Darf ich Firmendaten in ChatGPT eingeben?

Das Problem

Eine Kundin beschwert sich per E-Mail, und Sie möchten eine ruhige, professionelle Antwort formulieren. Am schnellsten ginge es, die ganze E-Mail samt Namen, Adresse und Bestellnummer in ChatGPT zu kopieren. Doch ein ungutes Gefühl bleibt: Darf ich das überhaupt?

Das Gefühl ist berechtigt. Was Sie eingeben, verlässt Ihren Betrieb und wird auf Servern eines US-Unternehmens verarbeitet. Je nach Konto und Einstellung kann es auch zur Verbesserung künftiger Modelle verwendet werden. Für Ihre Firma bedeutet das ein Risiko: für das Vertrauen der Kundschaft, für Geschäftsgeheimnisse und bei Personendaten auch rechtlich.

So lösen Sie es mit KI – Schritt für Schritt

Gehen Sie vor jeder Eingabe kurz diese Reihenfolge durch:

1. Gibt es eine Regel in der Firma? Fragen Sie Ihre Vorgesetzten, ob es eine KI-Richtlinie gibt. Wenn nicht, ist das ein guter Anlass für eine. Eine Vorlage bietet KI-Richtlinie für Mitarbeitende.
2. Welches Konto nutzen Sie? Schauen Sie oben links oder im Profil: Steht dort ein privates Konto oder ein Arbeitsbereich Ihrer Firma? Laut OpenAI werden Eingaben in Business- und Enterprise-Konten standardmässig nicht zum Training verwendet.
3. Enthält der Text Personendaten? Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen: Name, E-Mail-Adresse, Telefonnummer, Kundennummer, aber auch eine eindeutige Beschreibung wie «unser einziger Kunde aus Grindelwald».
4. Sind besonders schützenswerte Daten dabei? Dazu zählen nach dem Schweizer Datenschutzgesetz (DSG) unter anderem Gesundheitsdaten, religiöse oder politische Ansichten und Angaben zu Strafverfahren. Diese gehören nicht in ein allgemeines KI-Werkzeug.
5. Gibt es ein Berufsgeheimnis? Treuhand, Arztpraxen, Anwaltskanzleien und Therapien unterstehen oft besonderen Schweigepflichten. Klären Sie hier vor jedem KI-Einsatz die Rechtslage im Einzelfall.
6. Anonymisieren. Ersetzen Sie Namen durch Platzhalter wie [Kundin A], streichen Sie Adressen, Nummern und Beträge, die nicht nötig sind. Wie das geht, zeigt Reicht es, Namen vor der KI-Nutzung zu ersetzen?.
7. Einstellungen prüfen. Im privaten Konto öffnen Sie Einstellungen → Datenkontrollen und prüfen die Option zur Modellverbesserung. Für einmalige Fragen gibt es den temporären Chat, der laut OpenAI nicht im Verlauf erscheint und nicht zum Training dient.
8. Ergebnis zurück in Ihr System. Setzen Sie die echten Namen erst in Outlook oder Word wieder ein, nicht im Chat.

Checkliste: Was darf hinein?

Vorlage zum Kopieren

Lassen Sie ChatGPT einen Text auf heikle Angaben prüfen – mit einem Text, der bereits gekürzt ist:

Ich möchte den folgenden Text mit einem KI-Assistenten bearbeiten.
Prüfe ihn zuerst auf Angaben, die ich vorher entfernen oder ersetzen sollte:
Namen, Adressen, Telefonnummern, E-Mail-Adressen, Kundennummern,
Gesundheitsangaben, Beträge, Geschäftsgeheimnisse.
Gib mir eine Liste der Fundstellen und einen Vorschlag mit Platzhaltern
wie [Kundin A] oder [Betrag].
Text: [hier bereits vorgekürzten Text einfügen]

Nutzen Sie diese Prüfung nur als zweite Kontrolle. Die erste Prüfung machen Sie selbst, bevor überhaupt etwas eingefügt wird.

Worauf Sie achten müssen

• Schweizer DSG: Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz. Es verlangt unter anderem Transparenz gegenüber betroffenen Personen und Sorgfalt bei der Weitergabe ins Ausland. Hinweise gibt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).
• DSGVO bei EU-Bezug: Haben Sie Kundschaft in der EU, kann zusätzlich die europäische Datenschutz-Grundverordnung gelten.
• Auftragsbearbeitung: Wer Personendaten durch einen Dienstleister bearbeiten lässt, braucht in der Regel einen Vertrag, der die Bearbeitung regelt. OpenAI bietet dafür für geschäftliche Angebote eine Vereinbarung an.
• Privat vs. geschäftlich: Ein privates Konto bleibt Ihr persönlicher Vertrag mit OpenAI, auch wenn Sie es bei der Arbeit nutzen. Mehr dazu: ChatGPT privat oder geschäftlich?.
• Löschen ist nicht sofort weg: Gelöschte Chats werden laut OpenAI nach einer Frist entfernt, ausser rechtliche Pflichten verlangen eine längere Aufbewahrung.
• Keine Rechtsberatung: Diese Checkliste ersetzt keine Prüfung im Einzelfall, etwa durch eine Fachperson für Datenschutz.

Ein Beispiel aus der Praxis

Ein Beispiel: In einem Treuhandbüro in Aarau nutzen drei Mitarbeitende ChatGPT privat für E-Mails an Mandanten.

Vorher: Eine Mitarbeiterin kopierte eine Mandantenanfrage mit vollem Namen und Steuerbetrag in ihr privates Konto, um eine Antwort zu formulieren.

Nachher: Die Geschäftsleitung erlässt eine kurze Richtlinie: Mandantendaten nur anonymisiert, Beträge als [Betrag], keine Steuerunterlagen hochladen. Für die Bearbeitung echter Mandantendaten prüft sie mit einer Fachperson, ob und mit welchem geschäftlichen Angebot das unter Berufsgeheimnis vertretbar wäre. Bis dahin gilt: nur anonymisierte Texte.

So hilft Ihnen Alpasana

Damit Mitarbeitende Regeln zu Firmendaten einheitlich anwenden, behandelt die KI-Weiterbildung für Unternehmen Datenschutz und den verantwortungsbewussten Umgang mit Unternehmensdaten. Bei EU-Bezug ist auch der EU AI Act Thema.

Häufige Fragen

Reicht es, das Training auszuschalten?

Nein. Das Abschalten verhindert laut OpenAI die Nutzung für das Training, aber Ihre Daten werden trotzdem zur Beantwortung verarbeitet und eine Zeit lang gespeichert. Die Grundregel «nur Nötiges, möglichst anonym» bleibt.

Muss ich Kundinnen informieren, wenn ich KI nutze?

Das DSG verlangt Transparenz über Datenbearbeitungen. Ob und wie Sie in der Datenschutzerklärung auf KI-Dienste hinweisen müssen, hängt vom Einsatz ab und sollte im Einzelfall geprüft werden.

Ist ein Schweizer oder europäischer KI-Anbieter automatisch sicherer?

Nicht automatisch. Entscheidend sind Vertrag, Speicherort, Zugriffsrechte und Löschfristen. Der Standort ist ein wichtiger, aber nicht der einzige Punkt.

Darf ich Bewerbungsunterlagen in ChatGPT laden?

Bewerbungen enthalten viele Personendaten. Ohne geschäftliche Regelung und Information der Bewerbenden sollten Sie das nicht tun.