ChatGPT im Unternehmen datenschutzkonform nutzen: der Leitfaden

Ja, Sie können ChatGPT im Unternehmen datenschutzkonform nutzen. Es gibt aber keinen Schalter, der das automatisch erledigt. Sie brauchen eine schriftliche Richtlinie, einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, einen Geschäftsplan mit abgeschaltetem Training und die Regel, personenbezogene Daten vorher zu anonymisieren. Dieser Leitfaden zeigt die Schritte in der richtigen Reihenfolge.

Ist ChatGPT im Unternehmen DSGVO-konform?

ChatGPT ist ein Werkzeug. Konform ist nicht das Werkzeug, sondern die Art, wie Sie es einsetzen. Entscheidend ist, welche Daten Sie eingeben, welchen Plan Sie nutzen und welche Verträge Sie geschlossen haben. Ein privater Account ohne Vertrag ist für Kundendaten ungeeignet. Ein Geschäftsplan mit AVV und klaren Regeln kann datenschutzkonform sein.

• Der private ChatGPT-Zugang ist für berufliche personenbezogene Daten nicht gedacht.
• Sie brauchen eine Rechtsgrundlage nach DSGVO Art. 6 und einen AVV nach Art. 28.
• Personenbezogene Daten bleiben auch dann geschützt, wenn Sie sie an eine KI weitergeben.
• Die Datenschutzkonferenz (DSK) hat dazu eine eigene Orientierungshilfe veröffentlicht.

Die 7 Schritte zur datenschutzkonformen Nutzung

Arbeiten Sie diese Liste der Reihe nach ab. Jeder Schritt baut auf dem vorherigen auf. So vermeiden Sie, dass Mitarbeitende Kundendaten in ein Tool tippen, das dafür nicht freigegeben ist.

1. 1Schreiben Sie eine KI-Richtlinie. Legen Sie fest, welche Tools erlaubt sind, wer sie nutzen darf und welche Daten verboten sind.
2. 2Schließen Sie einen AVV mit dem Anbieter. Der Auftragsverarbeitungsvertrag nach DSGVO Art. 28 regelt, wie der Anbieter Ihre Daten verarbeitet.
3. 3Wählen Sie den richtigen Plan. Nutzen Sie einen Business- oder Enterprise-Plan oder die API und schalten Sie das Training mit Ihren Daten aus.
4. 4Fügen Sie nie personenbezogene Daten im Klartext ein. Namen, Adressen, Kundennummern oder Gesundheitsdaten gehören nicht ungeschützt in ein Prompt-Feld.
5. 5Anonymisieren oder pseudonymisieren Sie sensible Felder vorher. Ersetzen Sie echte Werte durch Platzhalter, bevor der Text die KI erreicht.
6. 6Schulen Sie Ihr Team. Zeigen Sie an echten Beispielen, was erlaubt ist und was nicht.
7. 7Protokollieren Sie die Nutzung. Halten Sie fest, welche Tools im Einsatz sind, ohne die Prompt-Inhalte selbst zu speichern.

Der richtige Plan: Team, Enterprise oder API

Der Plan entscheidet, was mit Ihren Eingaben passiert. Laut der Dokumentation von OpenAI werden Geschäftsdaten aus ChatGPT Team, Enterprise und der API standardmäßig nicht zum Training der Modelle verwendet. Diese Angaben können sich ändern. Prüfen Sie deshalb vor dem Kauf immer die aktuelle Anbieterdokumentation und den AVV.

• Business- und Enterprise-Pläne bieten in der Regel einen AVV und Kontrollen für Administratoren.
• Über die API lässt sich das Verhalten technisch steuern und in eigene Systeme einbinden.
• Prüfen Sie den Serverstandort und die Speicherdauer laut Anbieterangaben.
• Ein privater Gratis- oder Plus-Account ist für Kundendaten die falsche Wahl.

Do und Don't: die Entscheidungstabelle

Diese Tabelle fasst die wichtigsten Regeln zusammen. Hängen Sie sie neben Ihre KI-Richtlinie. So hat jede Mitarbeiterin und jeder Mitarbeiter eine klare Orientierung.

Warum Anonymisieren vor dem Absenden hilft

Der sicherste Umgang mit sensiblen Daten ist, sie gar nicht erst preiszugeben. Hier setzt ONYRI Sanitize an. Der Tokenizer läuft vollständig in Ihrem Browser. Er erkennt sensible Felder und ersetzt sie durch umkehrbare Platzhalter, bevor der Text die KI erreicht. Die Zuordnung von Platzhalter zu echtem Wert verlässt Ihren Browser nie. In der Antwort werden die Originalwerte lokal wieder eingesetzt.

• Die KI sieht nur Platzhalter wie [NAME_1] statt echter Namen.
• Das senkt die Datenexposition und unterstützt die Datenminimierung nach DSGVO Art. 5.
• Wichtig zur Ehrlichkeit: Pseudonymisierte Daten bleiben personenbezogene Daten (DSGVO Erwägungsgrund 26).
• Anonymisieren ersetzt keine Pflicht. Es reduziert das Risiko, hebt Ihre Verantwortung aber nicht auf.
• Beim eingebauten Chat wird nur der bereits anonymisierte Text an das Modell gesendet.

Welche Daten Sie niemals im Klartext einfügen

Einige Datenarten sind besonders geschützt oder besonders riskant. Für Berufsgeheimnisträger wie Ärztinnen oder Anwälte gilt zusätzlich § 203 StGB. Vermeiden Sie bei diesen Feldern jede ungeschützte Eingabe.

• Namen, Adressen und Kontaktdaten von Kunden oder Kollegen.
• Gesundheitsdaten, biometrische Daten und andere besondere Kategorien (DSGVO Art. 9).
• Kontonummern, IBAN, Gehaltsangaben und Steuernummern.
• Zugangsdaten, API-Schlüssel und interne technische Geheimnisse.
• Vertrauliche Strategie- oder Vertragsinhalte.