ChatGPT im Betrieb: erlaubt oder Datenschutz-Falle?

Die Frage klingt so, als gäbe es eine einfache Antwort: ChatGPT im Betrieb – erlaubt oder verboten? Die ehrliche Antwort lautet: Es kommt darauf an, was Ihre Leute damit tun. Und noch ehrlicher: Sie tun es längst. In den meisten Unternehmen läuft KI bereits im Alltag mit – nur weiß die Geschäftsführung selten, wo, von wem und mit welchen Daten.

Ich erlebe das in fast jedem Gespräch. „Bei uns nutzt niemand ChatGPT“, sagt der Geschäftsführer. Zwei Räume weiter formuliert der Vertrieb gerade ein Angebot damit um, die Assistenz kürzt ein Protokoll ein, und in der Personalabteilung wird eine Bewerbung zusammengefasst. Keiner davon handelt böswillig. Alle wollen nur schneller fertig werden. Genau darin liegt das Problem – und die Chance.

Die unbequeme Wahrheit: ChatGPT läuft längst in Ihrem Betrieb

Fangen wir mit der Realität an, nicht mit der Theorie. Studien und meine eigene Erfahrung zeichnen dasselbe Bild: Ein erheblicher Teil der Beschäftigten nutzt KI-Werkzeuge für die tägliche Arbeit – und ein großer Teil davon tut es, ohne dass es je offiziell erlaubt wurde. Man spricht von „Schatten-KI“: KI-Nutzung, die im Schatten der Geschäftsführung stattfindet, weil sie nützlich ist, aber nie geregelt wurde.

Das ist kein Zeichen von Illoyalität, sondern von Druck. Wer eine Aufgabe in fünf statt fünfzig Minuten erledigen kann, wird das tun. Solange es keine klaren Regeln gibt, entscheidet jeder Einzelne für sich – und meistens fällt die Entscheidung zugunsten des schnellsten Werkzeugs, nicht des sichersten.

Das eigentliche Problem ist deshalb nicht, dass ChatGPT genutzt wird. Das Problem ist, dass es unsichtbar genutzt wird. Was niemand sieht, kann niemand steuern. Und was niemand steuert, wird früher oder später zum Risiko.

Warum das ein Datenschutzproblem ist

Ein öffentlicher KI-Dienst wie ChatGPT ist im Kern eine fremde Cloud. Alles, was hineingeschrieben wird, verlässt Ihr Unternehmen und wird auf Servern eines Anbieters verarbeitet, dessen Prozesse Sie nicht kontrollieren. Für viele Aufgaben ist das völlig unbedenklich. Sobald aber personenbezogene oder vertrauliche Daten ins Spiel kommen, wird daraus ein handfestes DSGVO-Thema.

Denn die Datenschutz-Grundverordnung dreht sich im Kern um genau eine Frage: Behalten Sie die Kontrolle über die Daten, die Ihnen anvertraut wurden? Wenn ein Mitarbeiter einen Kundennamen, eine Vertragsklausel oder eine Krankmeldung in einen öffentlichen Dienst kopiert, geben Sie diese Kontrolle aus der Hand. Sie wissen dann nicht mehr sicher, wo diese Daten liegen, wie lange, und ob sie in Trainingsprozesse einfließen.

Nicht die KI ist das Datenschutzproblem. Das Problem ist der unkontrollierte Weg, den Ihre Daten nehmen, wenn niemand ihn geregelt hat.

Das ist übrigens dasselbe Muster, das ich beim Thema Digitalisierung immer wieder sehe: Datenschutz wird entweder als Ausrede benutzt, um gar nichts zu tun – oder er wird komplett ignoriert. Beides ist falsch. Warum Datenschutz fast nie das eigentliche Hindernis ist, habe ich hier ausführlich beschrieben: Datenschutz als Ausrede? Warum Digitalisierung trotzdem möglich ist.

Wo genau die DSGVO-Grenzen liegen

Damit die Diskussion nicht abstrakt bleibt, hier die praktische Trennlinie. Entscheidend ist nicht das Werkzeug, sondern die Art der Daten, die hineingehen:

• Meist unproblematisch: allgemeine Texte ohne Personenbezug – eine Marketing-Idee formulieren, einen öffentlichen Fachtext zusammenfassen, eine Gliederung entwerfen, eine Programmierfrage klären. Hier verlässt nichts das Haus, was schützenswert wäre.
• Heikel bis unzulässig: alles mit Personenbezug oder Vertraulichkeit. Kundennamen und Kontaktdaten, Bewerbungsunterlagen, Personalakten, Gesundheitsdaten, Vertragsdetails, interne Kalkulationen, Geschäftsgeheimnisse. Solche Daten gehören ohne tragfähige Rechtsgrundlage und ohne Auftragsverarbeitungsvertrag nicht in einen öffentlichen KI-Dienst.
• Die Grauzone: scheinbar harmlose Eingaben, die sich zusammensetzen. Ein Name hier, ein Projekt dort, eine Zahl an anderer Stelle – in Summe entsteht ein Bild, das Sie nie freigegeben hätten. Genau deshalb braucht es Regeln statt Bauchgefühl.

Hinzu kommt seit dem Sommer 2026 eine zweite Ebene: der EU AI Act. Er verlangt unter anderem, dass KI transparent gemacht und nachvollziehbar eingesetzt wird. Wer nicht einmal weiß, welche KI im Haus läuft, kann diese Anforderungen nicht erfüllen. Was der EU AI Act für den Mittelstand nüchtern bedeutet, habe ich hier eingeordnet: EU AI Act ab 2. August 2026 – was jetzt gilt.

Ein Verbot ist keine Lösung

Die erste Reaktion vieler Geschäftsführer ist verständlich: „Dann verbieten wir ChatGPT eben.“ Ich rate davon ab – nicht aus Prinzip, sondern weil es in der Praxis das Gegenteil bewirkt.

Ein Verbot beseitigt nicht den Grund, warum die Werkzeuge genutzt werden. Der Zeitdruck bleibt, der Nutzen bleibt – also bleibt auch die Nutzung. Nur wandert sie noch tiefer in den Schatten: aufs private Handy, ins Homeoffice, in den privaten Account. Sie haben dann kein Werkzeug weniger im Einsatz, sondern nur jede Möglichkeit verloren, die Nutzung zu sehen und zu steuern.

Der bessere Weg ist der umgekehrte: die Nutzung sichtbar machen, sinnvoll regeln und in sichere Bahnen lenken. Das entspricht dem Grundgedanken, den ich bei jedem Digitalprojekt anlege – erst den Prozess verstehen, dann das Werkzeug wählen, nicht umgekehrt. Genau das beschreibe ich in KI-Beratung beginnt nicht mit Tools, sondern mit Prozessen.

Die sichere Alternative: selbst gehostete KI mit anonymisierter Übertragung

Jetzt zum entscheidenden Punkt. Die Wahl steht nämlich nicht zwischen „unkontrolliertes Copy-and-paste in fremde Clouds“ und „gar keine KI“. Dazwischen liegt der Weg, den ich Unternehmen empfehle: eine kontrollierte KI-Umgebung, bei der die Daten das Haus nicht unkontrolliert verlassen.

Das lässt sich auf mehreren Stufen umsetzen – je nach Anspruch und Datenlage:

• Selbst gehostet oder in der EU betrieben. Die KI läuft in einer Umgebung, die Sie kontrollieren. Sie wissen, wo die Daten verarbeitet werden, dass sie nicht in fremde Trainingsprozesse fließen und wer Zugriff hat. Damit erfüllen Sie zentrale Anforderungen der DSGVO nicht nachträglich, sondern von vornherein.
• Anonymisierte Datenübertragung. Bevor eine Anfrage ein leistungsstarkes Sprachmodell erreicht, werden sensible Angaben automatisch entfernt oder durch Platzhalter ersetzt. Aus „Kunde Müller aus Rostock, Vertrag 4711“ wird ein neutraler Platzhalter. Das Modell liefert trotzdem ein brauchbares Ergebnis, aber die schützenswerten Daten haben Ihr System nie im Klartext verlassen.
• Eigene, geprüfte Wissensbasis. Statt die KI aus einer undurchsichtigen Datenmasse antworten zu lassen, arbeitet sie mit Ihrem eigenen, freigegebenen Firmenwissen. Das macht die Ergebnisse nicht nur sicherer, sondern auch deutlich besser – weil sie zu Ihrem Unternehmen passen.

Der Unterschied ist im Alltag kaum spürbar und im Ergebnis enorm. Ihre Mitarbeiter bekommen ein Werkzeug, das mindestens so schnell ist wie das, was sie heimlich nutzen – und Sie bekommen die Kontrolle zurück. Kein Zielkonflikt mehr zwischen Tempo und Datenschutz, sondern beides zugleich.

Und noch ein Nebeneffekt, der oft unterschätzt wird: Diese Kontrolle ist genau das, was auch der EU AI Act im Kern verlangt – Nachvollziehbarkeit darüber, welches System auf welcher Grundlage arbeitet. Wer KI ohnehin sauber und im eigenen Haus aufsetzt, erfüllt kommende Pflichten fast nebenbei.

Was Sie jetzt konkret tun sollten

Genug Einordnung – hier ist die Handlungsliste, mit der Sie das Thema in überschaubarer Zeit vom Risiko zur geordneten Chance machen. Nichts davon erfordert eine eigene Rechtsabteilung. Es erfordert nur, dass Sie es angehen, bevor es ein Vorfall für Sie tut.

1. Machen Sie die KI-Nutzung sichtbar. Fragen Sie offen und ohne Schuldzuweisung nach: Welche Werkzeuge nutzt ihr, wofür, mit welchen Daten? Sie werden überrascht sein, wie viel bereits im Einsatz ist. Diese Bestandsaufnahme ist die Grundlage für alles Weitere.
2. Schreiben Sie eine schlanke KI-Richtlinie. Eine verständliche Seite genügt: Welche Werkzeuge sind erlaubt, welche Daten dürfen niemals eingegeben werden, an wen wendet man sich bei Fragen? Klare Regeln schaffen Sicherheit auf beiden Seiten – und beenden das heimliche Ausprobieren.
3. Trennen Sie unkritische von sensiblen Aufgaben. Für allgemeine Texte ohne Personenbezug kann ein öffentliches Werkzeug in Ordnung sein. Für alles mit Kunden-, Personal- oder Vertragsbezug braucht es einen kontrollierten Weg.
4. Stellen Sie eine sichere Alternative bereit. Regeln allein reichen nicht, wenn es kein erlaubtes, gutes Werkzeug gibt. Geben Sie Ihren Mitarbeitern eine selbst gehostete oder datenschutzkonform betriebene Lösung an die Hand – dann müssen sie nicht auf unsichere Dienste ausweichen.
5. Benennen Sie Verantwortliche. Für den Umgang mit KI sollte klar sein, wer Ansprechpartner ist und Entscheidungen trägt. Verantwortung lässt sich nicht an eine Software delegieren.
6. Dokumentieren Sie mit Augenmaß. Halten Sie fest, welche KI Sie wofür einsetzen und warum das unbedenklich ist. Eine schlanke Übersicht reicht für die meisten Betriebe – und deckt zugleich einen Teil dessen ab, was der EU AI Act verlangt.

Nicht verbieten, sondern führen

ChatGPT im Betrieb ist weder harmlos noch teuflisch. Es ist ein Werkzeug, das bereits genutzt wird – und die einzige Frage ist, ob diese Nutzung im Dunkeln bleibt oder ins Licht kommt. Ein Verbot schiebt das Risiko nur weg, es löst es nicht. Klare Regeln und eine sichere, kontrollierte Alternative dagegen verwandeln ein diffuses Datenschutzrisiko in einen echten Produktivitätsvorteil.

Ich schaue auf dieses Thema als Unternehmer, nicht als Jurist: KI soll Ihren Leuten Arbeit abnehmen, ohne dass Sie nachts über die DSGVO nachdenken müssen. Beides ist möglich – wenn man die Nutzung nicht dem Zufall überlässt, sondern gestaltet. Wenn Sie unsicher sind, wo Ihr Unternehmen gerade steht, schauen wir gemeinsam drauf: Welche Tools laufen bei Ihnen, was ist kritisch, was unbedenklich – und wie sieht ein sicherer, alltagstauglicher Weg aus. Lassen Sie uns das in einem kurzen Gespräch durchgehen.

Häufige Fragen zu ChatGPT im Betrieb

Ist ChatGPT im Unternehmen verboten?

Nein, ChatGPT ist im Unternehmen nicht grundsätzlich verboten. Es gibt kein Gesetz, das die Nutzung untersagt. Entscheidend ist, welche Daten Sie eingeben. Verboten – im Sinne eines DSGVO-Verstoßes – wird es, wenn ohne Rechtsgrundlage personenbezogene Daten von Kunden, Mitarbeitern oder Bewerbern in einen öffentlichen Cloud-Dienst gegeben werden, dessen Verarbeitung Sie nicht kontrollieren. Für allgemeine, unkritische Aufgaben ohne Personenbezug ist die Nutzung dagegen meist unproblematisch.

Dürfen Mitarbeiter Kundendaten in ChatGPT eingeben?

In aller Regel nein. Namen, Adressen, E-Mails, Vertragsdetails, Krankheitsdaten oder andere personenbezogene Informationen gehören nicht in einen öffentlichen KI-Dienst, solange keine tragfähige Rechtsgrundlage und kein Auftragsverarbeitungsvertrag vorliegen. Sobald solche Daten das Haus verlassen und in eine fremde Cloud fließen, verlieren Sie die Kontrolle über ihre Verarbeitung – und genau das will die DSGVO verhindern. Sensible Daten sollten deshalb entweder anonymisiert oder ausschließlich in einem kontrollierten, eigenen System verarbeitet werden.

Was ist Schatten-KI und warum ist sie ein Risiko?

Schatten-KI bezeichnet die Nutzung von KI-Werkzeugen durch Mitarbeiter, ohne dass die Geschäftsführung davon weiß oder sie freigegeben hat. Das Risiko liegt in der Unsichtbarkeit: Niemand kann steuern, welche Daten in welche Dienste fließen, es gibt keine Regeln und keine Kontrolle. Ein Verbot verschärft das Problem meist, weil die Nutzung dann heimlich weiterläuft. Besser ist es, die Nutzung sichtbar zu machen, zu regeln und in sichere Bahnen zu lenken.

Wie kann ein Unternehmen KI datenschutzkonform nutzen?

Datenschutzkonform wird KI vor allem durch Kontrolle über die Datenverarbeitung. Drei Wege helfen: eine klare interne KI-Richtlinie, die regelt, welche Daten wohin dürfen; die Anonymisierung sensibler Daten, bevor sie ein Werkzeug erreichen; und im Idealfall ein selbst gehostetes oder in der EU betriebenes KI-System, bei dem Daten das Haus nicht unkontrolliert verlassen. So bleibt der Nutzen der KI erhalten, ohne die DSGVO zu verletzen.

Was ist eine selbst gehostete KI mit anonymisierter Datenübertragung?

Dabei läuft die KI in einer Umgebung, die Sie kontrollieren – auf eigener oder in der EU betriebener Infrastruktur. Sensible Angaben werden vor der Verarbeitung automatisch entfernt oder durch Platzhalter ersetzt, sodass an ein externes Modell nur anonymisierte Inhalte übertragen werden. Sie behalten damit die Datenhoheit, können nachvollziehen, was verarbeitet wird, und nutzen trotzdem die Leistungsfähigkeit moderner Sprachmodelle. Das ist die kontrollierte Alternative zum unkontrollierten Copy-and-paste in fremde Clouds.

Brauche ich eine KI-Richtlinie für mein Unternehmen?

Ja, eine schlanke KI-Richtlinie ist für die meisten Unternehmen der wichtigste erste Schritt. Sie muss kein juristisches Ungetüm sein: eine verständliche Seite, die klärt, welche Werkzeuge erlaubt sind, welche Daten niemals eingegeben werden dürfen und an wen sich Mitarbeiter bei Fragen wenden. Das schafft Sicherheit auf beiden Seiten, verhindert Schatten-KI und macht KI-Nutzung überhaupt erst steuerbar.