Datenschutz: ChatGPT im Unternehmen?

Zuletzt aktualisiert am 1. Juni 2026

KI-Tools wie ChatGPT können nicht nur Privatpersonen, sondern auch Unternehmen heutzutage sehr nutzen. Eine Integration in den Unternehmensalltag bringt jedoch auch allerlei an Compliance- und Datenschutzrisiken mit sich. Alles, was Sie dazu zunächst wissen müssen, erfahren Sie hier.

Welche Vorteile bringen KI-Tools wie ChatGPT?

Mittlerweile gibt es eine Vielzahl an KI-Tools, die auf unterschiedliche Arten und Weisen Prozesse vereinfachen können. Am bekanntesten ist wohl das durch Open AI trainierte Tool ChatGPT. Es handelt sich dabei um einen KI-Tool, das mit einer sehr großen Menge von Daten trainiert wurde. Dadurch sind dessen Antworten sehr verschieden und es kann in vielen Bereichen nützlich sein. ChatGPT ist dabei so strukturiert, dass es Texte auf der Grundlage von Benutzereingaben verarbeitet und generiert. Dabei werden auch große Mengen an persönlichen und sensiblen Daten gesammelt und verarbeitet.

Rechtliche Probleme

Aufgrund der schieren Menge an verarbeiteten Daten von ChatGPT und anderen KI-Tools liegen Bedenken aus dem Bereich der Datensicherheit nahe. Gerade wenn Unternehmen das KI-Tool zur Vereinfachung von Prozessen verwenden, besteht die Gefahr, dass es dabei personenbezogene Daten umfangreich verarbeitet. Es besteht das Risiko von Datenschutzverletzungen oder anderen Sicherheitsproblemen.

Gleichzeitig bestehen auch Bedenken, dass Tools wie ChatGPT gezielt von Cyberkriminellen genutzt werden können, um Angriffe auf zu starten. Dabei könnte ausgenutzt werden, dass das Tool nicht darauf programmiert ist, die Verbreitung falscher Informationen zu überprüfen.

Zudem kann es bei textgenerierenden KI-Tools immer wieder zu Problemen mit dem Urheberrecht kommen. Gerade das Tool ChatGPT ist dafür bekannt, umfangreiche Texte zu verschiedenen Themen verfassen zu können. Dafür musste das Tool mit einer großen Menge an Textdokumenten trainiert werden. Diese Dokumente stammen aus verschiedenen Quellen. Dabei hat das Tool keine Möglichkeit, neue Informationen einzubeziehen. Übernimmt man Textergebnisse von dem Tool, können diese Plagiate enthalten. Dies hat für den Verwendung der ausgegebenen Texte rechtliche Konsequenzen.

Der richtige Umgang mit ChatGPT

KI-Tools wie ChatGPT bieten viele Vorteile und erleichtern beziehungsweise beschleunigen so auch manche Arbeitsschritte im Unternehmen. Auch sind noch nicht alle Auswirkungen die ChatGPT auf die Arbeitswelt haben wird, komplett absehbar. Jedoch ist schon jetzt klar, dass Unternehmen potentielle Compliance-Probleme und rechtliche Auswirkungen sorgfältig berücksichtigen müssen.

Als Unternehmen sollte besonders darauf geachtet werden, keine personenbezogene Daten in Ki-Tools einzugeben. Die ausgegebenen Texte sind laufend auf Richtigkeit und mögliche Plagiate zu überprüfen. Zudem sollten die Texte auch immer gegengelesen werden, um auf sensible Themen wie Diskriminierung zu achten.

Kennt man den richtigen Umgang und ergreift sinnvolle Sicherheitsmaßnahmen, können Tools wie ChatGPT ein wertvolles Werkzeug auch im Unternehmensalltag sein. Die Arbeit mit Tools wie ChatGPT sollte immer von geschulten und sensibilisierten Mitarbeitern durchgeführt werden.

Datenschutzrechtliche Bewertung von ChatGPT

Aus datenschutzrechtlicher Sicht wirft der Einsatz von ChatGPT im Unternehmen grundsätzliche Fragen auf. Wenn Mitarbeiter personenbezogene Daten in ChatGPT eingeben — beispielsweise Kundennamen, E-Mail-Adressen oder Vertragsinformationen —, findet eine Datenübermittlung an OpenAI statt. OpenAI verarbeitet diese Daten auf Servern, die sich überwiegend in den USA befinden. Dies stellt eine Datenübermittlung in ein Drittland dar, für die eine geeignete Rechtsgrundlage nach Art. 44 ff. DSGVO erforderlich ist.

Außerdem verwendet OpenAI eingegebene Daten standardmäßig zum Training seiner Modelle — sofern der Nutzer diese Option nicht explizit deaktiviert. Dies bedeutet, dass personenbezogene Daten, die in ChatGPT eingegeben werden, potenziell in die Modellgewichte einfließen und in späteren Antworten an andere Nutzer reproduziert werden könnten. Für Unternehmen stellt dies ein erhebliches Datenschutzrisiko dar, das durch entsprechende Konfigurationseinstellungen und klare Nutzungsrichtlinien minimiert werden muss.

KI-Richtlinie für Unternehmen erstellen

Angesichts der rasanten Verbreitung von KI-Tools im Unternehmensumfeld ist die Erstellung einer unternehmensinternen KI-Richtlinie dringend zu empfehlen. Diese Richtlinie sollte klar definieren, welche KI-Tools im Unternehmen genutzt werden dürfen, welche Daten in diese Tools eingegeben werden dürfen und welche Daten ausdrücklich nicht eingegeben werden dürfen.

Eine solche Richtlinie sollte mindestens folgende Punkte umfassen: Eine Liste der genehmigten KI-Tools und deren zugelassene Einsatzzwecke. Ein ausdrückliches Verbot der Eingabe personenbezogener Daten, vertraulicher Geschäftsinformationen, Geschäftsgeheimnisse und sonstiger sensibler Daten. Anweisungen zur Deaktivierung der Datenverwendung für Trainingszwecke. Vorgaben zur Überprüfung und Qualitätskontrolle von KI-generierten Inhalten. Regelungen zur Kennzeichnung von KI-generierten Texten und zur urheberrechtlichen Prüfung.

EU AI Act und seine Auswirkungen

Neben der DSGVO müssen Unternehmen bei der Nutzung von KI-Tools zunehmend auch die Anforderungen des EU AI Act (Verordnung über Künstliche Intelligenz) beachten. Diese im Jahr 2024 verabschiedete Verordnung klassifiziert KI-Systeme nach ihrem Risikopotenzial und legt entsprechende Anforderungen fest. Während ChatGPT als KI-Modell mit allgemeinem Verwendungszweck eingestuft wird, können bestimmte Einsatzszenarien — etwa im Personalwesen oder bei der Kreditwürdigkeitsprüfung — als Hochrisiko-Anwendungen gelten und besondere Pflichten auslösen.

Unternehmen sollten daher bereits jetzt prüfen, für welche Zwecke sie KI-Tools einsetzen möchten, und sicherstellen, dass diese Nutzung sowohl mit der DSGVO als auch mit dem EU AI Act vereinbar ist. Eine frühzeitige Auseinandersetzung mit den neuen regulatorischen Anforderungen vermeidet kostspielige Anpassungen zu einem späteren Zeitpunkt.

ChatGPT Enterprise und API: Datenschutzfreundliche Alternativen

OpenAI bietet mit ChatGPT Enterprise und der OpenAI API Varianten an, die besser für den Unternehmenseinsatz geeignet sind als die kostenlose Consumer-Version. Bei ChatGPT Enterprise garantiert OpenAI vertraglich, dass eingegebene Daten nicht zum Training der Modelle verwendet werden. Zudem bietet die Enterprise-Version erweiterte Sicherheitsfunktionen wie SSO-Integration, Administratorkontrollen und ein höheres Datenschutzniveau durch einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Auch die Nutzung der OpenAI API bietet datenschutzrechtliche Vorteile, da über die API gesendete Daten standardmäßig nicht für das Modelltraining verwendet werden. Unternehmen, die KI-Funktionen in ihre eigenen Anwendungen integrieren möchten, können die API nutzen und dabei die Datenverarbeitung besser kontrollieren. In beiden Fällen ist jedoch ein sorgfältig ausgestalteter Auftragsverarbeitungsvertrag erforderlich, der die datenschutzrechtlichen Anforderungen der DSGVO abbildet.

Datenschutz-Folgenabschätzung bei KI-Einsatz

In vielen Fällen ist vor dem Einsatz von ChatGPT und anderen KI-Tools im Unternehmen eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchzuführen. Dies gilt insbesondere dann, wenn die KI-Tools für die automatisierte Verarbeitung personenbezogener Daten in großem Umfang eingesetzt werden oder wenn besondere Kategorien personenbezogener Daten verarbeitet werden könnten. Die DSFA identifiziert die Risiken der geplanten Datenverarbeitung für die Rechte und Freiheiten der betroffenen Personen und legt Maßnahmen zur Risikominimierung fest.

Die Durchführung einer DSFA für den KI-Einsatz erfordert spezifisches Fachwissen an der Schnittstelle von Datenschutzrecht und Künstlicher Intelligenz. Ein erfahrener externer Datenschutzbeauftragter kann bei der Durchführung der DSFA wertvolle Unterstützung leisten und sicherstellen, dass alle relevanten Risiken identifiziert und angemessen adressiert werden. Die DATUREX GmbH verfügt über vollständige Erfahrung in der datenschutzrechtlichen Bewertung von KI-Anwendungen und unterstützt Unternehmen in Dresden und ganz Sachsen bei der rechtskonformen Implementierung von KI-Tools.

Schulung der Mitarbeiter im Umgang mit KI

Die beste KI-Richtlinie nützt wenig, wenn die Mitarbeiter nicht entsprechend geschult sind. Datenschutz-Schulungen, die speziell auf den Umgang mit KI-Tools zugeschnitten sind, sollten alle Mitarbeiter sensibilisieren, die im Arbeitsalltag mit ChatGPT oder ähnlichen Tools arbeiten. Diese Schulungen sollten praxisnahe Beispiele beinhalten, welche Eingaben zulässig sind und welche nicht, wie KI-generierte Ergebnisse kritisch zu bewerten sind und welche datenschutzrechtlichen Konsequenzen eine unsachgemäße Nutzung haben kann. Regelmäßige Auffrischungsschulungen stellen sicher, dass die Mitarbeiter auch bei sich ändernden Rahmenbedingungen auf dem aktuellen Stand bleiben.

Fazit: KI-Nutzung ja — aber datenschutzkonform

ChatGPT und andere KI-Tools bieten Unternehmen zweifellos enorme Potenziale zur Effizienzsteigerung und Innovation. Die datenschutzrechtlichen Herausforderungen, die mit ihrem Einsatz verbunden sind, dürfen jedoch nicht unterschätzt werden. Die ungeregelte Nutzung von ChatGPT im Unternehmensumfeld kann zu schwerwiegenden Datenschutzverstößen führen — mit entsprechenden Bußgeldern nach der DSGVO und Reputationsschäden. Unternehmen, die KI-Tools verantwortungsvoll und datenschutzkonform einsetzen möchten, sollten eine vollständige KI-Richtlinie erstellen, geeignete technische Lösungen wählen, ihre Mitarbeiter schulen und die Nutzung regelmäßig durch einen qualifizierten Datenschutzbeauftragten überprüfen lassen. So können die Vorteile der Künstlichen Intelligenz genutzt werden, ohne die Datenschutz-Compliance zu gefährden.

Sie benötigen Hilfe im Bereich Datenschutz und Datensicherheit in Ihrem Unternehmen? Unser Team an Experten berät sie gerne. Kontaktieren Sie uns hier! Gerne führen wir in Absprache auch individualisierte Schulungen durch.