Private KI-Konten bei der Arbeit: Was sollten wir regeln?

Das Problem

Eine Mitarbeiterin bezahlt privat ein KI-Abo, weil sie damit schneller arbeitet. Ein Kollege nutzt sein privates Konto, um Offerten zu entwerfen. Der Betrieb weiss davon, schaut aber weg: Es funktioniert ja, und es kostet nichts. Bis eine Frage auftaucht: Wo liegen die Kundendaten, die in diesen Konten verarbeitet wurden?

Private Konten sind bequem, aber für den Betrieb heikel. Der Arbeitgeber hat keine Kontrolle über Einstellungen, Verlauf, Training und Löschung. Beim Austritt der Person bleiben Daten in ihrem Konto. Die Bedingungen des Anbieters gelten zwischen ihm und der Person, nicht dem Betrieb. Und bei einem Kontoproblem, etwa einem Hack, ist unklar, wer zuständig ist.

Gleichzeitig ist ein striktes Verbot oft unrealistisch. Wer produktiv sein will, findet Wege. Besser ist eine klare, praktikable Regel, die Risiken begrenzt und gute Alternativen bietet.

So lösen Sie es mit KI – Schritt für Schritt

1. Verschaffen Sie sich einen Überblick. Fragen Sie offen und ohne Strafen nach, welche privaten Konten für berufliche Aufgaben genutzt werden. Siehe Schattennutzung erfassen.

1. Verstehen Sie die Risiken. Die wichtigsten: Vertrauliche Daten in Konten ohne betrieblichen Vertrag, keine Kontrolle über Training und Löschung, Datenverbleib nach Austritt, vermischte private und berufliche Inhalte, Zugriff durch Dritte bei gemeinsamen Geräten oder Konten.

1. Klären Sie die Rechtslage in Grundzügen. Das Datenschutzgesetz (DSG) macht den Betrieb für die Bearbeitung von Personendaten verantwortlich, auch wenn Mitarbeitende dabei private Dienste nutzen. Mitarbeitende haben Treue- und Sorgfaltspflichten im Arbeitsverhältnis. Zudem stellt grundsätzlich der Arbeitgeber die Arbeitsgeräte und Materialien zur Verfügung (Obligationenrecht). Die Einzelheiten sind im Einzelfall zu prüfen.

1. Entscheiden Sie die Grundlinie. Mögliche Modelle: Private Konten nicht erlaubt, nur Firmenkonten. Private Konten nur für öffentliche, unkritische Inhalte. Private Konten erlaubt mit Auflagen. Wählen Sie, was zu Ihren Daten und Ihrem Risiko passt.

1. Bieten Sie eine Alternative an. Je besser das Firmenkonto, desto weniger Bedarf für private Konten. Siehe Erlaubte KI-Werkzeuge im Betrieb.

1. Legen Sie Datenregeln fest. Welche Daten dürfen nie in private Konten: Kundendaten, Personaldaten, Verträge, interne Berichte, Zugangsdaten? Eine einfache Datenampel genügt.

1. Regeln Sie die Kosten. Wer trägt Abo und Nutzung? Erstattet der Betrieb Kosten nur bei Firmenkonten? Klären Sie, ob und wie private Ausgaben vergütet werden, falls Sie private Konten ausnahmsweise erlauben.

1. Klären Sie Austritt und Rollenwechsel. Was passiert mit Daten und Zugängen, wenn jemand geht? Bei Firmenkonten kann der Betrieb Zugänge sperren und Daten sichern. Bei privaten Konten nicht.

1. Sorgen Sie für Technik und Schulung. Erklären Sie die Regeln an Beispielen. Verwenden Sie Zwei-Faktor-Schutz bei Firmenkonten. Siehe Zwei-Faktor-Authentifizierung für KI-Konten.

1. Halten Sie Ausnahmen und Verstösse im Griff. Legen Sie fest, wie Ausnahmen beantragt werden, und wie bei Verstössen vorgegangen wird, mit Augenmass und zuerst Gespräch. Siehe Richtlinie: Verstoss, Vorgehen.

Vorlage zum Kopieren

Hilf mir, eine Regel zu privaten KI-Konten bei der Arbeit zu
formulieren.
Betrieb: [Branche, Grösse]. Daten, die wir bearbeiten: [Art, z. B.
Kundendaten, Personaldaten, Offerten].
Grundlinie, die wir wählen: [nicht erlaubt / nur für öffentliche
Inhalte / erlaubt mit Auflagen].
Verfügbares Firmenkonto: [ja/nein, Werkzeug].
Erstelle: 1. Eine Regel in höchstens 10 Zeilen, in einfacher Sprache
(Anrede «Sie»), mit Punkten zu: erlaubte und verbotene Daten, Konto-Art,
Kosten, Austritt, Sicherheit (Zwei-Faktor), Ausnahmen, Ansprechperson.
2. Fünf Beispiele «Das ist in Ordnung / Das ist nicht in Ordnung».
3. Einen kurzen Text für die Mitarbeitenden (max. 100 Wörter),
der erklärt, warum die Regel gilt.
Gib keine rechtlichen Zusagen; markiere Punkte, die rechtlich geprüft
werden sollten.

Ergänzen Sie Ihre Angaben und lassen Sie die Regel arbeitsrechtlich und datenschutzrechtlich prüfen, bevor Sie sie verbindlich erklären.

Welche Grundlinie passt?

Worauf Sie achten müssen

• Verantwortung bleibt beim Betrieb: Wenn Personendaten in private Konten gelangen, kann der Betrieb dafür verantwortlich sein. Dulden bedeutet nicht Absicherung.
• Kein Zwang zu privaten Kosten: Der Arbeitgeber trägt grundsätzlich die Kosten für Arbeitsmittel. Wer Mitarbeitende stillschweigend zur privaten Zahlung drängt, begibt sich auf unsicheres Terrain.
• Private Daten schützen: Prüfen Sie, dass Kontrollmassnahmen die Privatsphäre nicht verletzen. Schauen Sie nicht in private Konten, regeln Sie stattdessen, was hineingehört.
• Austritt: Zugänge und Daten müssen geordnet beendet werden. Bei privaten Konten ist das kaum möglich.
• Vermischung: Berufliche Daten im privaten Verlauf bleiben dort, solange die Person das Konto behält. Klären Sie Löschpflichten.
• Rechtliche Details prüfen: Arbeits- und datenschutzrechtliche Fragen lassen Sie im Einzelfall fachlich klären. Siehe Private Konten bei der Arbeit: rechtliche Sicht.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: In einer Treuhandfirma in Aarau nutzen vier von zehn Mitarbeitenden private KI-Konten für Mails, Zusammenfassungen und Übersetzungen, teils mit Kundenangaben. Die Inhaberin bemerkt es zufällig, als eine Mitarbeiterin ihren Bildschirm zeigt.

Statt zu verbieten, ruft sie eine Runde ein und fragt offen nach Bedarf und Nutzen. Mit der Vorlage entsteht eine Regel: Kundendaten nie in private Konten, Firmenkonto mit Vertrag für alle, private Konten nur für öffentliche Inhalte, Zwei-Faktor-Schutz Pflicht, Kostenübernahme durch den Betrieb nur für das Firmenkonto.

Nachher wechseln die Mitarbeitenden auf das Firmenkonto, und die privaten Verläufe mit Kundenangaben werden bereinigt. Beim Austritt einer Mitarbeiterin sperrt die Firma den Zugang und sichert die Ergebnisse. Das Büro arbeitet weiter schnell, aber geregelt.

So hilft Ihnen Alpasana

Wenn Sie KI-Regeln und -Werkzeuge im Betrieb ordnen möchten, unterstützt Sie KI-Beratung und digitale Transformation von Alpasana: Prozesse aufnehmen, KI-Potenziale analysieren, Vorhaben priorisieren sowie Einsatzregeln bei der Integration von KI-Agenten festlegen. Weiterbildung kann einbezogen werden, Projekte werden individuell offeriert.

Rechtliche Beratung zu Arbeits- und Datenschutzfragen ist damit nicht gemeint. Zur Vertiefung: Private KI-Konten im Büro (Sicherheit) und Erlaubte KI-Werkzeuge im Betrieb.

Häufige Fragen

Dürfen wir private Konten ganz verbieten?

Ja, der Betrieb kann Regeln zur Nutzung bei der Arbeit aufstellen, sofern sie sachlich begründet und zumutbar sind. Entscheidend ist, dass es ein brauchbares Angebot gibt und die Regel erklärt wird.

Was, wenn jemand sein Abo selbst zahlt und es nutzen will?

Eine freiwillige Zahlung ändert nichts an den Datenschutzrisiken. Auch dann gelten die Datenregeln des Betriebs. Besser ist ein Firmenkonto, das der Betrieb bezahlt und verwaltet.

Wie kontrolliere ich die Einhaltung?

Mit Aufklärung, klaren Regeln und Vertrauen, ergänzt durch angekündigte, verhältnismässige Stichproben auf Firmengeräten. Heimliche Kontrolle ist problematisch. Siehe Leistungskontrolle vermeiden.