Doch jeder Prompt, jede hochgeladene Datei und jedes Gesprächsprotokoll kann – sofern der Anbieter die Daten für Trainingszwecke verwendet – in fremde Modelle einfließen. Für Unternehmen bedeutet das ein dreifaches Risiko: Geheimnisschutz (Geschäftsgeheimnisse, Know-how, Vertrags- oder Kundendaten können in Modellen „verschwinden", die auch Wettbewerber nutzen), Datenschutzrecht (die DSGVO verbietet die Weitergabe personenbezogener Daten ohne Rechtsgrundlage; bei Verstößen drohen Bußgelder) sowie Kontrolle und Nachvollziehbarkeit (einmal trainierte Daten lassen sich oftmals nicht mehr löschen).
Praktische Beispiele, was schiefgehen kann
Personalabteilung: Eine HR-Mitarbeiterin fügt Kandidaten-Lebensläufe in ein KI-Tool ein, um sie zu vergleichen. Enthält das Tool keine Trainings-Sperre, werden personenbezogene Daten ohne Einwilligung an den Anbieter übermittelt – ein DSGVO-Verstoß.
Entwicklung: Ein Entwickler lässt ein KI-Tool einen Quellcode-Ausschnitt prüfen, der eine proprietäre Algorithmik enthält. Über das Training könnte dieses Wissen in Antworten für andere Kunden des Anbieters wieder auftauchen.
Vertrieb: Ein Vertriebler lässt ein KI-Tool ein noch unveröffentlichtes Angebot an einen Kunden formulieren – inklusive Preise und Konditionen. Diese sensiblen Daten liegen dann auf Servern Dritter und fließen womöglich in deren Modelle ein.
Worauf Unternehmen konkret achten sollten
Verträge und Nutzungsbedingungen prüfen: Steht ausdrücklich darin, dass Eingaben nicht für Modelltraining verwendet werden? Bei Business- / Enterprise-Tarifen ist das meist der Fall, bei kostenlosen Privatkonten oft nicht. Hier sind die Tarife vorab genau zu prüfen.
Zentrale Richtlinie statt Wildwuchs: Eine klare KI-Nutzungsrichtlinie definieren: Welche Tools sind freigegeben, welche Daten dürfen eingegeben werden, welche nicht? Mitarbeitende müssen dazu regelmäßig geschult werden.
Technische Maßnahmen ergreifen: Trainings-Opt-outs in den Einstellungen aktivieren und dokumentieren, Daten minimieren (pseudonymisieren, bevor sie in Prompts landen), ggf. unternehmensinterne oder lokal betriebene Modelle einsetzen.
Auftragsverarbeitungsvertrag (AV) abschließen: Sobald personenbezogene Daten verarbeitet werden, braucht es einen AV nach Art. 28 DSGVO – bei US-Anbietern zusätzlich prüfen, ob ein DPA verfügbar ist oder das Trans-Atlantic Data Privacy Framework greift, der Anbieter also zertifiziert ist.
Ausnahmen regeln: Selbst bei „kein Training" bleiben Daten beim Anbieter gespeichert. Für besonders sensible Inhalte (Geschäftsgeheimnisse, Gesundheitsdaten) gilt: Gar nicht eingeben oder nur in zertifizierten Umgebungen. Anonymisierungstools können helfen.
Regelmäßig kontrollieren: Freigegebene Tools und deren Konditionen mindestens jährlich prüfen – Anbieter ändern ihre Bedingungen manchmal mit Updates.
Fazit
Wer KI-Systeme datenschutzkonform einsetzt, erhält sich die Vorteile der Technologie, ohne Geheimnisse, Kundenvertrauen oder rechtliche Sicherheit zu riskieren. Der Aufwand dafür ist überschaubar: Die richtigen Tarife und Verträge, eine klare interne Richtlinie und ein bewusster Umgang mit sensiblen Daten. Das Ergebnis ist ein KI-Einsatz, der Innovation ermöglicht – und trotzdem die vollständige Kontrolle über die eigenen Daten behält.