Hinweis: Dieser Beitrag gibt einen praktischen Überblick und ersetzt keine Rechtsberatung. Bei konkreten Fragen wenden Sie sich an Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten bzw. eine Anwältin oder einen Anwalt.
1. Geschäftskonten statt privater Konten
Private Konten sind für den Firmeneinsatz ungeeignet: Sie haben keinen Überblick, wer was eingibt, und können Zugänge beim Ausscheiden von Mitarbeitenden nicht sperren. Die Geschäftstarife der großen Anbieter bieten in der Regel zentrale Verwaltung und – nach Angaben der Anbieter – keine Verwendung Ihrer Eingaben zum Training der Modelle. Prüfen Sie die jeweils aktuellen Bedingungen, bevor Sie sich entscheiden.
2. Auftragsverarbeitung vertraglich regeln
Sobald personenbezogene Daten verarbeitet werden, ist der KI-Anbieter in der Regel Auftragsverarbeiter. Dann brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Prüfen Sie außerdem, wo die Daten verarbeitet werden und auf welcher Grundlage sie gegebenenfalls in Drittländer wie die USA übermittelt werden.
3. Eine einfache Datenampel einführen
Mitarbeitende brauchen eine Regel, die sie sich merken können. Bewährt hat sich eine Ampel:
- Grün – unbedenklich: öffentliche Informationen, allgemeine Formulierungshilfen, Ideen und Entwürfe ohne Personenbezug.
- Gelb – nur in freigegebenen Werkzeugen: interne, nicht vertrauliche Unternehmensinformationen.
- Rot – nicht eingeben: Gesundheits- und Personaldaten, Kundendaten mit Namen oder Kontaktdaten, Passwörter, Bankdaten und Geschäftsgeheimnisse.
4. Anonymisieren statt kopieren
Oft braucht die KI gar keine echten Namen. Ersetzen Sie Namen, Adressen und Kundennummern durch Platzhalter wie „Kunde A“ – das Ergebnis ist genauso gut, und das Risiko sinkt deutlich.
5. Ergebnisse immer prüfen
KI-Werkzeuge formulieren überzeugend, liegen aber manchmal falsch – sie erfinden etwa Fakten, Zahlen oder Quellen. Die Verantwortung für alles, was Ihr Unternehmen verlässt, bleibt beim Menschen. Das gilt besonders für Angebote, Verträge und rechtliche oder gesundheitliche Aussagen.
6. Transparent gegenüber Kundinnen und Kunden sein
Wenn Kundinnen und Kunden mit einem KI-Assistenten schreiben, sollten sie das erkennen können. Kennzeichnen Sie Chatbots klar als KI und bieten Sie einen Weg zu einem Menschen an. Auch der EU AI Act sieht Transparenzpflichten für solche Systeme vor.
7. Regeln aufschreiben und das Team schulen
Halten Sie die wichtigsten Punkte in einer kurzen KI-Richtlinie fest: erlaubte Werkzeuge, Datenampel, Prüfpflicht, Ansprechpartner. Eine praxisnahe Schulung sorgt dafür, dass die Regeln im Alltag auch ankommen – und dass Ihr Team die Werkzeuge wirklich gut nutzt.
Checkliste zum Abhaken
- Geschäftskonten eingerichtet, private Konten für Firmendaten ausgeschlossen
- Vertrag zur Auftragsverarbeitung geprüft bzw. abgeschlossen
- Datenampel festgelegt und bekannt gemacht
- Prüfpflicht für KI-Ergebnisse vereinbart
- KI-Assistenten gegenüber Kundschaft gekennzeichnet
- Kurze KI-Richtlinie geschrieben, Team geschult
Welche Aufgaben sich für den Einstieg besonders eignen, lesen Sie in unserem Beitrag KI im Mittelstand: 10 Anwendungsfälle.