ChatGPT im Unternehmen: Datenschutz-Checkliste für Arbeitgeber

Seit Ende 2022 hat ChatGPT einen beispiellosen Boom ausgelöst. Texte entwerfen, E-Mails formulieren, Dokumente zusammenfassen: Viele Beschäftigte nutzen KI-Chatbots bereits im Arbeitsalltag, oft ohne Wissen des Arbeitgebers. Datenschutzrechtlich ist das nicht ohne Risiko. Ende März 2023 hat die italienische Datenschutzbehörde die Verarbeitung von Daten italienischer Nutzer durch ChatGPT vorläufig beschränkt; das Thema steht damit auch bei anderen europäischen Aufsichtsbehörden auf der Agenda. Unternehmen sollten den Umgang mit KI-Chatbots deshalb jetzt aktiv regeln.

Wo liegen die Risiken?

• Wer Kundenanfragen, Bewerbungen oder Gesprächsnotizen in einen Chatbot kopiert, übermittelt personenbezogene Daten an den Anbieter. Dafür braucht es eine Rechtsgrundlage, und die fehlt in vielen Fällen.
• Je nach Einstellungen und Vertragsbedingungen können Eingaben vom Anbieter zur Verbesserung seiner Modelle verwendet werden. Die Kontrolle über die Daten geht dann verloren.
• Die bekanntesten Anbieter sitzen in den USA. Seit dem Schrems-II-Urteil ist eine Übermittlung dorthin nur mit zusätzlichen Garantien möglich.
• Neben dem Datenschutz sind Vertraulichkeitspflichten betroffen, also Geschäfts- und Berufsgeheimnisse. Für Ärzte, Anwälte oder Steuerberater ist das sogar strafrechtlich bewehrt.
• KI-Systeme können falsche Aussagen über Personen erzeugen. Werden diese übernommen, kann das Persönlichkeitsrechte verletzen.

Checkliste für Unternehmen

1. Erheben Sie, welche KI-Tools im Unternehmen bereits genutzt werden, von wem und wofür.
2. Legen Sie in einer Richtlinie fest, welche Tools für welche Aufgaben zugelassen sind. Die Grundregel lautet: keine personenbezogenen Daten und keine vertraulichen Informationen in frei zugängliche Chatbots.
3. Prüfen Sie Unternehmenslizenzen. Business-Angebote bieten teils vertragliche Zusicherungen, etwa zum Ausschluss der Nutzung für Training, und einen Auftragsverarbeitungsvertrag.
4. Deaktivieren Sie Chatverlauf und Trainingsnutzung, soweit möglich.
5. Schulen Sie die Beschäftigten: Sie müssen wissen, was sie eingeben dürfen und dass Ergebnisse geprüft werden müssen.
6. Sollen personenbezogene Daten in größerem Umfang verarbeitet werden, ist zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
7. Binden Sie den Betriebsrat ein. Wird die Nutzung technisch gesteuert oder ausgewertet, können Mitbestimmungsrechte bestehen.

Verbieten oder gestalten?

Ein pauschales Verbot ist schwer durchzusetzen und verschenkt Potenzial. Erfolgversprechender ist ein kontrollierter Einsatz mit freigegebenen Tools, klaren Regeln und geschulten Beschäftigten. Für viele Aufgaben, etwa das Formulieren allgemeiner Texte ohne Personenbezug, lassen sich KI-Werkzeuge risikoarm nutzen.

Regulatorischer Ausblick

Auf europäischer Ebene wird derzeit über eine KI-Verordnung verhandelt, die Pflichten für Anbieter und Nutzer von KI-Systemen festlegen soll. Unabhängig davon gilt schon heute: Sobald personenbezogene Daten verarbeitet werden, ist die DSGVO anwendbar.

Die wichtigste Regel bleibt einfach: keine personenbezogenen oder vertraulichen Daten in öffentliche KI-Dienste. Für Ihre KI-Richtlinie, die Verträge mit Anbietern und die Risikobewertung stehen wir Ihnen zur Verfügung. Nehmen Sie Kontakt auf oder vereinbaren Sie einen Termin.