Dürfen Mitarbeitende ChatGPT im Job benutzen?

Ja, wenn das Unternehmen die Nutzung regelt. Sinnvoll ist eine kurze KI-Richtlinie: welche Tools erlaubt sind, welche Daten nicht hineingehören und dass Ergebnisse geprüft werden. Ohne Regeln landen schnell Kundendaten bei externen Anbietern.

Ist lokale KI automatisch DSGVO-konform?

Nein, aber vieles wird einfacher. Weil keine Daten an externe KI-Anbieter gehen, entfallen Auftragsverarbeitung und Drittlandübermittlung für die KI. Rechtsgrundlage, Zugriffsrechte, Löschfristen und Information der Betroffenen bleiben weiterhin Aufgabe des Unternehmens.

Was verlangt der EU AI Act von kleinen Unternehmen?

Wer KI-Systeme im Betrieb einsetzt, muss seit Februar 2025 dafür sorgen, dass die Mitarbeitenden ausreichend KI-Kompetenz haben, etwa durch eine Schulung. Weitergehende Pflichten betreffen vor allem Hochrisiko-Anwendungen, zum Beispiel KI bei Personalentscheidungen.

KI und Datenschutz: Was die DSGVO von Unternehmen verlangt

Warum KI ein Datenschutzthema ist

Im Alltag passiert es schnell: Jemand kopiert eine Kundenbeschwerde in ChatGPT, um eine Antwort formulieren zu lassen. Oder lädt einen Arbeitsvertrag hoch, um ihn zusammenzufassen. In beiden Fällen gehen personenbezogene Daten an einen externen Anbieter, meist mit Servern oder Konzernsitz in den USA.

Für den Datenschutz verantwortlich bleibt dabei immer Ihr Unternehmen, nicht der KI-Anbieter und nicht der einzelne Mitarbeitende.

Die wichtigsten Punkte nach DSGVO

1. Rechtsgrundlage

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage, etwa die Erfüllung eines Vertrags oder ein berechtigtes Interesse. Das gilt auch, wenn eine KI die Daten verarbeitet.

2. Vertrag zur Auftragsverarbeitung

Nutzen Sie eine Cloud-KI mit personenbezogenen Daten, verarbeitet der Anbieter diese in Ihrem Auftrag. Dafür ist ein Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO nötig. Die kostenlosen Versionen vieler KI-Tools bieten so einen Vertrag nicht an, meist erst die Business-Tarife.

3. Daten außerhalb der EU

Gehen Daten in die USA oder andere Länder außerhalb der EU, gelten zusätzliche Regeln (Art. 44 ff. DSGVO). Für die USA gibt es derzeit das EU-US Data Privacy Framework, an dem viele große Anbieter teilnehmen. Ob es dauerhaft Bestand hat, ist umstritten, und Sie müssen dokumentieren, auf welcher Grundlage die Übermittlung erfolgt.

4. Training mit Ihren Daten

Manche Anbieter verwenden Eingaben, um künftige Modelle zu trainieren, vor allem in Gratis- und Privatversionen. Prüfen Sie die Einstellungen und Vertragsbedingungen. Was einmal in Trainingsdaten gelandet ist, lässt sich praktisch nicht mehr zurückholen.

5. Information und Datenschutz-Folgenabschätzung

Betroffene müssen erfahren, dass und wie ihre Daten verarbeitet werden, also gehört der KI-Einsatz in Ihre Datenschutzhinweise und Ihr Verarbeitungsverzeichnis. Bei Verarbeitungen mit hohem Risiko, etwa bei umfangreicher Auswertung von Personaldaten, kann eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) nötig sein.

6. Keine Entscheidung allein durch die KI

Entscheidungen mit rechtlicher Wirkung für Menschen, etwa über eine Bewerbung oder einen Kredit, dürfen nicht ausschließlich automatisiert getroffen werden (Art. 22 DSGVO). Am Ende muss ein Mensch entscheiden.

Betriebsrat

Gibt es in Ihrem Unternehmen einen Betriebsrat, hat er bei der Einführung von KI in der Regel ein Mitbestimmungsrecht, weil sich solche Systeme grundsätzlich dazu eignen, Verhalten oder Leistung von Beschäftigten zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG). Am besten beziehen Sie ihn früh ein und schließen eine Betriebsvereinbarung.

Und der EU AI Act?

Neben der DSGVO gibt es seit August 2024 die europäische KI-Verordnung, den EU AI Act. Sie gilt schrittweise. Für die meisten kleinen und mittleren Unternehmen, die KI nur nutzen, sind zwei Punkte wichtig:

KI-Kompetenz (Art. 4): Seit dem 2. Februar 2025 müssen Unternehmen dafür sorgen, dass Mitarbeitende, die mit KI arbeiten, ausreichend darüber Bescheid wissen. Eine Schulung und eine schriftliche Richtlinie sind der einfachste Weg.
Hochrisiko-Anwendungen: Strengere Pflichten gelten zum Beispiel für KI, die Bewerbungen sortiert oder Beschäftigte bewertet. Wer KI für solche Zwecke einsetzen will, sollte sich rechtlich beraten lassen.
Ausführlich unter EU AI Act für KMU.

Checkliste: KI datenschutzfreundlich einführen

Festlegen, welche KI-Tools im Unternehmen erlaubt sind
Eine kurze KI-Richtlinie schreiben: welche Daten nicht hineingehören, wer Ergebnisse prüft (Vorlage)
Bei Cloud-KI: Business-Tarif mit Vertrag zur Auftragsverarbeitung wählen, Training mit eigenen Daten abschalten
Datenübermittlung ins Ausland prüfen und dokumentieren
KI-Einsatz ins Verarbeitungsverzeichnis und in die Datenschutzhinweise aufnehmen
Betriebsrat einbeziehen, falls vorhanden
Mitarbeitende schulen (KI-Kompetenz nach EU AI Act)
Datenschutzbeauftragten fragen, falls vorhanden

Was heißt das für Ihr Unternehmen?

Der größte Aufwand entsteht dort, wo Daten das Haus verlassen: Verträge, Auslandsübermittlung, Trainingsfragen. Eine lokale KI nimmt diesen Teil heraus, weil die Daten im eigenen Netz bleiben. Regeln, Schulung und Dokumentation brauchen Sie in jedem Fall, aber die lassen sich mit überschaubarem Aufwand umsetzen.

Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich bitte an Ihren Datenschutzbeauftragten oder eine Fachanwältin bzw. einen Fachanwalt.

KI und Datenschutz.