Was ChatGPT bald über Ihren Bestandskunden weiß
Consult
Eine Vertriebsmitarbeiterin will ein Angebot für einen Bestandskunden sprachlich glätten und kopiert es in ChatGPT, mit dem Namen des Ansprechpartners, den Preisen und dem Problem, das der Kunde intern lösen muss. Sie nutzt dafür ihr privates, kostenloses Konto, weil das Firmenkonto seit drei Wochen beantragt ist.
OpenAI hat angekündigt, künftig auch in der EU Werbung in den ChatGPT Tarifen Free und Go zu zeigen. Je nach Werbeform und Einstellungen kann dabei auch eine Rolle spielen, was Nutzer in ihre Chats schreiben.
Das Problem für Unternehmen gab es allerdings schon vorher. Es entsteht, sobald Beschäftigte personenbezogene Daten, Geschäftsgeheimnisse oder vertrauliche Kundeninformationen in KI-Dienste eingeben, die das Unternehmen nicht zugelassen hat. Die Werbepläne machen nur sichtbar, warum Unternehmen die Nutzung von KI nicht dem Zufall überlassen sollten.
Das Wichtigste auf einen Blick
- OpenAI plant Werbung in den Tarifen Free und Go. Für Werbung auf Basis eines Profils aus früheren und aktuellen Chats soll es eine Einwilligung brauchen, Werbung passend zum laufenden Chat soll es auch ohne Profil geben.
- Das Risiko für Unternehmen entsteht, wenn Mitarbeitende dienstliche Inhalte in private KI-Konten eingeben. Dann ist zu klären, ob das datenschutzrechtlich erlaubt ist, ob die Information vertraulich bleibt und welche Vertragsbedingungen für den Dienst gelten.
- Eine klare KI-Richtlinie und passende Firmenkonten senken das Risiko. Damit die Regeln im Alltag auch greifen, braucht es feste Zuständigkeiten, geschulte Mitarbeitende und Kontrollen, die regelmäßig überprüft werden.
Was OpenAI plant und was die Datenschutzaufsicht dazu sagt
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit und der Landesbeauftragte für den Datenschutz Niedersachsen haben Anfang Oktober 2026 Hinweise zu den Werbeplänen veröffentlicht. Danach plant OpenAI zwei Formen von Werbung.
Zwei Formen von Werbung
1. Personalisierte Werbung
Für personalisierte Werbung sollen Profile entstehen, und zwar aus früheren und aktuellen Chats und aus weiteren Nutzungs- und Kontextdaten. Diese Profilbildung soll nur mit Einwilligung laufen.
2. Kontextbezogene Werbung
Daneben soll es Werbung geben, die sich nach dem aktuellen Gespräch richtet und ohne längerfristiges Profil auskommt. Dafür nutzt OpenAI den laufenden Chat und allgemeine Angaben wie Sprache oder ungefähren Standort.
Diese zweite Form stützt OpenAI nach Angaben der Behörden auf sein berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO. Ob das für alle Verarbeitungsschritte trägt, ist damit noch nicht geklärt.
Die Behörden sehen vor allem in Profilen aus Chatverläufen ein großes Risiko für die Betroffenen. Gespräche mit einem Chatbot verraten oft viel mehr als eine Suchanfrage, über das Berufsleben ebenso wie über sehr persönliche Themen.
Warum private KI-Konten für Unternehmen ein Problem sind
Diese Empfehlungen richten sich an einzelne Nutzer. Unternehmen müssen eine andere Frage beantworten, nämlich unter welchen Bedingungen Beschäftigte personenbezogene oder vertrauliche Daten überhaupt in externe KI-Dienste eingeben dürfen.
Werbefrei heißt nicht automatisch geeignet. Auch bezahlte private ChatGPT Konten wie Plus oder Pro passen nicht automatisch für jede geschäftliche Nutzung.
Das Unternehmen muss klären, welche Daten verarbeitet werden, auf welcher Rechtsgrundlage das geschieht, welche Rolle der KI-Anbieter datenschutzrechtlich hat und ob ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO nötig ist. Das ist der Vertrag, der regelt, was ein Dienstleister mit den Daten tun darf, die er für ein Unternehmen verarbeitet. Für geschäftliche Angebote wie ChatGPT Business, Enterprise und die API stellt OpenAI solche Verträge bereit.
Auch so ein Vertrag ist kein Freibrief für jede Art von Daten. Das Unternehmen braucht weiterhin eine Rechtsgrundlage, darf die Daten nur für den Zweck nutzen, für den es sie erhoben hat, und nur so viele, wie dafür nötig sind. Es muss die Daten technisch schützen und, wo Daten in Länder außerhalb der EU gehen, die Regeln für solche Übermittlungen einhalten.
Landet das Angebot aus unserem Beispiel in einem privaten Konto, das niemand zugelassen hat, kann das gegen interne Sicherheitsregeln, gegen Datenschutzrecht oder gegen Vertraulichkeitszusagen an den Kunden verstoßen.
Was bedeutet das konkret?
PRAXISFALL 01 · FIRMENLIZENZEN
Sie haben Firmenlizenzen, etwa ChatGPT Business?
Diese Konten sind nach den bisherigen Ankündigungen von der Werbung nicht betroffen. Ihr Risiko liegt eher bei Mitarbeitenden, die daneben private Konten weiter nutzen, weil ihnen das Firmenkonto fehlt oder dort eine Funktion nicht verfügbar ist.
Prüfen Sie deshalb neben den Vertragsbedingungen auch, ob das Firmenkonto im Arbeitsalltag tatsächlich genutzt wird.
PRAXISFALL 02 · PRIVATE NUTZUNG
Sie haben keine Firmenlizenz und dulden die private Nutzung?
Dann finden Sie zuerst heraus, welche KI-Dienste Ihre Beschäftigten tatsächlich nutzen und welche Daten dabei hineingehen. Auf dieser Bestandsaufnahme baut jede Bewertung zu Datenschutz und Sicherheit auf.
Ein privates Konto bedeutet nicht in jedem Fall einen Verstoß gegen die DSGVO. Es kommt darauf an, was im einzelnen Fall verarbeitet wird und ob das erlaubt ist.
PRAXISFALL 03 · KI-RICHTLINIE
Ihre KI-Richtlinie sagt nur „Keine vertraulichen Daten eingeben“?
Dieser Satz allein steuert im Alltag wenig. Beschäftigte müssen wissen, welche Anwendungen und Konten zugelassen sind, welche Informationen sie dort verarbeiten dürfen und an wen sie sich wenden, wenn sie unsicher sind.
Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe zu KI und Datenschutz, KI-Anwendungen schon bei Auswahl, Einführung und Nutzung datenschutzrechtlich zu bewerten.
Die Hamburger Datenschutzaufsicht nennt in ihrer Checkliste zu LLM Chatbots klare interne Anweisungen, die Einbindung des Datenschutzbeauftragten und die Sensibilisierung der Beschäftigten.
Warum eine KI-Richtlinie allein nicht ausreicht
Eine KI-Richtlinie ist ein wichtiger Teil der KI-Governance. Die Abläufe, mit denen ein Unternehmen den KI-Einsatz steuert und überwacht, ersetzt sie aber nicht.
Unternehmen sollten festlegen, wer über die Zulassung neuer KI-Anwendungen entscheidet, wie Risiken bewertet werden und wer überwacht, ob die internen Vorgaben eingehalten werden.
Ein KI-Compliance-Beauftragter als zentrale Ansprechperson
Ein KI-Compliance-Beauftragter kann diese Aufgaben bündeln und koordinieren. Die KI-Verordnung schreibt eine solche Stelle nicht allgemein vor.
Seit Juli 2026 verlangt Artikel 4 der KI-Verordnung aber von Unternehmen, die KI einsetzen, Maßnahmen zu ergreifen, die die KI-Kompetenz ihrer Mitarbeitenden und anderer Personen fördern, die in ihrem Auftrag mit KI arbeiten. Ein bestimmtes Niveau bei jeder einzelnen Person müssen sie nicht garantieren.
KI-Governance mit ISO/IEC 42001 systematisch aufbauen
Wer seine KI-Governance systematisch aufbauen will, findet in der ISO/IEC 42001 einen internationalen Rahmen. Ein KI-Managementsystem nach dieser Norm hilft, Zuständigkeiten, Risiken, interne Richtlinien, Schulungen und Wirksamkeitskontrollen in einem gemeinsamen Ablauf zu organisieren.
Interne Audits prüfen anschließend, ob die Regeln tatsächlich umgesetzt werden und ob die Kontrollen die erkannten Risiken abdecken.
Wie Bitkom Consult Sie unterstützt
Bei Bitkom Consult haben wir eine Musterrichtlinie für den Einsatz von KI entwickelt, die wir an die Abläufe des einzelnen Unternehmens anpassen.
Dabei geht es neben der Frage, welche KI-Konten zugelassen sind, auch um den Umgang mit personenbezogenen und vertraulichen Informationen, um Zuständigkeiten, Zulassungsprozesse und Kontrollen.
Unsere Leistungen im Überblick
- KI-Richtlinien: Entwicklung und Anpassung an die internen Abläufe und Anforderungen Ihres Unternehmens.
- KI-Governance: Aufbau geeigneter Strukturen, Zuständigkeiten, Zulassungsprozesse und Kontrollen.
- Externer KI-Compliance-Beauftragter: Auf Wunsch übernehmen wir diese Rolle dauerhaft für Ihr Unternehmen.
- KI-Managementsysteme nach ISO/IEC 42001: Unterstützung bei Einführung, Weiterentwicklung, Gapanalysen und internen Audits.
- Schulungen und Qualifizierungen: Vermittlung von KI-Kompetenzen und Qualifizierung zum KI-Compliance-Beauftragten.
Mit unseren Schulungen zur KI-Kompetenz und unserer Qualifizierung zum KI-Compliance-Beauftragten geben wir Mitarbeitenden und Verantwortlichen das Wissen, KI im Unternehmen kontrolliert und verantwortungsvoll einzusetzen.
