ChatGPT DSGVO konform im Unternehmen nutzen?

In der Basisversion sowie bei einfachen Einzelkonten behält sich der Anbieter OpenAI vertraglich vor, Texteingaben und hochgeladene Dateien zur Weiterentwicklung seiner Modelle heranzuziehen. Sobald Mitarbeiter Klarnamen, Bestelldaten oder Notizen aus Kundengesprächen einfügen, verlassen diese Informationen den geschützten Raum des Unternehmens und fließen potenziell in externe Systeme ein.

Zudem fehlt bei einer formlosen Registrierung in der Regel der nach Artikel 28 der Datenschutz-Grundverordnung erforderliche Auftragsverarbeitungsvertrag. Ohne diesen Vertragseckpfeiler werten Aufsichtsbehörden die Weitergabe personenbezogener Daten an Drittanbieter im Regelfall als unzulässig. Für die Geschäftsführung kann dies haftungsrelevante Organisationspflichten berühren, weshalb hier frühzeitig anwaltlicher Rat eingeholt werden sollte.

Um Sprachmodelle im Einklang mit dem betrieblichen Datenschutz zu nutzen, stellen Unternehmen in der Praxis auf Tarife mit erweiterten Schutzklauseln oder auf den direkten Zugriff per Programmierschnittstelle um. Geeignet sind hierfür vor allem dedizierte Unternehmenslizenzen oder die Anbindung über europäische Cloud-Infrastrukturen.

Ein zentraler Hebel ist der vertragliche Ausschluss des Modelltrainings: Der Anbieter verpflichtet sich dabei, Eingaben und Ergebnisse nicht dauerhaft für die Weiterentwicklung öffentlicher Sprachmodelle zu nutzen. Dieser Schritt schafft die technische Grundlage, auf der unternehmensspezifische Abläufe aufgebaut werden können, ersetzt jedoch keine umfassende Einzelfallprüfung.

Eine datenschutzkonforme Grundlage erfordert eine saubere Dokumentation im Unternehmen. Dazu gehört ein rechtswirksam geschlossener Auftragsverarbeitungsvertrag mit dem Anbieter oder Plattformbetreiber. Werden Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übermittelt, greifen zusätzliche Anforderungen an den Drittlandtransfer, beispielsweise über das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln.

Unternehmen prüfen vor der Freigabe, auf welche Rechtsgrundlagen sich der Datentransfer stützt und welche Unterauftragsverarbeiter eingebunden sind. Diese Angaben gehören nach gängiger Praxis vollständig in das betriebliche Verzeichnis von Verarbeitungstätigkeiten, um bei Kontrollen der Aufsichtsbehörden auskunftsfähig zu sein.

Ein offenes Eingabefeld verleitet Mitarbeiter leicht dazu, vertrauliche Informationen ohne Prüfung einzufügen. Aus diesem Grund setzen viele Betriebe nicht auf unkontrollierte Chatprogramme, sondern auf vorkonfigurierte KI-Mitarbeiter. Wie auf unserer Übersichtsseite zu /ki-mitarbeiter dargestellt, übernehmen KI-Mitarbeiter klar abgegrenzte Arbeitsschritte und erhalten nur diejenigen Daten, die für den jeweiligen Prozess erforderlich sind.

Ein KI-Mitarbeiter dient als Schutzschicht zwischen internen Datenquellen und den externen Sprachmodellen. Er kann sensible Kunden- oder Betriebsdaten automatisiert pseudonymisieren, bevor eine Anfrage an die Schnittstelle gesendet wird, und führt die Rückmeldung intern wieder zusammen. So bleibt die Kontrolle über vertrauliche Vorgänge im eigenen Haus.

Vertragliche Regelungen entfalten erst dann Wirkung, wenn die Belegschaft die Vorgaben kennt und anwendet. Betriebe benötigen klare Nutzungsrichtlinien, die den erlaubten Einsatzzweck beschreiben und unzulässige Inhalte definieren. Dies gilt insbesondere für besondere Kategorien personenbezogener Daten wie Gesundheitsdaten oder Angaben zur Religionszugehörigkeit.

Verbindliche Dienstanweisungen geben den Beschäftigten die notwendige Handlungssicherheit im Arbeitsalltag. Wenn Klarheit über erlaubte Werkzeuge herrscht, sinkt das Risiko für Schatten-IT im Betrieb deutlich. Kurze Praxisschulungen an konkreten Arbeitsabläufen stellen sicher, dass Richtlinien im Arbeitsalltag tatsächlich gelebt werden.

Bei der Einführung automatisierter Systeme gelten die allgemeinen Prüfpflichten des Datenschutzrechts. Verantwortliche prüfen vorab die Risiken für die Betroffenen und dokumentieren Art sowie Umfang der Datenverarbeitung. Je nach Einsatzszenario und Risikograd kann die Durchführung einer formalen Datenschutz-Folgenabschätzung geboten sein.

Besteht im Unternehmen ein Betriebsrat, kommt nach Paragraf 87 Absatz 1 Nummer 6 des Betriebsverfassungsgesetzes häufig ein Mitbestimmungsrecht in Betracht, sofern die Software zur Verhaltens- oder Leistungskontrolle geeignet ist. Eine frühzeitige Einbindung und transparente Information der Mitarbeitervertretung unterstützen eine reibungslose Einführung.