ChatGPT & Datenschutz: Ein Leitfaden für Unternehmen in der EU

Darf man ChatGPT im Unternehmen datenschutzkonform nutzen?

Ja, wenn du die Voraussetzungen schaffst. Nutze einen Business- oder Enterprise-Tarif mit Auftragsverarbeitungsvertrag, in dem deine Eingaben nicht zum Training verwendet werden. Prüfe die Grundlage für den Datentransfer in die USA, lege in einer KI-Richtlinie fest, welche Daten in Prompts dürfen, und schule deine Mitarbeitenden. Personenbezogene oder vertrauliche Daten gehören nur dann in ChatGPT, wenn es dafür eine Rechtsgrundlage gibt und der Zweck es erfordert.

Der Einsatz von ChatGPT und anderen großen Sprachmodellen (LLMs) ist aus der europäischen Unternehmenslandschaft nicht mehr wegzudenken. Mit dieser Innovation wachsen aber auch die Anforderungen an Datenschutz, IT-Sicherheit und regulatorische Konformität. Dieser Leitfaden zeigt die datenschutzrechtlichen Herausforderungen, die Auswirkungen des EU AI Act und pragmatische Schritte, wie du dich rechtskonform aufstellst.

Wie ChatGPT funktioniert: technisches Verständnis als Grundlage für Compliance

ChatGPT basiert auf einem KI-Modell mit allgemeinem Verwendungszweck (General Purpose AI, GPAI), das mit großen Mengen an Texten trainiert wurde. Aus Datenschutzsicht kritisch ist, dass Eingaben je nach Tarif und Einstellung zur Weiterentwicklung der Modelle verwendet werden können. In den kostenlosen und privaten Tarifen ist das standardmäßig möglich und muss aktiv abgeschaltet werden. In den Business-, Enterprise- und API-Angeboten nutzt OpenAI Kundendaten nach eigenen Angaben standardmäßig nicht zum Training.

Hinzu kommt: Welche Daten wie lange gespeichert und wie verarbeitet werden, ist für Nutzer:innen oft nur eingeschränkt nachvollziehbar. Das erfordert ein gutes Verständnis der Datenverarbeitung, bevor ChatGPT im Unternehmen eingesetzt wird.

Datenschutzrechtliche Herausforderungen mit LLMs im Überblick

Die Integration von ChatGPT in Unternehmensprozesse bringt spezifische Datenschutzrisiken mit sich. Diese Punkte musst du klären:

Rechtsgrundlage und Tarifwahl

Sobald personenbezogene Daten in Prompts landen, brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO – etwa ein berechtigtes Interesse oder die Erfüllung eines Vertrags. Für besondere Kategorien wie Gesundheitsdaten gelten strengere Regeln. Private Konten von Mitarbeitenden sind für den geschäftlichen Einsatz ungeeignet, weil dort kein Auftragsverarbeitungsvertrag besteht und Eingaben zum Training genutzt werden können.

Datenflüsse und Auftragsverarbeitung: die Krux bei Drittlandtransfers

Viele Unternehmen nutzen ChatGPT direkt bei OpenAI oder über Cloud-Plattformen wie Azure OpenAI. Auch bei Datenspeicherung in Europa können Unterauftragsverarbeiter in den USA beteiligt sein. Du brauchst deshalb einen Auftragsverarbeitungsvertrag (AVV) und eine Grundlage für den Drittlandtransfer: entweder die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln mit einem Transfer Impact Assessment (TIA). Fehlt das, drohen Verstöße gegen die DSGVO und Bußgelder.

Transparenz und Informationspflichten

Art. 13 und Art. 14 DSGVO verpflichten dich, Betroffene über Zweck, Art und Umfang der Datenverarbeitung zu informieren. Setzt du ChatGPT etwa im Kundenservice oder im Recruiting ein, muss das in deinen Datenschutzhinweisen stehen. Bei LLMs ist das anspruchsvoll, weil die Verarbeitung komplex ist – mit klaren internen Regeln und einer sauberen Dokumentation ist es aber machbar.

Praxisnahe Risikofelder im Unternehmen: Wo lauern die Gefahren?

Der unbedachte Einsatz von ChatGPT kann in verschiedenen Bereichen zu Datenschutzverletzungen führen. Typische Szenarien:

• Marketing: Beim Erstellen von Texten landen vertrauliche CRM-Daten wie Kundeninformationen oder strategische Pläne im Prompt.
• Personalwesen (HR): In der Bewerberkommunikation können besondere Kategorien personenbezogener Daten verarbeitet werden, etwa Gesundheitsdaten oder Angaben zur ethnischen Herkunft.
• Recht und Compliance: KI-Ausgaben werden trotz fehlender Nachvollziehbarkeit als Grundlage für rechtliche Entscheidungen verwendet, oder vertrauliche Rechtsdokumente werden eingegeben.
• Kundenservice: Bei der Beantwortung von Anfragen werden Namen, Adressen oder Bestellhistorien von Kund:innen unbeabsichtigt offengelegt.
• Forschung und Entwicklung: Bei der Codegenerierung oder Datenanalyse werden Betriebsgeheimnisse eingegeben, die – je nach Tarif – zum Training verwendet werden könnten.

Der EU AI Act: Was gilt für Unternehmen, die ChatGPT nutzen?

Der EU AI Act gilt seit 2024 schrittweise. Wichtig ist die Unterscheidung zwischen Anbietern und nutzenden Unternehmen (Betreibern):

• Pflichten der Anbieter: Seit dem 2. August 2025 gelten Pflichten für Anbieter von GPAI-Modellen wie OpenAI – etwa technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des Urheberrechts und eine Zusammenfassung der Trainingsdaten. Diese Pflichten treffen nicht dein Unternehmen.
• KI-Kompetenz: Seit Februar 2025 musst du sicherstellen, dass Mitarbeitende, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen (Art. 4 AI Act).
• Transparenzpflichten: Seit August 2026 gelten Kennzeichnungspflichten, etwa wenn du Deepfakes erzeugst oder KI-generierte Texte zur Information der Öffentlichkeit ohne menschliche Prüfung veröffentlichst (Art. 50 AI Act).
• Hochrisiko-Einsatz: Nutzt du ChatGPT für Entscheidungen in sensiblen Bereichen, etwa zur Vorauswahl von Bewerbenden, kann ein Hochrisiko-System vorliegen – mit deutlich strengeren Pflichten.

Für die GPAI-Anbieter gibt es zudem einen freiwilligen Verhaltenskodex (Code of Practice), den unter anderem OpenAI unterzeichnet hat. Er erleichtert den Anbietern den Nachweis ihrer Pflichten. Für dich lohnt es sich, bei der Anbieterauswahl darauf zu achten. Mehr zur Umsetzung liest du in unserem Artikel zu den praktischen Schritten für den EU AI Act.

Handlungsempfehlungen für eine DSGVO- und AI-Act-konforme KI-Nutzung

Um ChatGPT datenschutzkonform und sicher in deinem Unternehmen einzusetzen, helfen diese Schritte:

1. Nutzungskontext festlegen: Definiere, in welchen Abteilungen und zu welchen Zwecken ChatGPT eingesetzt werden darf. Halte das in einer KI-Policy fest.
2. Risiken bewerten: Prüfe für jeden Einsatzzweck, welche Daten verarbeitet werden dürfen und ob eine Datenschutz-Folgenabschätzung nötig ist.
3. Technische und organisatorische Maßnahmen umsetzen: Nutze einen Business- oder Enterprise-Tarif, regle Zugriffe zentral und setze, wo möglich, Filter zur Anonymisierung von Eingaben ein.
4. Vertraglich absichern: Schließe einen Auftragsverarbeitungsvertrag mit dem Anbieter und prüfe die Grundlage für den Drittlandtransfer.
5. Mitarbeitende schulen: Die Schulung zur KI-Kompetenz ist nach dem AI Act Pflicht. Sie schärft auch das Bewusstsein für Datenschutzrisiken bei KI-Nutzung.
6. Governance etablieren: Lege Verantwortlichkeiten fest, prüfe die Nutzung regelmäßig und passe deine Regeln an neue Tools und Rechtslagen an.

Rolle von heyData: Befähigung statt Rechtsberatung

heyData bietet keine juristische AI-Act-Beratung im klassischen Sinne. Unsere Leistungen im KI-Kontext sollen Unternehmen befähigen, KI sicher einzusetzen:

• Risikobewertung der KI-Nutzung in deinem Unternehmen
• Trainings zur KI-Kompetenz und zur datenschutzkonformen Nutzung von KI-Systemen
• DSGVO-konforme Vorlagen und Richtlinien für den KI-Einsatz

Fazit: Regulierung muss Innovation nicht bremsen

ChatGPT und ähnliche KI-Systeme sind gekommen, um zu bleiben. Wer dauerhaft auf der sicheren Seite sein will, braucht klare interne Prozesse, technische Schutzmaßnahmen und ein Grundverständnis der rechtlichen Rahmenbedingungen. Der EU AI Act und die DSGVO sind dabei keine Hindernisse, sondern Leitplanken für eine verantwortungsvolle KI-Nutzung.

Mit der KI-Compliance von heyData bekommst du die Werkzeuge, Schulungen und Strukturen, um ChatGPT und andere KI-Tools sicher einzusetzen.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo