KI und Datenschutz im Unternehmen

Der wichtigste Unterschied: kostenlos oder vertraglich

Bei den großen Anbietern verläuft die entscheidende Grenze nicht zwischen den Marken, sondern zwischen den Stufen. In den kostenpflichtigen Team-, Business- und Enterprise-Varianten bekommt ihr in der Regel einen Auftragsverarbeitungsvertrag, den Ausschluss der Trainingsnutzung eurer Eingaben und Zusagen zum Datenstandort. In den kostenlosen Varianten nicht.

Daraus folgt die praktisch wichtigste Regel: Sobald Unternehmensdaten im Spiel sind, ist die kostenlose Variante keine Option – unabhängig davon, welcher Anbieter draufsteht. Wer das klärt, hat den größten Teil des Problems gelöst.

Eine Ausnahme im positiven Sinn sind Assistenten, die innerhalb eurer bestehenden Umgebung arbeiten. Dort entsteht kein neuer Datenfluss nach außen, weil die Daten den vorhandenen Vertragsrahmen nicht verlassen. Mehr dazu im Werkzeugvergleich.

Was nie hineingehört

Unabhängig vom Werkzeug und von der Vertragsstufe – diese Liste gehört in jede Leitlinie:

• Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten
• Bewerbungsunterlagen und Personalakten
• Vertragsentwürfe, die noch nicht abgestimmt sind
• Unveröffentlichte Zahlen und Planungen
• Zugangsdaten, Schlüssel, Tokens
• Alles, was unter eine Verschwiegenheitsvereinbarung fällt

Die drei Fragen vor jedem Werkzeug

1. Welches konkrete Problem löst es? Lautet die Antwort „KI machen", ist es das falsche Werkzeug.
2. Wo liegen die Daten und was passiert damit? Datenstandort, Auftragsverarbeitungsvertrag, Trainingsnutzung – vorher klären, nicht nachher.
3. Kann das, was ihr schon habt, es auch? Sehr oft ja. Ein zusätzliches Werkzeug ist selten die Lösung für ein Nutzungsproblem, aber immer ein zusätzlicher Prüfaufwand.

Der Punkt, der regelmäßig übersehen wird: Berechtigungen

Assistenten, die in eurer eigenen Umgebung arbeiten, sehen genau das, was die jeweilige Person sehen darf. Das klingt beruhigend – bis jemand danach fragt, was das eigentlich ist.

In vielen Häusern sind über Jahre Ablagen entstanden, die theoretisch für alle offen sind, praktisch aber niemand geöffnet hat. Solange man aktiv suchen musste, fiel das nicht auf. Ein Assistent sucht nicht – er findet. Und liefert im Zweifel die Gehaltsliste, die seit 2019 im falschen Ordner liegt.

Das ist kein KI-Problem. Es ist ein Berechtigungsproblem, das durch KI sichtbar wird. Wer vor der Einführung einmal die Zugriffsrechte auf die wichtigsten Ablagen prüft, erspart sich die unangenehme Entdeckung im laufenden Betrieb.

Was der EU AI Act zusätzlich verlangt

Datenschutz und KI-Verordnung sind zwei verschiedene Regelwerke, die nebeneinander gelten. Für die meisten Unternehmen sind aus dem EU AI Act zwei Punkte relevant:

• KI-Kompetenz nach Artikel 4. Wer KI einsetzt, muss für ein angemessenes Maß an Kompetenz bei den Personen sorgen, die damit arbeiten – angemessen zu Vorwissen und Einsatzbereich. Nachweisbar.
• Hochrisiko-Anwendungen. KI im Beschäftigungskontext – Bewerbervorauswahl, Beförderungsentscheidungen, Leistungsbewertung – fällt in diese Kategorie, mit deutlich weitergehenden Anforderungen.

Ausführlich steht das auf unserer Seite zum EU AI Act. Auch dort gilt: Einordnung, keine Rechtsberatung.

Passende Angebote

• EU AI Act Schulung: KI-Kompetenz nach Artikel 4 – kompakt und dokumentierbar.
• KI Strategie Workshop: Bestandsaufnahme und Spielregeln mit euren Leuten.
• Alle KI-Trainings: Zehn Formate, inhouse oder online.

Zum Weiterlesen

• Leitlinien-Baukasten: Sechs Fragen für eine Leitlinie, die auf eine Seite passt.
• Schatten-KI auflösen: Was tun, wenn längst alle nutzen und keiner redet.
• Werkzeuglandkarte: Kategorien statt Produktnamen.
• Wie KI funktioniert: Warum Eingaben überhaupt relevant sind.

Häufige Fragen

Ist ChatGPT DSGVO-konform?

Die Frage lässt sich nicht pauschal beantworten, weil sie am Einsatz hängt, nicht am Produkt. Die kostenpflichtigen Business- und Enterprise-Stufen bringen die Voraussetzungen mit – Auftragsverarbeitungsvertrag, Ausschluss der Trainingsnutzung, Zusagen zum Datenstandort. Ob euer konkreter Einsatz zulässig ist, bewertet euer Datenschutzbeauftragter. Für die kostenlose Variante mit Unternehmensdaten lautet die Antwort in aller Regel nein.

Brauchen wir eine Datenschutz-Folgenabschätzung?

Das hängt vom Anwendungsfall ab, nicht vom Werkzeug. Bei Anwendungen mit voraussichtlich hohem Risiko für die Rechte betroffener Personen – etwa im Beschäftigungskontext – kommt sie in Betracht. Diese Einschätzung gehört zu eurem Datenschutzbeauftragten; wir können sie nicht ersetzen.

Müssen wir unsere Kundschaft informieren, dass wir KI einsetzen?

Organisatorisch empfehlenswert ist Transparenz überall dort, wo Ergebnisse nach außen gehen oder eine Entscheidung über Menschen mitschwingt. Ob und wie eine Informationspflicht besteht, richtet sich nach dem Einzelfall und gehört in die rechtliche Prüfung.

Was ist mit dem Betriebsrat?

Sobald Werkzeuge geeignet sind, Verhalten oder Leistung zu überwachen – und Assistenten mit Protokollfunktion sind das schnell – kommt Mitbestimmung ins Spiel. Praktisch bewährt hat sich, den Betriebsrat früh einzubinden statt am Ende um Zustimmung zu bitten.

Reicht es, eine Richtlinie zu schreiben?

Nein. Eine Richtlinie, die niemand kennt, ändert nichts an der täglichen Praxis. Was wirkt, ist die Kombination aus einem freigegebenen Weg, klaren roten Linien, einer benannten Ansprechperson und Befähigung. Die Richtlinie hält das fest, sie erzeugt es nicht.

Wer ist bei uns zuständig?

Wenn diese Frage keine klare Antwort hat, ist das der eigentliche Befund. Es braucht eine benannte Person, die über neue Werkzeuge entscheidet, und einen Kanal, auf dem Fragen und Fehler landen dürfen. Ohne diese beiden Dinge bleibt jede Regelung Papier.

Stand: 11.09.2026. Diese Seite ist eine organisatorische Einordnung und ersetzt weder Rechtsberatung noch die Bewertung durch eure Datenschutzbeauftragten. Für die konkrete Beurteilung eurer Anwendungsfälle zieht bitte juristische Expertise hinzu.