Question 1

Dürfen meine Mitarbeiter ChatGPT und ähnliche Werkzeuge nutzen?

Accepted Answer

Ja, wenn Sie es geregelt haben — und nein, solange Sie es nicht geregelt haben. Ein Verbot per DSGVO gibt es nicht. Aber jede Eingabe in ein KI-Werkzeug, die personenbezogene Daten enthält, ist eine Verarbeitung und braucht eine Rechtsgrundlage nach Art. 6 DSGVO, einen Vertrag mit dem Anbieter nach Art. 28 und, bei Anbietern außerhalb der EU, eine Grundlage für die Übermittlung nach Art. 44 ff. Ohne diese drei Dinge ist die Nutzung mit Kundendaten rechtswidrig, auch wenn sie praktisch ist. Das Problem in den meisten Betrieben ist nicht die bewusste Entscheidung, sondern die stille Nutzung. Beschäftigte nutzen die kostenlosen Zugänge mit privaten Konten, weil es hilft — für Angebotstexte, Mailantworten, Übersetzungen, Zusammenfassungen von Besprechungen. Nach den bekannten Untersuchungen zu diesem Thema ist das die Regel, nicht die Ausnahme. Was Sie nicht erlauben, findet also trotzdem statt, nur ohne Ihre Kontrolle. Deshalb ist ein Verbot in der Praxis der schlechtere Weg. Besser ist ein freigegebener Zugang mit Vertrag, dazu eine kurze Regel, was hinein darf und was nicht, und eine Unterweisung dazu. Dann haben Sie die Rechtsgrundlage, den Vertrag und die Kontrolle — und Ihre Beschäftigten müssen nicht heimlich arbeiten. Rechnen Sie den zweiten Grund dazu: Seit dem 2. Februar 2025 verlangt Art. 4 der EU-KI-Verordnung von jedem Betreiber eines KI-Systems, dass sein Personal über ausreichende KI-Kompetenz verfügt. Wer KI einsetzt, muss also ohnehin schulen — und wer sie zu nutzen verboten hat, obwohl sie genutzt wird, erfüllt diese Pflicht nicht.

Question 2

Was verlangt die KI-Schulungspflicht aus Art. 4 EU-KI-Verordnung?

Accepted Answer

Art. 4 der Verordnung (EU) 2024/1689 verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, damit ihr Personal und andere Personen, die in ihrem Auftrag KI-Systeme betreiben oder nutzen, über ein ausreichendes Maß an KI-Kompetenz verfügen. Die Vorschrift gilt seit dem 2. Februar 2025. „Betreiber“ ist jedes Unternehmen, das ein KI-System in eigener Verantwortung beruflich einsetzt — also auch der Handwerksbetrieb, der ein Textwerkzeug für Angebote nutzt. Was „ausreichend“ heißt, legt die Verordnung nicht fest. Sie nennt den Maßstab: zu berücksichtigen sind die technischen Kenntnisse, die Erfahrung, Ausbildung und Schulung der Personen, der Einsatzzusammenhang und die betroffenen Personengruppen. Für eine Belegschaft, die ein Textwerkzeug nutzt, ist das etwas anderes als für ein Unternehmen, das ein KI-System zur Bewerberauswahl einsetzt. Inhaltlich gehören vier Punkte in eine solche Unterweisung: Wie ein solches System grundsätzlich arbeitet und warum es überzeugend Falsches erzeugen kann. Was mit der Eingabe geschieht. Welche Daten im Betrieb nicht eingegeben werden dürfen. Und dass das Ergebnis vor der Verwendung geprüft werden muss, weil die Verantwortung beim Menschen bleibt. Eine Besonderheit, die Sie kennen sollten: Art. 4 steht nicht im Bußgeldkatalog des Art. 99 der KI-Verordnung. Eine unmittelbare EU-Geldbuße allein für fehlende KI-Kompetenz ist also nicht vorgesehen. Die Pflicht besteht trotzdem — und sie wirkt dort, wo es zählt: in der Aufsicht, in der Haftung und in der Frage, ob Sie Ihre Organisation im Griff hatten, wenn ein KI-Einsatz schiefgegangen ist.

Question 3

Darf ich Kundendaten in ein KI-Werkzeug eingeben?

Accepted Answer

Nur mit Rechtsgrundlage, Vertrag und geregelter Übermittlung — und in der Praxis fast nie, wenn es sich vermeiden lässt. Die Eingabe ist eine Übermittlung an den Anbieter und damit eine Verarbeitung nach Art. 4 Nr. 2 DSGVO. Sie braucht eine Rechtsgrundlage nach Art. 6, einen Auftragsverarbeitungsvertrag nach Art. 28 und bei Anbietern außerhalb der EU eine Grundlage nach Art. 44 ff. Bei besonderen Datenkategorien nach Art. 9 — Gesundheit, Herkunft, Religion, Gewerkschaft — kommt die zusätzliche Hürde des Art. 9 Abs. 2 dazu, die im betrieblichen Alltag kaum zu überwinden ist. Der einfachere und in den meisten Fällen völlig ausreichende Weg ist, die Daten vorher herauszunehmen. Für „formuliere mir eine freundliche Absage auf diese Bewerbung“ braucht das Werkzeug keinen Namen, keine Adresse und kein Geburtsdatum. Für „fasse dieses Protokoll zusammen“ genügen Rollenbezeichnungen statt Namen. Wer sich das zur Gewohnheit macht, löst das Problem, ohne es rechtlich lösen zu müssen. Achten Sie auf zwei Punkte, die oft übersehen werden. Erstens: Freie und private Zugänge verwenden Eingaben häufig zur Verbesserung der Modelle — in Geschäftstarifen ist das meist abschaltbar oder vertraglich ausgeschlossen, in kostenlosen Zugängen oft nicht. Zweitens: Auch ein Dateianhang ist eine Eingabe. Eine hochgeladene Tabelle mit 800 Kundenadressen ist dasselbe wie 800 einzelne Eingaben. Und prüfen Sie die Fälle, die über das Textwerkzeug hinausgehen. Ein KI-System, das Bewerbungen vorsortiert, Leistungen von Beschäftigten bewertet oder Kreditentscheidungen vorbereitet, berührt Art. 22 DSGVO und in der KI-Verordnung möglicherweise den Hochrisikobereich. Das ist kein Thema für eine Hausregel, sondern für eine Prüfung im Einzelfall.

Question 4

Was passiert mit dem, was ich in ein KI-Werkzeug eingebe?

Accepted Answer

Es wird übertragen, verarbeitet und je nach Anbieter und Tarif gespeichert — und möglicherweise zur Verbesserung der Modelle verwendet. Das ist der entscheidende Unterschied zu einem Textverarbeitungsprogramm auf dem eigenen Rechner: Die Eingabe verlässt das Haus. Wohin sie geht, wie lange sie bleibt und wer sie sehen kann, steht in den Bedingungen und im Auftragsverarbeitungsvertrag des jeweiligen Anbieters — und unterscheidet sich zwischen kostenlosem Zugang, Geschäftstarif und Unternehmensvertrag erheblich. Für die Unterweisung genügt ein Bild, das jeder versteht: Eine Eingabe ist wie eine Mail an einen externen Dienstleister, von dem Sie nicht genau wissen, was er damit macht. Alles, was Sie diesem Dienstleister nicht per Mail schicken würden, gehört auch nicht in das Eingabefeld. Die zweite Hälfte der Antwort betrifft nicht den Datenschutz, sondern die Richtigkeit. Ein Sprachmodell erzeugt wahrscheinliche Formulierungen, keine geprüften Tatsachen. Es nennt Paragrafen, die nicht existieren, erfindet Fristen und bleibt dabei im Ton völlig überzeugend. Jedes Ergebnis, das nach außen geht oder eine Entscheidung stützt, muss von einem Menschen geprüft werden — und dieser Mensch bleibt verantwortlich. Dazu kommt die Betriebsgeheimnis-Seite, die oft wichtiger ist als die Datenschutzseite: Kalkulationen, Rezepturen, Angebotspreise, Verträge und Quellcode sind keine personenbezogenen Daten, aber ihr Abfluss schadet Ihnen unmittelbar. Eine KI-Regel sollte beide Themen abdecken, sonst denken Beschäftigte, es gehe nur um Namen.

Question 5

Brauchen wir eine schriftliche KI-Richtlinie?

Accepted Answer

Vorgeschrieben ist kein Dokument mit diesem Namen — aber Sie brauchen etwas Schriftliches, um Art. 4 der KI-Verordnung und die Nachweispflicht aus Art. 5 Abs. 2 DSGVO zu erfüllen. Eine Richtlinie ist dafür der einfachste Weg, und sie darf kurz sein: Eine Seite, die gelesen wird, ist mehr wert als zwölf Seiten in einem Ordner. Sechs Punkte reichen für den Anfang. Welche Werkzeuge sind freigegeben und über welchen Zugang. Welche Daten dürfen nie eingegeben werden — Kunden- und Beschäftigtendaten, Gesundheitsdaten, Zugangsdaten, Kalkulationen, Vertragsunterlagen. Wer prüft das Ergebnis, bevor es nach außen geht. Wie werden KI-erzeugte Inhalte gekennzeichnet. Was gilt für private Zugänge, nämlich: nicht für dienstliche Inhalte. Und an wen man sich wendet, wenn man unsicher ist. Denken Sie an die Mitbestimmung. Der Einsatz von Werkzeugen, die geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen, unterliegt in Betrieben mit Betriebsrat der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Bei einem Textwerkzeug ist das vertretbar diskutierbar, bei einem System mit Auswertungsfunktionen nicht — dort gehört der Betriebsrat früh einbezogen, nicht nach der Einführung. Und halten Sie die Richtlinie lebendig. Die Werkzeuglandschaft ändert sich schneller als jede andere in Ihrem Betrieb. Ein Dokument mit Stand von vor zwei Jahren nennt Werkzeuge, die es nicht mehr gibt, und schweigt zu denen, die alle nutzen. Ein Blick darauf einmal im Jahr, zusammen mit der Auffrischungsschulung, genügt.

Question 6

Reicht unsere DSGVO-Schulung für die KI-Pflicht aus?

Accepted Answer

Nur, wenn sie KI tatsächlich behandelt — die beiden Pflichten haben verschiedene Rechtsgrundlagen und verschiedene Inhalte. Die Datenschutzschulung folgt aus der DSGVO und erklärt den Umgang mit personenbezogenen Daten. Die KI-Kompetenz folgt aus Art. 4 der KI-Verordnung und erklärt den Umgang mit KI-Systemen — einschließlich der Fälle, in denen keine personenbezogenen Daten im Spiel sind. Praktisch lassen sie sich gut zusammenlegen, und das ist auch der sinnvolle Weg: Die Beschäftigten erleben beide Themen im gleichen Arbeitsablauf. Ein Modul zu KI innerhalb der Datenschutzschulung erfüllt beide Pflichten, wenn es die vier Kernpunkte abdeckt — Funktionsweise und Fehleranfälligkeit, Umgang mit der Eingabe, die betrieblichen Verbote, und die Pflicht zur Prüfung des Ergebnisses. Zwei Dinge müssen Sie dann aber trennen können. Erstens die Dokumentation: Im Nachweis sollte erkennbar sein, dass KI behandelt wurde, nicht nur „Datenschutz“. Ein Inhaltsverzeichnis mit einem Punkt „Künstliche Intelligenz“ ist dafür ausreichend und aussagekräftig. Zweitens die Zielgruppen: Wer ein KI-System einrichtet, auswählt oder auswertet, braucht mehr als die Belegschaft. Was nicht genügt: ein Satz in der Datenschutzschulung, dass KI „mit Vorsicht zu verwenden“ sei. Das ist keine Kompetenzvermittlung, sondern eine Warnung. Art. 4 verlangt, dass die Beschäftigten verstehen, womit sie arbeiten — nicht, dass sie sich davor fürchten.

Question 7

Müssen wir KI-erzeugte Inhalte kennzeichnen?

Accepted Answer

In bestimmten Fällen ja, pauschal nein. Die KI-Verordnung regelt die Transparenz in Art. 50. Dort trifft es vor allem drei Konstellationen: Systeme, die unmittelbar mit Menschen interagieren, müssen erkennbar machen, dass es sich um KI handelt — der Chatbot auf Ihrer Website also. Wer Bild-, Ton- oder Videoinhalte erzeugt oder verändert, die echten Personen, Orten oder Ereignissen zum Verwechseln ähneln, muss das offenlegen. Und wer Texte veröffentlicht, die KI-erzeugt sind und über Angelegenheiten von öffentlichem Interesse informieren, muss ebenfalls kennzeichnen. Für den betrieblichen Alltag heißt das: Ein mit KI formuliertes Angebot, eine überarbeitete Mail oder ein Produkttext brauchen keinen Hinweis. Der Chatbot im Kundendienst braucht einen. Eine erzeugte Stimme in einer Telefonansage braucht einen. Ein Werbebild, das eine reale Situation vortäuscht, braucht einen — und ist daneben eine Frage des Wettbewerbsrechts. Unabhängig von der Pflicht lohnt eine Hausregel zur internen Kennzeichnung. Wenn in einem Dokument steht, dass eine Passage maschinell erzeugt und noch nicht geprüft ist, dann weiß die nächste Person, dass sie nachsehen muss. Ohne diesen Hinweis wandern unbemerkt unbestätigte Zahlen und erfundene Fundstellen in Angebote und Berichte. Beachten Sie zudem, dass die Kennzeichnung nicht die Verantwortung verschiebt. Ein Hinweis „KI-generiert“ unter einem falschen Text macht den Text nicht richtig und entschuldigt nichts. Verantwortlich bleibt, wer veröffentlicht.

Question 8

Welche KI-Werkzeuge sind datenschutzrechtlich unbedenklich?

Accepted Answer

Keines ist es pauschal — unbedenklich wird ein Werkzeug durch die Art, wie Sie es einsetzen, und durch den Vertrag, den Sie haben. Entscheidend sind fünf Fragen, und sie gelten für jeden Anbieter gleich: Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO? Wo werden die Daten verarbeitet, und wenn außerhalb der EU, auf welcher Grundlage nach Art. 44 ff.? Werden Eingaben zum Training verwendet, und lässt sich das ausschließen? Wie lange werden Eingaben gespeichert? Und: Wer im Unternehmen des Anbieters kann sie sehen? Wer diese fünf Fragen beantworten kann, hat ein brauchbares Werkzeug — unabhängig vom Namen des Anbieters. Wer sie nicht beantworten kann, hat ein Risiko, auch wenn der Anbieter europäisch ist und „DSGVO-konform“ auf der Website steht. Diese Angabe ist eine Selbstauskunft, keine Zertifizierung. Eine Abkürzung, die in vielen Betrieben funktioniert: Nutzen Sie KI dort, wo sie schon in einem System steckt, mit dem Sie bereits einen Vertrag haben — in der Bürosoftware, im Kundensystem, im Übersetzungsdienst. Dann hängt die KI-Nutzung an einem bestehenden Auftragsverarbeitungsvertrag, und Sie müssen nur prüfen, ob dieser die KI-Funktion abdeckt. Die sicherste Variante ist ein Modell, das auf Ihrer eigenen Infrastruktur läuft. Dann verlassen die Daten das Haus nicht, und die Fragen nach Vertrag und Drittland entfallen. Das kostet Einrichtung und Betrieb und ist für die meisten kleinen Betriebe überdimensioniert — aber es ist der Grund, warum größere Unternehmen diesen Weg gehen.

KI im Betrieb: Datenschutz und die neue Schulungspflicht