Darf mein Team ChatGPT nutzen?

Was erlaubt ist

Dieser Artikel richtet sich an Geschäftsführungen und Teamleitungen, deren Mitarbeitende ChatGPT, Copilot oder ähnliche Werkzeuge nutzen oder nutzen möchten. Er zeigt, wo die Grenzen liegen, welche Daten in eine Eingabe gehören und wie Sie mit einer Seite Regeln für Klarheit sorgen.

Die Antwort auf die Titelfrage lautet: Ja. Damit der Einsatz sicher bleibt, braucht Ihr Team ein geschäftliches Konto, klare Regeln für Daten und Menschen, die Ergebnisse prüfen. Ein Verbot hält selten, Wildwuchs ist riskant. Eine kurze, verbindliche Richtlinie ist der Weg dazwischen.

KI-Werkzeuge wie ChatGPT, Copilot oder Gemini dürfen im Unternehmen genutzt werden. Grenzen ziehen vor allem der Datenschutz, Geschäftsgeheimnisse, Verträge mit Kunden und bei manchen Berufen die Verschwiegenheit. Dazu kommt die Pflicht aus Artikel 4 der KI-Verordnung, die KI-Kompetenz der Beschäftigten zu unterstützen.

Wo die Risiken liegen

• Private Konten: Ohne Vertrag zur Auftragsverarbeitung dürfen keine personenbezogenen Daten hinein. Zudem hat das Unternehmen keinen Einblick, was mit den Eingaben geschieht.
• Vertrauliches in der Eingabe: Kundendaten, Angebote oder interne Zahlen gehören nicht in ein frei verfügbares Werkzeug.
• Ungeprüfte Ergebnisse: KI formuliert überzeugend, auch wenn etwas falsch ist. Jemand muss prüfen, bevor etwas rausgeht.

Das dritte Risiko nennt auch die EU-Kommission: Wer ChatGPT etwa für Werbetexte oder Übersetzungen nutzt, sollte über die besonderen Risiken informiert sein, zum Beispiel über Halluzinationen. Gemeint sind erfundene Angaben, die plausibel klingen, etwa eine Quelle, die es nicht gibt, oder eine Zahl, die nirgends steht.

Beim zweiten Risiko geht es auch um den Schutz Ihrer eigenen Informationen. Nach dem Geschäftsgeheimnisgesetz ist eine Information nur dann als Geschäftsgeheimnis geschützt, wenn ihr Inhaber angemessene Geheimhaltungsmaßnahmen trifft. Klare Regeln, was nicht in KI-Werkzeuge gehört, können dazu beitragen.

Welche Daten in eine Eingabe gehören

Die meisten Fragen im Alltag drehen sich darum, was man eingeben darf. Diese Entscheidungshilfe können Sie für Ihr Team übernehmen und an Ihre Branche anpassen:

• Wenn die Eingabe ohne Bezug zu Personen und ohne Interna auskommt, etwa eine Gliederung für einen Vortrag oder ein Entwurf für einen allgemeinen Text, dann ist sie mit dem freigegebenen Konto in Ordnung.
• Wenn Namen, Kontaktdaten oder andere Angaben zu Personen enthalten sind, dann ersetzen Sie sie durch Platzhalter. Geht das nicht, nur in ein Werkzeug mit Vertrag zur Auftragsverarbeitung und nur so viel wie nötig.
• Wenn es um Gesundheitsangaben, Personalakten oder Bankdaten geht, dann gehören sie nicht in ein allgemeines KI-Werkzeug.
• Wenn Angebote, Kalkulationen oder Kundenverträge betroffen sind, dann nur nach Freigabe. Prüfen Sie, ob Ihre Verträge Vertraulichkeit vorsehen.
• Wenn Sie einer beruflichen Verschwiegenheit unterliegen, etwa in einer Kanzlei, dann gelten zusätzliche Regeln, siehe Mandantendaten und KI.

Wie das in der Praxis aussieht, zeigt eine Zahlungserinnerung. Vorher schreibt jemand: „Schreib eine freundliche Mahnung an Maria Muster, Musterstraße 4, Kundennummer 40817. Sie hat die Rechnung 2026-118 seit März nicht bezahlt und am Telefon erzählt, dass sie gerade privat schwierige Zeiten hat.“ Name, Anschrift, Kundennummer und eine persönliche Information landen im Werkzeug, obwohl der Text sie nicht braucht.

Nachher lautet die Eingabe: „Schreib eine freundliche zweite Zahlungserinnerung an eine langjährige Privatkundin. Die Rechnung ist seit sechs Wochen offen. Ton: verbindlich, ohne Vorwurf, mit dem Angebot einer Ratenzahlung. Verwende die Platzhalter [Name], [Rechnungsnummer] und [Betrag].“ Für den Text genügen diese Angaben. Die echten Angaben setzt die Mitarbeiterin erst in der eigenen Software ein.

Welches Konto Sie brauchen

Für die Arbeit im Unternehmen ist ein geschäftliches Konto die bessere Wahl als eine kostenlose Version mit privatem Konto. Geschäftskundenversionen bieten in der Regel einen Vertrag zur Auftragsverarbeitung und schließen das Training mit Ihren Eingaben standardmäßig aus. Prüfen Sie das beim jeweiligen Anbieter, bevor Sie ein Werkzeug freigeben. Diese Fragen helfen dabei:

• Gibt es einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO und wo schließen wir ihn ab?
• Werden unsere Eingaben zum Training verwendet und lässt sich das ausschließen?
• Wo werden die Daten verarbeitet und wie lange werden sie gespeichert?
• Können wir Konten zentral verwalten und beim Ausscheiden von Mitarbeitenden sperren?

Welches Werkzeug für welche Aufgabe passt, vergleicht der Artikel ChatGPT, Copilot oder eigene KI. Was in den Vertrag gehört, erklärt Auftragsverarbeitung bei KI-Anbietern.

Was in eine KI-Richtlinie gehört

Eine gute Richtlinie passt auf eine Seite und beantwortet fünf Fragen:

• Welche Werkzeuge sind freigegeben, mit welchem Konto?
• Welche Daten dürfen hinein, welche nie?
• Wer prüft Ergebnisse, bevor sie das Haus verlassen?
• Wann wird kenntlich gemacht, dass KI beteiligt war?
• Wer ist Ansprechperson für Fragen und neue Werkzeuge?

Diese Formulierungen können Sie als Grundlage übernehmen und an Ihr Haus anpassen:

• Werkzeuge: „Für die Arbeit nutzen wir ausschließlich [Werkzeug] mit dem Firmenkonto. Private Konten sind für dienstliche Inhalte nicht erlaubt.“
• Daten: „Namen und Kontaktdaten ersetzen wir durch Platzhalter. Gesundheitsangaben, Personalakten und Bankdaten geben wir nie ein. Angebote und Kalkulationen nur nach Freigabe durch [Rolle].“
• Prüfung: „Jedes Ergebnis, das an Kunden oder die Öffentlichkeit geht, prüft ein Mensch auf Richtigkeit, Ton und Quellen. Wer es versendet, trägt die Verantwortung.“
• Kennzeichnung: „Bilder, Videos und Tonaufnahmen, die mit KI erzeugt wurden und echt wirken, kennzeichnen wir.“
• Ansprechperson: „Fragen und Wünsche nach neuen Werkzeugen gehen an [Name]. Diese Regeln gelten ab [Datum] und werden jährlich überprüft.“

Betriebsrat und Kennzeichnung

Gibt es einen Betriebsrat, müssen Sie ihn über den geplanten Einsatz von KI rechtzeitig unterrichten und die Auswirkungen auf die Arbeit mit ihm beraten (§ 90 BetrVG). Ist ein Werkzeug geeignet, Verhalten oder Leistung zu überwachen, hat er zudem ein Mitbestimmungsrecht (§ 87 BetrVG). Muss der Betriebsrat die Einführung oder Anwendung von KI beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich (§ 80 Abs. 3 BetrVG). Beziehen Sie ihn deshalb früh ein.

Zur Kennzeichnung gilt seit dem 02.08.2026 Artikel 50 der KI-Verordnung: Täuschend echte Bilder, Videos oder Tonaufnahmen müssen gekennzeichnet werden. Bei Texten, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren, gilt das ebenfalls, außer ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung. Für eine Angebotsmail an einen Kunden kommt es vor allem darauf an, dass ein Mensch prüft und die Verantwortung übernimmt.

Nächste Schritte

• Fragen Sie im Team ab, wer welche KI-Werkzeuge heute nutzt, auch mit privaten Konten.
• Wählen Sie ein Werkzeug mit Geschäftskundenversion aus und klären Sie den Vertrag.
• Passen Sie die Formulierungen oben an und beschließen Sie die Richtlinie mit Datum.
• Binden Sie einen vorhandenen Betriebsrat vor der Einführung ein.
• Schulen Sie das Team, damit die Regeln verstanden werden und die Pflicht nach Artikel 4 erfüllt ist, siehe KI-Schulungspflicht nach Artikel 4.

Die Richtlinie und eine kurze Schulung lassen sich gut verbinden: In der KI-Schulung nach EU AI Act arbeiten wir auch an den Regeln für Ihr Haus. Welche drei Regeln würden in Ihrem Team morgen schon den größten Unterschied machen?

Häufige Fragen

Quellen

1. KI-Verordnung (EU) 2024/1689, Artikel 4, konsolidierte Fassung vom 27.07.2026, EUR-Lex
2. DSGVO, Artikel 28, EUR-Lex
3. § 87 BetrVG
4. § 90 BetrVG
5. § 80 BetrVG
6. § 2 GeschGehG
7. EU-Kommission: AI Literacy, Questions and Answers (englisch)

Stand: 01.10.2026. Dieser Artikel ersetzt keine Rechtsberatung.