Ihr Team nutzt wahrscheinlich schon ChatGPT, Gemini oder Copilot, auch wenn das nie offiziell beschlossen wurde. Das ist nützlich. Wer aber Kundendaten in ein Werkzeug kopiert, ohne dessen Bedingungen zu prüfen, riskiert einen Verstoß gegen die DSGVO. Diese sechs Regeln senken das Risiko, ohne etwas zu verbieten.
1. Nutzen Sie Business-Versionen
Kostenlose oder private Versionen mancher Werkzeuge können Ihre Unterhaltungen zum Training ihrer Modelle verwenden, sofern Sie das nicht abschalten. Business-Versionen schließen das meist standardmäßig aus und enthalten einen Auftragsverarbeitungsvertrag. Prüfen Sie Einstellungen und Bedingungen des Werkzeugs, das Sie nutzen.
2. Keine personenbezogenen Daten, wenn es nicht nötig ist
Um eine E-Mail zu entwerfen oder einen Vertrag zusammenzufassen, braucht die KI selten Name, Ausweisnummer oder Telefonnummer des Kunden. Ersetzen Sie diese durch „Kunde A“ oder „[Name]“. Das ist die einfachste und wirksamste Maßnahme.
3. Niemals sensible Daten
Gesundheitsdaten, Bankdaten, Passwörter oder Informationen über Kinder gehören nicht in ein allgemeines generatives KI-Werkzeug.
4. Schließen Sie den Auftragsverarbeitungsvertrag ab
Verarbeitet das Werkzeug personenbezogene Daten Ihrer Kunden, ist der Anbieter Auftragsverarbeiter. Artikel 28 DSGVO verlangt einen Vertrag mit ihm. Business-Versionen bieten ihn meist an: Laden Sie ihn herunter und bewahren Sie ihn auf.
5. Prüfen Sie, wohin die Daten gehen
Viele Anbieter sitzen in den USA. Die Übermittlung ist zulässig, wenn der Anbieter nach dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln verwendet. Prüfen Sie das in seiner Datenschutzerklärung.
6. Schreiben Sie eine einseitige interne Regel
Welche Werkzeuge erlaubt sind, welche Daten nicht eingegeben werden dürfen und wen man im Zweifel fragt. Eine Seite, die das ganze Team liest, ist mehr wert als ein Handbuch, das niemand öffnet. Außerdem hilft sie Ihnen, die Schulungspflicht der EU-KI-Verordnung zu erfüllen.
Prüfen Sie immer das Ergebnis
Auch KI macht Fehler, und zwar mit voller Überzeugung. Eine E-Mail mit einer falschen Zahl oder eine Zusammenfassung, der eine wichtige Klausel fehlt, liegt in der Verantwortung Ihres Unternehmens, nicht des Werkzeugs. Wer versendet, prüft.
Dieser Artikel dient nur der Information und ersetzt keine Rechtsberatung.