Die Grundfrage: Wo landen die Daten
Bei Sprachmodellen als Dienst verlassen alle Eingaben das Unternehmen. Ob das zulässig ist, hängt an drei Punkten: der Rechtsgrundlage für die Verarbeitung, dem Vorliegen eines Auftragsverarbeitungsvertrags und dem Verarbeitungsort.
Die kostenlosen Consumer-Versionen der großen Anbieter sind für personenbezogene Daten in aller Regel nicht geeignet — schon weil Eingaben zur Verbesserung der Modelle verwendet werden können. Die Unternehmensversionen schließen das vertraglich aus und bieten Auftragsverarbeitungsverträge an. Das ist der entscheidende Unterschied, und er kostet Geld.
Drei Wege, die funktionieren
Je nach Sensibilität der Daten ist ein anderer Weg angemessen.
| Weg | Eignung | Aufwand |
|---|---|---|
| Unternehmenslizenz mit AVV (z. B. Business-/Enterprise-Tarife) | Die meisten Anwendungsfälle | gering |
| Europäischer Anbieter oder EU-Region | Erhöhte Anforderungen, Betriebsratsthemen | mittel |
| Lokal betriebenes Modell | Besonders sensible Daten, Berufsgeheimnisträger | hoch |
Wann eine Folgenabschätzung nötig wird
Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte Betroffener birgt. Bei KI ist das typischerweise der Fall, wenn systematisch Personen bewertet werden — im Bewerbungsprozess etwa oder bei der Leistungsbeurteilung.
Für den Einsatz eines Sprachmodells zur Textformulierung ohne Personenbezug ist sie in der Regel nicht nötig. Die Einschätzung gehört trotzdem dokumentiert.
Häufige Fragen
Dürfen wir ChatGPT für Kundendaten nutzen?
Mit einer Unternehmenslizenz und abgeschlossenem Auftragsverarbeitungsvertrag grundsätzlich ja, sofern eine Rechtsgrundlage besteht und die Daten nicht besonders sensibel sind. Mit einem privaten Konto: nein.
Werden unsere Eingaben zum Training verwendet?
Bei den Business- und Enterprise-Tarifen der großen Anbieter vertraglich ausgeschlossen. Bei kostenlosen Versionen häufig nicht — das ist der praktisch wichtigste Unterschied.
Was ist mit Berufsgeheimnisträgern?
Für Ärzte, Anwälte und Steuerberater gilt zusätzlich § 203 StGB. Hier ist der Maßstab strenger; lokale Modelle oder speziell zertifizierte Branchenlösungen sind oft der einzige gangbare Weg.
Hilft Anonymisierung?
Sie hilft erheblich, ist aber schwerer als gedacht — aus Kontextinformationen lassen sich Personen häufig rekonstruieren. Als alleinige Maßnahme bei sensiblen Daten ist sie nicht ausreichend.