Welche vertraulichen Daten gehören nicht in unseren Chatbot?

Das Problem

Mitarbeitende nutzen den Chatbot und kopieren schnell etwas hinein: eine Offerte, eine Kündigung, ein Zeugnisentwurf. Meistens geschieht das in guter Absicht. Es fehlt aber oft die klare Regel, was erlaubt ist und was nicht.

Dann entscheidet jede Person nach Gefühl. Das Ergebnis: Einige geben zu viel preis, andere nutzen den Chatbot aus Angst gar nicht. Beides ist ungünstig.

Hilfreich ist eine einfache Liste, die in Minuten verstanden ist. Diese Checkliste gibt Ihnen eine Grundlage, die Sie an Ihren Betrieb anpassen.

So lösen Sie es mit KI – Schritt für Schritt

1. Datenbestand grob erfassen. Notieren Sie, welche Arten von Unterlagen es bei Ihnen gibt: Kundendaten, Personaldossiers, Preise, Verträge, Pläne, Zugangsdaten, Marketing.

1. Drei Klassen festlegen. Grün: öffentlich oder harmlos. Gelb: intern, nur in geprüften Werkzeugen. Rot: streng vertraulich, nie in den Chatbot.

1. Jede Datenart einer Klasse zuordnen. Machen Sie das gemeinsam mit der Geschäftsleitung und der Person, die für Datenschutz zuständig ist. Ordnen Sie lieber strenger ein.

1. Erlaubte Werkzeuge pro Klasse bestimmen. Gelb gilt nur für Produkte mit geprüften Verträgen und ausgeschalteter Trainingsnutzung. Siehe Daten für Modelltraining.

1. Regel mit KI verständlich formulieren. Lassen Sie sich mit der Vorlage unten eine Seite für das Team entwerfen. Fügen Sie nur Ihre Klassenliste ein, keine echten Daten.

1. Beispiele ergänzen. Mit je drei Beispielen pro Klasse verstehen Mitarbeitende die Regel schneller.

1. Freigabeweg nennen. Wer entscheidet im Zweifel? Nennen Sie eine Person und eine Mailadresse.

1. Schulen und wiederholen. Besprechen Sie die Regel im Team und prüfen Sie sie bei jedem neuen Werkzeug.

Vorlage zum Kopieren

Erstelle für ein Schweizer KMU eine einseitige Regel «Was darf in den Chatbot?» für Mitarbeitende ohne IT-Kenntnisse.

Branche und Grösse: [z. B. Treuhandbüro, 12 Personen]
Grüne Daten (frei): [Beispiele]
Gelbe Daten (nur in freigegebenen Werkzeugen): [Beispiele]
Rote Daten (nie in den Chatbot): [Beispiele]
Freigegebene Werkzeuge: [Namen]
Ansprechperson bei Unsicherheit: [Name, Funktion]

Aufbau: 1. Warum die Regel besteht (3 Sätze), 2. Tabelle mit den drei Klassen, 3. Fünf Merksätze, 4. Was tun bei Unsicherheit.
Ton: freundlich, klar, Anrede «Sie». Erfinde keine Rechtsvorschriften.

Passen Sie die Listen an Ihre Branche an. Ein Handwerksbetrieb hat andere rote Daten als eine Arztpraxis.

Worauf Sie achten müssen

• Berufsgeheimnisse: Wer einem Berufsgeheimnis untersteht, etwa Anwältinnen, Ärzte oder Treuhänder in bestimmten Funktionen, muss besonders vorsichtig sein. Klären Sie das mit Ihrem Verband oder einer Fachperson.
• Personendaten: Für Daten über Personen gilt das Datenschutzgesetz. Besonders schützenswerte Angaben wie Gesundheit sind rot.
• Verträge mit Dritten: Vielleicht haben Sie sich gegenüber Kunden zur Vertraulichkeit verpflichtet. Das gilt auch für Eingaben in KI.
• Zugangsdaten: Passwörter, Schlüssel und Tokens gehören nie in einen Chat, auch nicht «nur kurz».
• Bilder und Anhänge: Auch Screenshots enthalten Daten. Beachten Sie sie genauso wie Text.
• Private Konten: Geschäftsdaten gehören nicht in private KI-Konten von Mitarbeitenden.
• Regel ersetzt keine Technik: Ergänzen Sie sie durch Zugriffsrechte, siehe Berechtigungen.

So sieht die ausgefüllte Liste aus

Eine einfache Übersicht hilft mehr als ein langes Reglement. Ein Beispiel für ein kleines Treuhandbüro:

• Grün: Angebotsbeschreibungen, Texte der Website, allgemeine Ratgebertexte.
• Gelb: interne Checklisten, anonymisierte Musterbriefe, Entwürfe ohne Namen.
• Rot: Steuerunterlagen von Kundschaft, Lohnabrechnungen, Zugangsdaten zu Portalen, unveröffentlichte Jahresabschlüsse.

Hängen Sie die Liste sichtbar auf und ergänzen Sie sie, wenn neue Fälle auftauchen.

Ein Beispiel aus der Praxis

Ein Beispiel: In einem Architekturbüro in Zug fragt ein Mitarbeiter den Chatbot nach einer Formulierung für ein Mahnschreiben und fügt dazu die komplette Kundenkorrespondenz samt Adresse und Konto ein. Niemand hat ihm je gesagt, dass das heikel ist.

Vorher: keine Regel, Unsicherheit im Team. Nachher: Ein Blatt mit drei Klassen hängt am Intranet. Für Mahnschreiben nutzt das Team nun Platzhalter wie [Kunde] und [Betrag] und fügt echte Angaben erst im Word ein. Bei Zweifeln fragt es die Büroleiterin.

So hilft Ihnen Alpasana

Regeln wirken, wenn Mitarbeitende sie verstehen. Die Online-Weiterbildung KI für Unternehmen von absofort umfasst nach Angebotsbeschreibung Datenschutz als Lerninhalt und den verantwortungsbewussten Umgang mit Unternehmensdaten. Sie lernen im eigenen Tempo und erhalten verifizierbare Abschlüsse; für Teams gibt es eine Kontaktmöglichkeit.

Häufige Fragen

Darf ich Kundennamen eingeben, wenn der Anbieter zuverlässig wirkt?

Das hängt von Vertrag und Zweck ab, nicht vom Eindruck. Prüfen Sie Auftragsbearbeitung und Trainingsnutzung, oder ersetzen Sie Namen durch Platzhalter.

Was gilt bei einem Chatbot, der nur auf unserem Server läuft?

Dann verlassen die Daten Ihr Haus nicht, aber die Klassen bleiben sinnvoll: Nicht jeder im Betrieb soll alles sehen können. Regeln Sie die Zugriffe.

Wie erkenne ich als Laie, ob etwas «streng vertraulich» ist?

Fragen Sie: Schadet die Veröffentlichung einer Person oder dem Betrieb? Wenn ja, ordnen Sie es rot ein. Unsicherheiten klären Sie mit der zuständigen Person.

Was tun, wenn jemand versehentlich etwas Rotes eingegeben hat?

Melden Sie es sofort der zuständigen Person, ohne Schuldzuweisung. Prüfen Sie, welche Daten betroffen waren und was der Anbieter speichert, und fragen Sie nach Löschung. Ob eine Meldepflicht besteht, klären Sie mit Ihrer Datenschutzstelle oder einer Fachperson. Besprechen Sie den Vorfall danach im Team, damit sich die Regel verbessern lässt.

Gilt die Regel auch für Bilder und Sprachnachrichten?

Ja. Ein Foto einer Rechnung oder ein Screenshot eines Kundenschreibens enthält dieselben Angaben wie der Text. Ordnen Sie Anhänge derselben Klasse zu wie ihren Inhalt.