ChatGPT datenschutzkonform einsetzen

Die Frage, wie sich ChatGPT datenschutzkonform nutzen lässt, wird meist gestellt, wenn es längst geschieht. In fast jeder Bestandsaufnahme finden sich Werkzeuge, von denen die Leitung nichts wusste – und die Antwort auf die Frage entscheidet sich fast vollständig an einem Punkt: an der gewählten Produktvariante.

Die Produktentscheidung ist die halbe Arbeit

Zwischen der kostenlosen Anmeldung mit privater Adresse und einer Unternehmenslizenz liegen Welten, obwohl die Oberfläche gleich aussieht.

Privatzugang. Kein Vertrag mit Ihrem Unternehmen, keine Weisungsbindung, in der Regel Nutzung der Eingaben zur Verbesserung der Modelle. Für betriebliche Daten scheidet das aus – es fehlt bereits an einer tragfähigen Grundlage.

Unternehmens- und API-Angebote. Hier ist ein Auftragsverarbeitungsvertrag verfügbar, die Nutzung der Eingaben zum Training ist regelmäßig ausgeschlossen, und es gibt Aussagen zu Speicherort und Aufbewahrung. Dasselbe gilt für die in Microsoft 365 eingebetteten Assistenzfunktionen, für die die Vertragslage Ihres bestehenden Rahmenvertrags greift – siehe Microsoft 365.

Was Sie in jedem Fall prüfen und archivieren sollten: Wird die Eingabe zum Training verwendet? Wie lange wird sie gespeichert? Wo wird verarbeitet, und welche Unterauftragsverarbeiter sind beteiligt? Gilt für die Übermittlung in die USA eine tragfähige Grundlage – siehe Datenübermittlung in die USA?

Was in die Eingabe darf

Der praktisch wichtigste Punkt, und der einzige, den Sie täglich in der Hand haben.

Faustregel für die Belegschaft: Alles, was Sie eingeben, verlässt das Haus. Daraus folgt eine kurze, verständliche Liste. Nicht hinein gehören: Namen und Kontaktdaten von Kunden, Beschäftigten und Bewerbern; Gesundheits-, Vertrags- und Gehaltsdaten; Bewerbungsunterlagen; Quellcode mit Zugangsdaten; Unterlagen, die einer Verschwiegenheitspflicht unterliegen.

Was hineindarf, ist meist genug: allgemeine Fragestellungen, anonymisierte oder erfundene Beispiele, Texte ohne Personenbezug, eigene Entwürfe.

Diese Regel wirkt besser als jedes technische Verbot – vor allem, weil sie erklärt, warum. Wer nur verbietet, verlagert die Nutzung auf private Konten, und dort endet jede Kontrolle.

Die Pflichten, die daran hängen

Rechtsgrundlage. Werden personenbezogene Daten verarbeitet, braucht es eine Grundlage nach Art. 6 DSGVO. Bei Beschäftigtendaten kommt § 26 BDSG hinzu; die Einwilligung trägt im Arbeitsverhältnis selten.

Verzeichnis. Der Einsatz gehört ins Verarbeitungsverzeichnis, mit Zweck, Datenkategorien und Empfänger.

Transparenz. Wo Ergebnisse Personen betreffen, greifen die Informationspflichten.

Betroffenenrechte. Sie gelten auch hier. Das ist der Punkt, an dem viele Einsätze scheitern: Wenn Sie nicht erklären können, wie eine Löschung durchgesetzt oder eine Auskunft erteilt wird, ist die Verarbeitung nicht beherrscht.

Keine automatisierte Entscheidung ohne Grundlage. Trifft das System Entscheidungen über Personen mit rechtlicher Wirkung, greift Art. 22 DSGVO – zulässig nur unter engen Voraussetzungen. Für den Einsatz im Personalwesen siehe KI im Personalwesen.

Schulung. Art. 4 der KI-Verordnung verlangt ein ausreichendes Maß an KI-Kompetenz bei allen, die mit solchen Systemen umgehen – unabhängig vom Risiko des Systems. Erfüllen lässt sich das mit der KI-Grundschulung.

Die Regelung, die es braucht

Eine interne KI-Richtlinie auf zwei Seiten reicht: welche Werkzeuge freigegeben sind, was hinein darf und was nicht, wer neue Werkzeuge freigibt, dass Ergebnisse geprüft werden müssen, bevor sie verwendet werden, und an wen man sich bei Zweifeln wendet.

Der letzte Punkt ist der wichtigste. Ohne benannte Anlaufstelle entscheidet jeder selbst – und dann steht die Frage, ob Sie ChatGPT datenschutzkonform einsetzen, gar nicht mehr zur Debatte, weil niemand weiß, wer es überhaupt tut.

Was noch fehlt, klärt die KI-Risikoanalyse; die Rollenfrage nach der Verordnung steht unter KI-Compliance-Wissen.

Kontakt

Sie wissen nicht, welche KI-Werkzeuge bei Ihnen laufen? Das ist der übliche Ausgangspunkt – und in einer Bestandsaufnahme schnell geklärt.