KI-Tools & Datenschutz (z. B. ChatGPT im Unternehmen)
Setzt ein Unternehmen KI-Tools wie ChatGPT ein, gilt die DSGVO uneingeschränkt: Werden personenbezogene Daten eingegeben oder verarbeitet, braucht es eine Rechtsgrundlage nach Art. 6 DSGVO, Transparenz gegenüber Betroffenen sowie bei externen Anbietern einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO inklusive Absicherung von Datenübermittlungen in Drittländer wie die USA.
In der Praxis
Vor dem produktiven KI-Einsatz sollte geprüft werden, ob der Anbieter eine Business- oder Enterprise-Version mit AVV und ohne Nutzung der Eingaben zum Modelltraining anbietet, da kostenlose Consumer-Versionen diese Garantien häufig nicht bieten. Kundendaten, Gesundheitsdaten oder andere sensible Informationen sollten grundsätzlich nicht in Prompts eingegeben werden, sofern keine ausdrückliche Rechtsgrundlage und vertragliche Absicherung besteht. Bei umfangreichem oder risikobehaftetem Einsatz kann zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig sein; eine interne KI-Richtlinie für Mitarbeitende schafft zusätzliche Klarheit. Neben der DSGVO greifen seit 2. August 2026 die Transparenzpflichten des Art. 50 KI-Verordnung, etwa die Offenlegung, dass Nutzer:innen mit einem KI-System interagieren, und die Kennzeichnung KI-generierter Inhalte.