Reicht das Löschen eines KI-Chats für den Datenschutz?

Das Problem

Sie haben in einem KI-Chat etwas eingegeben, das dort nicht hingehörte: einen Kundennamen mit Details, eine Vertragsklausel, vielleicht ein Foto. Sie bemerken den Fehler, löschen den Chat und atmen auf. Dann fragt eine Kollegin: «Ist es damit wirklich weg?» Und Sie wissen es nicht.

Die Antwort ist nicht eindeutig, und das ist unangenehm. «Löschen» bedeutet bei Online-Diensten nicht in jedem Fall dasselbe wie das Vernichten eines Papiers. Je nach Anbieter, Tarif und Einstellung können Kopien in Systemen, Protokollen und Sicherungen noch einige Zeit existieren. Zudem können Anbieter Daten aus Sicherheits- oder Rechtsgründen länger aufbewahren.

Hier erfahren Sie, was beim Löschen eines Chats typischerweise geschieht, warum es für den Datenschutz nicht genügt und was Sie stattdessen tun können. Rechtsberatung ersetzt das nicht.

Einfach erklärt

Ein Chat besteht aus mehreren Spuren:

Viele Anbieter beschreiben in ihrer Hilfe, wie lange gelöschte Chats noch aufbewahrt werden und unter welchen Bedingungen. Die Fristen und Ausnahmen sind unterschiedlich und ändern sich. Auch Rechtsstreitigkeiten oder behördliche Anordnungen haben bei einzelnen Diensten dazu geführt, dass Daten länger aufbewahrt werden mussten.

Rechtlich haben Sie in der Regel einen Anspruch darauf, dass Personendaten gelöscht werden, wenn sie nicht mehr erforderlich sind oder die Voraussetzungen für ihre Bearbeitung nicht (mehr) gegeben sind. Wie schnell und wie gründlich das umgesetzt wird, ist Sache des Anbieters. Siehe Löschungsantrag bei KI-Anbietern.

So lösen Sie es mit KI – Schritt für Schritt

So gehen Sie vor, wenn etwas Falsches im Chat gelandet ist, und so vermeiden Sie es künftig:

1. Ruhe bewahren und sachlich prüfen: Was wurde eingegeben? Waren es Personendaten, Geschäftsgeheimnisse oder besonders schützenswerte Angaben?
2. Intern melden, wenn nötig: Bei Kundendaten oder Vertraulichem informieren Sie die zuständige Stelle im Betrieb. Eventuell handelt es sich um eine Datenschutzverletzung, siehe Datenpanne: Sofortmassnahmen.
3. Chat löschen: Nutzen Sie die Löschfunktion des Dienstes. Löschen Sie auch zugehörige Dateien und Projekte.
4. Einstellungen prüfen: Schalten Sie, wo möglich, die Nutzung für das Training aus. Siehe ChatGPT: Training ausschalten.
5. Hilfeseite des Anbieters lesen: Wie lange werden gelöschte Chats noch gespeichert? Gibt es Ausnahmen? Notieren Sie Fristen und Datum.
6. Bei Bedarf Löschung beantragen: Wenn es um Personendaten geht, können Sie beim Anbieter eine Löschung verlangen, siehe Löschungsantrag-Vorlage.
7. Eigene Kopien bereinigen: Entfernen Sie Screenshots, Exporte und Notizen mit den heiklen Inhalten.
8. Vorsorge treffen: Anonymisieren Sie künftig vor der Eingabe, siehe Datenminimierung bei KI, und legen Sie Regeln im Betrieb fest.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie eine kleine Checkliste vor, die Sie im Betrieb verwenden können:

Erstelle eine einseitige Checkliste für Mitarbeitende in einem Schweizer KMU für den Fall, dass versehentlich vertrauliche Daten in einen KI-Chat eingegeben wurden.
Sie soll enthalten: 1. Sofortmassnahmen (Chat löschen, Dateien entfernen, Einstellungen), 2. wen intern informieren, 3. was dokumentiert werden soll (Datum, Dienst, Art der Daten, Massnahmen),
4. wann eine Meldung an die Datenschutzverantwortliche nötig ist, 5. wie man beim Anbieter eine Löschung verlangt, 6. Vorsorgetipps.
Schreibe in einfacher Sprache, Sie-Form. Erfinde keine Fristen oder Paragrafen und weise darauf hin, dass Details beim Anbieter und bei der Datenschutzverantwortlichen nachzufragen sind.

Passen Sie die Checkliste an Ihre Abläufe an und legen Sie sie dort ab, wo alle sie finden.

Worauf Sie achten müssen

• Keine Löschgarantie: Aus dem Löschen eines Chats folgt nicht, dass alle Kopien sofort verschwunden sind. Fragen Sie beim Anbieter nach.
• Trainingsdaten: Was in ein Modell eingeflossen ist, lässt sich in der Praxis kaum entfernen. Deshalb ist die Vorsorge entscheidend.
• Datenschutzverletzungen: Wurden sensible Daten unbefugt weitergegeben, können Melde- und Informationspflichten entstehen. Klären Sie das rasch, siehe Datenpanne melden.
• Firmenkonten: In Firmenkonten kann die Administration Chats einsehen und Aufbewahrungsregeln festlegen. Klären Sie Zuständigkeiten.
• Private Konten: Nutzen Sie sie nicht für Geschäftsdaten. Dort fehlen oft Verträge und Kontrolle.
• Dokumentation: Halten Sie fest, was passiert ist und was Sie getan haben. Das hilft bei Rückfragen.
• Rechtliche Einordnung: Ob und welche Pflichten bestehen, hängt vom Einzelfall ab. Ziehen Sie Fachleute bei, und beachten Sie die Hinweise des Eidgenössischen Datenschutzbeauftragten.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Mitarbeiterin einer Personalberatung in Zug hat den Lebenslauf einer Bewerberin mit Namen und Adresse in einen KI-Chat eingefügt, um eine Zusammenfassung zu erhalten. Danach merkt sie, dass dies nicht erlaubt war.

Vorher: Sie löscht den Chat und sagt niemandem etwas, in der Hoffnung, dass sich damit alles erledigt.

Nachher: Sie informiert noch am selben Tag die Datenschutzverantwortliche. Gemeinsam löschen sie den Chat, prüfen Konto und Einstellungen, lesen die Hilfeseite zu Aufbewahrung und Training und beantragen bei Bedarf beim Anbieter die Löschung. Der Vorfall wird dokumentiert, und die Frage einer Meldung wird geprüft. Das Team erhält eine kurze Auffrischung zu Anonymisierung vor der Eingabe.

Die offene Meldung hilft, solche Fehler künftig zu vermeiden, statt sie zu verstecken.

So hilft Ihnen Alpasana

Wer im Team einen sicheren Umgang mit KI und Daten einüben möchte, findet bei Linup einen passenden Einstieg. Der Online-Kurs KI sicher am Arbeitsplatz behandelt laut Beschreibung den Umgang mit Daten, die Prüfung von KI-Ergebnissen und das Erkennen von Betrugsversuchen und stellt pro Person einen geordneten Schulungsnachweis aus. Ob das für Ihre rechtlichen Pflichten genügt, klären Sie im Einzelfall.

Häufige Fragen

Wird ein gelöschter Chat sofort entfernt?

Nicht unbedingt. Viele Dienste entfernen ihn zuerst aus der Ansicht und löschen ihn nach einer Frist aus ihren Systemen. Details stehen in der Hilfe des Anbieters.

Kann ich Daten aus einem trainierten Modell entfernen lassen?

Das ist technisch und rechtlich schwierig. Bei vielen Diensten lässt sich die Nutzung für das Training ausschalten, und ein Löschbegehren betrifft vor allem gespeicherte Daten. Lassen Sie sich im Einzelfall beraten.

Muss ich den Vorfall melden?

Wenn Personendaten unbefugt offengelegt wurden, kann eine Meldepflicht bestehen. Informieren Sie intern sofort die zuständige Person. Siehe Datenpanne melden.

Hilft es, das Konto zu löschen?

Es kann die Daten im Konto entfernen, wirkt aber ebenfalls je nach Anbieter mit Fristen. Prüfen Sie zuvor, was Sie sichern müssen, siehe KI-Abo kündigen.