Bevor jemand einen Kundenvertrag in ChatGPT kopiert, sollten zwei Dinge feststehen: Welcher Account ist für diese Aufgabe freigegeben, und welche Daten dürfen hinein? Für einen ersten Test reichen öffentliche oder frei erfundene Inhalte. Echte Kunden-, Personal- oder Vertragsdaten gehören erst in einen Dienst, dessen Bedingungen und Einstellungen für diesen Zweck geprüft sind.
Ein bezahlter Zugang allein beantwortet diese Frage nicht. Ein persönlicher Tarif, ein Unternehmens-Workspace und eine API können unterschiedliche Regeln für Training, Aufbewahrung und Verwaltung haben. Entscheidend ist die konkrete Kombination aus Werkzeug, Daten und Aufgabe.
Dieselbe Aufgabe, andere Daten, andere Freigabe
Ein Beispiel: Ihr Vertrieb möchte eine Antwort auf eine Reklamation formulieren. Ein erfundener Fall mit einer allgemeinen Produktbeschreibung eignet sich zum Testen von Ton und Aufbau. Die echte Kundenmail kann zusätzlich Namen, Bestellnummern, Zahlungsdetails oder vertrauliche Vereinbarungen enthalten. Dafür brauchen Sie eine gesonderte Freigabe. Nur den Namen zu löschen reicht nicht, wenn die übrigen Angaben die Person weiterhin erkennbar machen.
Für den Einstieg legen Sie deshalb fest, welche Aufgaben mit öffentlichen oder synthetischen Daten erlaubt sind. Personenbezogene und vertrauliche Inhalte bleiben ausgeschlossen, bis die zuständigen Personen den vorgesehenen Datenfluss geprüft haben. So kann das Team sinnvoll testen, während offene Datenschutzfragen geklärt werden.
Was sich bei ChatGPT je nach Tarif unterscheidet
Laut OpenAI werden Daten aus ChatGPT Business, Enterprise und der API standardmäßig nicht zum Modelltraining verwendet. OpenAI bietet für diese Produkte auch einen Auftragsverarbeitungsvertrag an. Das sind wichtige Prüfpunkte, aber noch keine Freigabe für beliebige Unternehmensdaten.
Bei persönlichen ChatGPT-Accounts lässt sich die Verwendung neuer Chats zum Training über die Datenkontrollen abschalten. Diese Einstellung ersetzt weder eine betriebliche Freigabe noch die Prüfung von Vertrag, Speicherfristen und Zugriffen. Prüfen Sie auch verbundene Apps und externe Dienste: Eine Freigabe für den Chat gilt nicht automatisch für jeden angeschlossenen Empfänger.
„Kein Modelltraining“ bedeutet nicht „keine Speicherung“. Dokumentieren Sie getrennt, ob Daten für Training genutzt werden, wie lange sie aufbewahrt werden und wer darauf zugreifen kann.
Was vor der Freigabe personenbezogener Daten geklärt sein muss
Die DSGVO verlangt eine passende Rechtsgrundlage und einen festgelegten Zweck. Einwilligung ist nicht die einzige mögliche Rechtsgrundlage. Beschränken Sie die Eingaben auf notwendige Daten, regeln Sie Zugriffe und Löschung und prüfen Sie Ihre Informationspflichten. Bei Verarbeitung im Auftrag ist ein Vertrag nach Artikel 28 erforderlich; bei Drittlandtransfers sind zusätzlich die Vorgaben aus Kapitel V zu beachten.
Gesundheitsdaten und andere besondere Kategorien brauchen eine gesonderte Prüfung nach Artikel 9. Bei voraussichtlich hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein. Beziehen Sie Ihre Datenschutzverantwortlichen ein, bevor solche Fälle freigegeben werden. Auch Daten ohne Personenbezug können durch Kundenverträge oder Geschäftsgeheimnisse geschützt sein.
Eine KI-Richtlinie, die im Alltag hilft
Die Richtlinie sollte konkrete Entscheidungen ermöglichen: Welche Tools und Accounts sind freigegeben? Welche Daten dürfen für welche Aufgaben hinein? Wer prüft Ergebnisse, bevor sie Kunden erreichen? An wen meldet das Team eine versehentliche Eingabe? Wer bewertet neue Funktionen und Integrationen?
Schreiben Sie die Antworten anhand echter Arbeitsaufgaben auf. „Keine vertraulichen Daten“ ist als einzige Anweisung zu ungenau, wenn das Team nicht weiß, ob ein Angebot oder ein Supportticket darunterfällt. Ein erlaubtes und ein ausgeschlossenes Beispiel pro Aufgabe machen die Grenze verständlicher. KI-Ergebnisse brauchen weiterhin fachliche Prüfung: ChatGPT kann Fakten und Quellen erfinden.
Wann ein anderes Werkzeug sinnvoll ist
Wenn sich die Anforderungen mit dem gewählten Chat-Dienst nicht erfüllen lassen, prüfen Sie eine andere Betriebsform: einen Unternehmensdienst mit passenden Bedingungen, eine kontrollierte API-Anbindung oder ein lokal betriebenes Modell. Unser Vergleich zu KI-Hosting in Deutschland und der EU erklärt, was Standort und eigener Betrieb tatsächlich verändern.
Eine vorläufige Sperre für einzelne Tools oder Datenarten kann sinnvoll sein. Benennen Sie dabei die offene Anforderung und den Weg zur erneuten Prüfung. Für das Team ist eine klare erlaubte Alternative hilfreicher als eine unbestimmte Aufforderung, vorsichtig zu sein.
Aus den Regeln einen nutzbaren Arbeitsablauf machen
Eine erste Bestandsaufnahme können Sie selbst machen: genutzte Tools, typische Aufgaben und betroffene Datenarten. Wenn daraus verbindliche Abläufe fürs Team werden sollen, können wir in einem KI-Workshop konkrete Aufgaben durchgehen, Werkzeuge vergleichen und praktische Nutzungsregeln erarbeiten. Die rechtliche Freigabe stimmen Sie mit Ihren Datenschutzverantwortlichen ab.
Nennen Sie uns die Tools und ein bis zwei Aufgaben, bei denen die Freigabe unklar ist. Vertrauliche Inhalte brauchen wir für die erste Anfrage nicht. KI-Nutzung im Team besprechen.
