Der sorglose Umgang mit KI-Chatbots im Büroalltag wird für Unternehmen zunehmend zur Datenschutzfalle: Wer sensible Informationen ungeprüft in öffentliche Sprachmodelle eingibt, riskiert DSGVO-Bußgelder, den Verlust von Geschäftsgeheimnissen – und das Vertrauen seiner Kunden.
Datenschutzrisiken im KI-Alltag: Was Unternehmen ihren Chatbots nicht anvertrauen sollten
Der alltägliche Einsatz von KI-Chatbots wie ChatGPT, Gemini oder Copilot birgt für Unternehmen erhebliche Datenschutzrisiken, die in der Praxis häufig unterschätzt werden. Wer im Arbeitsalltag sensible Informationen in Prompts eingibt, riskiert den Verlust von Geschäftsgeheimnissen, Datenschutzverstöße und eine unkontrollierte Weitergabe vertraulicher Daten. Fünf konkrete Risikobereiche verdienen besondere Aufmerksamkeit.
1. Persönliche und kundenbezogene Daten
Das offensichtlichste Risiko betrifft personenbezogene Informationen: Namen, Adressen, Telefonnummern oder E-Mail-Adressen von Kunden, Mitarbeitern oder Geschäftspartnern haben in Chatbot-Prompts nichts zu suchen. In vielen Systemen werden Eingaben standardmäßig für das Training künftiger Modelle verwendet – sofern Nutzer dieser Verwendung nicht aktiv widersprechen.
Eingegebene Kundendaten können potenziell in die Trainingsgrundlage eines Large Language Models einfließen – und sind damit praktisch nicht mehr zurückzuholen.
Aus Sicht der DSGVO ist bereits die Übermittlung personenbezogener Daten an externe KI-Dienste ohne geeignete Rechtsgrundlage problematisch.
2. Zugangsdaten und interne Systeminfos
Passwörter, API-Keys oder Zugangsdaten zu internen Systemen sollten unter keinen Umständen in Chatbot-Eingaben erscheinen – auch nicht „testweise” oder in vermeintlich anonymisierter Form. Dasselbe gilt für interne Netzwerkstrukturen, Systemarchitekturen oder Details zu Sicherheitskonfigurationen. Solche Informationen könnten im Falle einer Datenpanne oder eines unautorisierten Zugriffs auf Anbieterseite erheblichen Schaden anrichten.
3. Vertrauliche Geschäftsinformationen
Strategiepapiere, Fusionspläne, noch nicht veröffentlichte Finanzkennzahlen oder Details zu laufenden Vertragsverhandlungen sind Informationen, deren Vertraulichkeit für Unternehmen von existenzieller Bedeutung sein kann.
Realer Vorfall, 2023: Samsung-Mitarbeiter gaben versehentlich proprietären Quellcode über ChatGPT weiter – mit weitreichenden Konsequenzen für die interne Sicherheitspolitik des Konzerns.
Dieser Fall illustriert unmissverständlich: Das Risiko ist nicht theoretischer, sondern handfest praktischer Natur.
4. Medizinische und rechtliche Informationen
Besonders heikel ist die Eingabe von Gesundheitsdaten, psychologischen Informationen oder rechtlich relevanten Details. Wer etwa eine medizinische Fallbeschreibung oder Details aus einem laufenden Gerichtsverfahren in einen Chatbot eingibt, bewegt sich in einem rechtlich äußerst sensiblen Bereich. Für Unternehmen im Gesundheits-, Pharma- oder Rechtsbereich gilt hier erhöhte Sorgfaltspflicht.
5. Geistiges Eigentum und urheberrechtlich geschütztes Material
Unveröffentlichte Texte, Produktdesigns, Softwarecode oder andere urheberrechtlich geschützte Inhalte sollten nicht ungeschützt in externe KI-Systeme eingegeben werden. In vielen Fällen ist noch ungeklärt, welche Rechte Anbieter an eingegebenen Inhalten beanspruchen können und wie diese gespeichert oder weiterverarbeitet werden.
Was Unternehmen konkret tun können
Wer bereits sensible Informationen eingegeben hat, sollte prüfen, ob der jeweilige Dienst eine Möglichkeit bietet, den Chatverlauf zu löschen und die Datennutzung für Trainingszwecke zu deaktivieren. ChatGPT etwa erlaubt beides in den Einstellungen.
Darüber hinaus empfiehlt sich der Aufbau klarer interner Richtlinien:
- Welche Informationskategorien dürfen Mitarbeiter in externe KI-Dienste eingeben?
- Für welche Anwendungsfälle stehen datenschutzkonforme Enterprise-Lösungen mit eigenem Auftragsverarbeitungsvertrag zur Verfügung?
Für Unternehmen im deutschsprachigen Raum ist die Lage besonders relevant: Die DSGVO setzt strenge Maßstäbe für die Verarbeitung personenbezogener Daten durch Drittanbieter. Wer keine Auftragsverarbeitungsverträge mit KI-Anbietern abgeschlossen hat und dennoch Kundendaten in öffentliche Chatbots eingibt, riskiert empfindliche Bußgelder.
Die Aufsichtsbehörden – darunter der Bayerische Landesbeauftragte für Datenschutz und die Berliner Beauftragte – haben KI-Anwendungen ausdrücklich als Prüfschwerpunkt identifiziert.
Quelle: ZDNet AI
