht überwachen, wie er will. Zwei Texte regeln die Praxis. Die UK-DSGVO ist die britische Fassung der Datenschutz-Verordnung. Der Data Protection Act 2018 ist das Gesetz, das sie begleitet. Zusammen legen sie die Regeln fest.

Die britische Aufsichtsbehörde heißt Information Commissioner's Office, kurz ICO. Am 3. Oktober 2023 veröffentlichte sie eine eigene Leitlinie: „Employment practices and data protection: monitoring workers“. Dieser Text legt dar, was ein Arbeitgeber prüfen muss, bevor er Beschäftigte überwacht. Hier sind die wichtigsten Punkte.

Erstens eine Rechtsgrundlage. Der Arbeitgeber muss vor der Überwachung eine Grundlage nach der UK-DSGVO wählen. Es gibt sechs davon. In der Praxis ist das berechtigte Interesse die brauchbarste. Die Einwilligung hingegen ist am Arbeitsplatz problematisch. Warum? Weil das Kräfteverhältnis ungleich ist. Ein Beschäftigter kann zu seinem Chef nicht wirklich „Nein“ sagen.

Als Nächstes Transparenz und Verhältnismäßigkeit. Das ICO betont, dass die Überwachung notwendig, verhältnismäßig und transparent sein muss. In den meisten Fällen muss der Arbeitgeber die Beschäftigten informieren, bevor sie stattfindet. Er muss Art, Umfang und Gründe in einer zugänglichen Datenschutzinformation darlegen. Diese Information muss die Rechtsgrundlage und die Aufbewahrungsfristen der Daten angeben.

Verdeckte (heimliche) Überwachung ist sehr schwer zu rechtfertigen. Das ICO behält sie außergewöhnlichen Umständen vor. Zum Beispiel dem Verdacht auf kriminelle Aktivität oder schweres Fehlverhalten. Sie ist kein Alltagswerkzeug. Schließlich gibt es die DSFA. Das ist eine Datenschutz-Folgenabschätzung. Sie ist erforderlich, wenn die Überwachung voraussichtlich ein hohes Risiko für die Beschäftigten mit sich bringt, etwa eine systematische Überwachung. Das ICO empfiehlt, als gute Praxis eine durchzuführen, selbst wenn sie nicht strikt vorgeschrieben ist.

Die Abhilfe: nichts Sensibles im Prompt

Die praktische Lehre ist einfach. Behandeln Sie Ihre KI-Prompts auf einem Arbeitssystem wie geschäftliche E-Mails. Gehen Sie davon aus, dass sie protokolliert werden können. Halten Sie also sensible oder regulierte Daten aus dem Prompt heraus.

Der beste Hebel setzt an der Quelle an. Entfernen oder anonymisieren Sie Namen, Kundendaten und andere Kennungen, bevor Sie sie in ein KI-Werkzeug einfügen. Die Logik ist mechanisch. Je weniger echte Daten im Prompt stehen, desto weniger hat die Überwachung zu greifen. Und das funktioniert unabhängig vom Konto oder Gerät. Für den globalen Blickwinkel jenseits des britischen Rahmens siehe unseren Artikel „Kann Ihr Arbeitgeber Ihren ChatGPT-Verlauf sehen?“.

1. 1Erkennen Sie die sensiblen Daten in Ihrem Text: Namen, E-Mails, Kundendateien.
2. 2Ersetzen Sie sie durch umkehrbare Token, direkt im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Der Motor erkennt sensible Daten und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und die Zuordnung bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Werkzeug. Ob ein DLP-Agent den Datenstrom prüft oder ein Administrator ein Protokoll betrachtet — er findet nur Token, nicht Ihre echten Informationen.