Kurz gesagt: Ist es sicher, ChatGPT mit Unternehmensdaten zu nutzen?
Das hängt von drei Dingen ab: welches Konto oder welcher Tarif verwendet wird, welche Datenbedingungen dafür gelten und welche Informationen eingegeben werden. Dasselbe Werkzeug kann in einem freigegebenen Geschäftskundentarif für einen Entwurf auf Basis öffentlicher Fakten akzeptabel sein, in einem privaten Konto für einen Kundenvertrag dagegen nicht.
Das britische nationale Zentrum für Cybersicherheit benannte den grundlegenden Punkt im March 2023: Eine Anfrage ist für die Organisation sichtbar, die das Modell bereitstellt. Es empfahl, keine sensiblen Informationen in Anfragen an öffentlich zugängliche Modelle aufzunehmen. Die Anbieterbedingungen haben sich seitdem weiterentwickelt, aber der Grundsatz bleibt: Sie müssen wissen, wohin die Daten gelangen. Diese Seite bietet allgemeine Informationen, keine Rechtsberatung.
Wählen Sie den Tarif
Legen Sie fest, welcher Kontotyp für die Arbeit zugelassen ist. Private Konten sind eine häufige Regelungslücke.
Lesen Sie die Bedingungen
Prüfen Sie auf den eigenen Seiten des Anbieters, ob Daten zum Training verwendet werden, wie lange sie gespeichert werden, welche Verwaltungsfunktionen es gibt und wo die Daten verarbeitet werden.
Informationen klassifizieren
Legen Sie anhand einfacher Beispiele fest, welche Informationen öffentlich, intern, vertraulich oder personenbezogen sind.
Legen Sie die Regel fest
Erstellen Sie eine kurze Liste der Informationen, die unabhängig vom Tarif niemals eingegeben werden dürfen.
Schulen und prüfen
Üben Sie mit fiktiven Daten und prüfen Sie den tatsächlichen Einsatz anhand der Regel.
Hängt es vom gewählten Tarif ab, was mit Ihren Daten geschieht?
Ja, Anbieter veröffentlichen in der Regel unterschiedliche Datenbedingungen für Privatkunden- und Geschäftsprodukte. Prüfen Sie daher genau den Tarif, den Sie nutzen. Im Datenschutzzentrum von Anthropic vom 18 August 2026 heißt es, dass Eingaben und Ausgaben aus den kommerziellen Produkten standardmäßig nicht zum Training der Modelle verwendet werden. Für Privatkundentarife wird auf einen separaten Artikel verwiesen. Laut dem Datenschutzzentrum für Google Workspace verwendet Workspace Kundendaten nicht ohne vorherige Zustimmung oder Anweisung des Kunden zum Training von Modellen.
Laut der API-Dokumentation von OpenAI werden an die API gesendete Daten nicht zum Trainieren oder Verbessern der Modelle verwendet, sofern Sie dem nicht ausdrücklich zustimmen. Protokolle zur Missbrauchsüberwachung werden standardmäßig bis zu 30 Tage gespeichert. Bei unserer Prüfung am 16 October 2026 konnten wir die Datenschutzseiten von OpenAI zu ChatGPT für Unternehmen und Privatnutzer nicht öffnen. Lesen Sie diese daher direkt für den ChatGPT-Tarif Ihres Teams, statt sich auf eine Zusammenfassung an dieser Stelle zu verlassen.
Was sollten Mitarbeitende niemals in ChatGPT einfügen?
Manche Informationen gehören in kein allgemeines KI-Tool, sofern dafür kein bestimmter, freigegebener Prozess vorgesehen ist. Eine für die meisten kleinen Teams geeignete Grundregel für Schulungen ist eine kurze Liste mit Informationen, die niemals eingegeben werden dürfen, sowie eine zuständige Person, die Grenzfälle klärt.
Passwörter und Schlüssel
Zugangsdaten, API-Schlüssel, Zugangscodes und sicherheitsrelevante Angaben.
Besondere Kategorien personenbezogener Daten
Gesundheitsdaten, biometrische Daten und ähnlich sensible Angaben über Personen.
Vertrauliche Kundenunterlagen
Alles, dessen Nutzung durch einen Vertrag oder eine Geheimhaltungsvereinbarung eingeschränkt ist, sofern der Kunde nicht zugestimmt hat.
Unveröffentlichte Finanzzahlen
Noch nicht öffentliche Ergebnisse, Vertragsbedingungen oder Preise.
Personalangelegenheiten
Angaben zu Disziplinarverfahren, Beschwerden oder Leistungen namentlich genannter Beschäftigter.
Möchten Sie sehen, wie das mit einer bestimmten Rolle zusammenhängt?
Geplante Testphase für Teams entdecken ↗Wie sieht eine sicherere Eingabeaufforderung aus?
Bei Copperfield Consulting, einem fiktiven Unternehmen mit 20 Beschäftigten, möchte ein Berater Unterstützung beim Zusammenfassen eines Kundeninterviews. In der riskanten Variante fügt er das vollständige Transkript in ein privates Konto ein – einschließlich des Kundennamens, der Beschwerde eines namentlich genannten Mitarbeiters und unveröffentlichter Umsatzzahlen.
Die sicherere Version nutzt den vom Unternehmen freigegebenen Geschäftstarif, entfernt Namen und Zahlen und fordert: "Fassen Sie die Hauptthemen dieser anonymisierten Notizen in fünf Stichpunkten zusammen. Leiten Sie nichts ab, was nicht ausdrücklich genannt wird." Anschließend gleicht die Beratungskraft jeden Stichpunkt mit den Notizen ab. Die Unternehmensrichtlinie legt fest, welcher Tarif freigegeben ist und dass die Nutzung von Kundendaten die Zustimmung der Mandatsleitung erfordert.
Was ist mit personenbezogenen Daten und dem Datenschutzrecht?
Wenn Mitarbeitende personenbezogene Daten eingeben, gelten Ihre Datenschutzpflichten wie gewohnt weiter; KI hebt sie nicht auf. Das Profil von NIST zu generativer KI führt Datenschutzrisiken, darunter das Abfließen und die unbefugte Offenlegung personenbezogener oder sensibler Daten, als Risiken generativer KI auf. Im Vereinigten Königreich veröffentlicht das ICO einen Leitfaden zu KI und Datenschutz; auf der Übersichtsseite vom 15 March 2023 steht, dass dieser infolge des Gesetzes zur Datennutzung und zum Datenzugang überarbeitet wird. Holen Sie bei Vorhaben mit hohem Risiko fachkundigen Rat ein.
Wofür eignet sich Tosheo.ai?
Tosheo.ai wird konzipiert, um im Rahmen praktischer Lektionen den zulässigen Umgang mit Informationen zu vermitteln. Dafür werden fiktive oder freigegebene Materialien verwendet, damit Beschäftigte diese Entscheidungen üben, bevor sie mit echten Daten damit konfrontiert sind. Für das Produkt ist zugesagt, dass Kundendokumente nach Unternehmen getrennt gespeichert, bei Kontoschließung gelöscht und niemals für das Training verwendet werden. Dies sind Zusagen für ein Produkt, dessen Entwicklung noch nicht begonnen hat, keine geprüften Kontrollmaßnahmen.
Wann ist Tosheo.ai nicht die Lösung?
Eine Schulung wählt nicht Ihren KI-Tarif aus, handelt keinen Auftragsverarbeitungsvertrag aus und führt keine Risikobewertung durch. Wenn Sie eine Sicherheitsprüfung, eine Datenschutz-Folgenabschätzung oder Vertragsbedingungen benötigen, arbeiten Sie mit den Verantwortlichen für IT, Recht oder Datenschutz zusammen. Tosheo.ai bietet zum Start weder Einmalanmeldung noch Verträge für Großunternehmen an.
Quellen und Geltungsbereich
Britisches NCSC, ChatGPT und große Sprachmodelle: Welche Risiken bestehen?, 14 März 2023 ↗
OpenAI API-Dokumentation, Ihre Daten, geprüft am 16 October 2026 ↗
NIST AI 600-1, Profil für generative KI, July 2024 ↗
ICO, Leitfaden zu KI und Datenschutz, 15 March 2023, wird überarbeitet ↗