ChatGPT im Unternehmen und DSGVO: Was du beachten musst

Sobald personenbezogene Daten in ChatGPT gelangen, ist dein Unternehmen Verantwortlicher im Sinne der DSGVO. Daraus folgen mehrere Pflichten:

• Rechtsgrundlage. Für jede Verarbeitung und für die Übermittlung an den Anbieter brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO.
• Auftragsverarbeitung. Nutzt dein Unternehmen eine Cloud-Lösung zu eigenen Zwecken, besteht laut DSK häufig eine Auftragsverarbeitung, für die ein Vertrag nach Art. 28 Abs. 3 DSGVO abzuschließen ist.
• Drittlandübermittlung. Werden Daten außerhalb der EU verarbeitet, sind die Regeln in Kapitel V DSGVO (Art. 44 ff.) zu beachten.
• Transparenz. Betroffene Personen sind nach Art. 13 und 14 DSGVO über die Verarbeitung zu informieren.
• Folgenabschätzung. Ergibt die Vorabprüfung ein voraussichtlich hohes Risiko, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Beim Einsatz von KI wird das nach Einschätzung der DSK vielfach der Fall sein.
• Keine automatisierte Entscheidung. Entscheidungen mit Rechtswirkung darf nach Art. 22 DSGVO grundsätzlich nicht allein die Maschine treffen. Ein Mensch muss tatsächlich entscheiden.

Die DSK verlangt in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom 6. Mai 2024 vor allem klare Regeln und betriebliche Konten. Die Orientierungshilfe nennt ChatGPT nicht als Einzelfall, sondern gilt für KI-Anwendungen allgemein. Für den Einsatz von ChatGPT lassen sich daraus diese Punkte ableiten:

1. Arbeitgeber stellen Geräte und Accounts bereit. Beschäftigte sollen nicht mit privaten Konten arbeiten müssen, weil dabei Profile über sie entstehen können.
2. Accounts werden so voreingestellt, dass Eingaben nicht zum Training verwendet und keine Eingabe-Historie über die Sitzung hinaus gespeichert wird.
3. Interne Weisungen regeln dokumentiert, welche Anwendungen für welche Zwecke erlaubt sind, mit Beispielen für erlaubte und untersagte Szenarien.
4. Datenschutzbeauftragte werden eingebunden, die Beteiligung des Betriebsrats wird geprüft.
5. Beschäftigte werden durch Schulungen und Leitfäden sensibilisiert.

Die DSK weist außerdem darauf hin, dass technisch geschlossene Systeme aus Datenschutzsicht vorzugswürdig sind und dass es regelmäßig nicht genügt, nur Namen und Anschriften aus einer Eingabe zu entfernen, weil sich der Personenbezug oft aus dem Zusammenhang ergibt.

Entscheide zuerst, welche Daten überhaupt in ein KI-Werkzeug dürfen, und wähle dann das passende Angebot. Für allgemeine Texte ohne Personenbezug genügt oft ein Business-Konto mit klarer Richtlinie. Für Mandanten-, Kunden- oder Versicherungsdaten lohnt sich eine Lösung mit Verarbeitung in der EU.

Hey2Ai entwickelt dafür eine eigene KI-Plattform mit Hosting in Deutschland und ohne Training von Modellen auf Kundendaten. Welche Pflichten zusätzlich aus dem EU AI Act folgen, etwa die Maßnahmen zur KI-Kompetenz nach Art. 4 seit dem 2. Februar 2025, klärt Hey2Ai gemeinsam mit dir in der kostenlosen KI-Analyse. Der Inhaber von Hey2Ai ist zertifizierter AI Officer.