Eine längere Kunden-E-Mail soll verständlicher werden. Ein Angebot braucht eine bessere Formulierung. Oder ein Vertrag soll schnell zusammengefasst werden. Der Text ist in wenigen Sekunden in ChatGPT oder Claude eingefügt. Ob Namen, Preise oder vertrauliche Absprachen darin stehen, fällt dabei leicht unter den Tisch.
Künstliche Intelligenz und Datenschutz im Unternehmen gehören deshalb zusammen. Bevor Mitarbeitende echte Unterlagen verwenden, muss geklärt sein, welche Daten in welches Werkzeug dürfen. Wie groß der Informationsbedarf ist, zeigt die am 7. Oktober veröffentlichte KI-Sicherheitsstudie von BSI und TÜV-Verband: 69 Prozent der befragten Unternehmen in Deutschland, die bereits KI nutzen, benötigen mehr Wissen für den sicheren Umgang damit.
Welche Firmendaten nicht ungeprüft in eine KI gehören
Für die meisten Textaufgaben braucht eine KI deutlich weniger Informationen als ein vollständiges Dokument enthält. Gerade beim schnellen Kopieren landen jedoch Daten im Chat, die für die eigentliche Frage unnötig sind.
Ohne passende betriebliche Freigabe und Prüfung sollten insbesondere diese Inhalte nicht eingegeben werden:
- Personenbezogene Unterlagen wie Bewerbungen, Gehaltsabrechnungen, Krankmeldungen oder Kunden-E-Mails mit Kontaktdaten.
- Vertrauliche Geschäftsinformationen wie interne Kalkulationen, unveröffentlichte Angebote, Vertragsdetails oder Entwicklungspläne.
- Zugangsdaten wie Passwörter, Wiederherstellungscodes und geheime Schlüssel für Softwarezugriffe.
Die ersten beiden Gruppen können in einer dafür geprüften Umgebung unter passenden rechtlichen und organisatorischen Voraussetzungen verarbeitet werden. Zugangsdaten sollten für gewöhnliche Textaufgaben dagegen grundsätzlich entfernt werden.
Die österreichische Datenschutzbehörde weist darauf hin, dass bei fremden KI-Systemen eine Übermittlung an den Anbieter oder weitere Dritte stattfinden kann. Sie empfiehlt, dies zu prüfen und intern festzulegen, welche Daten verarbeitet werden dürfen. Ein Upload bleibt eine Datenweitergabe, auch wenn er sich wie ein Gespräch anfühlt.
Warum ein privater Zugang nicht ausreicht
Im Unternehmen sollte feststehen, welcher Zugang verwendet wird und wer ihn verwaltet. Ein privates Konto oder ein selbst bezahltes Einzelabo ersetzt diese Entscheidung nicht. Sonst lassen sich Einstellungen, Berechtigungen und der Umgang mit Arbeitsunterlagen nur schwer gemeinsam steuern.
Für geschäftliche Arbeitsbereiche gibt es eigene Schutzregeln. OpenAI erklärt beispielsweise in seiner offiziellen Dokumentation, dass Daten aus Business- und Enterprise-Arbeitsbereichen standardmäßig nicht zum Training seiner Modelle verwendet werden. Das ist ein wichtiger Unterschied, beantwortet aber noch nicht, ob ein bestimmter Vertrag oder eine Personalakte dort verarbeitet werden darf.
Vor einer Freigabe sind unter anderem Zweck, Vertragsbedingungen, Speicherfristen und Zugriffe zu klären. Bei personenbezogenen Daten kommen die erforderliche Rechtsgrundlage, gegebenenfalls eine Vereinbarung zur Auftragsverarbeitung und mögliche Übermittlungen außerhalb des Europäischen Wirtschaftsraums hinzu. Diese Prüfung muss zum tatsächlichen Einsatz passen.
Den Namen zu löschen ist oft zu wenig
Wird aus einer Kundin lediglich „Kundin A“, kann der restliche Text weiterhin verraten, um wen es geht. Eine genaue Projektbeschreibung, ein Standort oder ein ungewöhnlicher Vorgang können dafür ausreichen. Die Datenschutzkonferenz betont in ihrer Orientierungshilfe zu KI und Datenschutz, dass das Entfernen von Namen und Anschriften allein regelmäßig nicht genügt.
Für eine Formulierungshilfe ist es oft einfacher, die Aufgabe neu zu beschreiben: Statt die vollständige Reklamation einzufügen, bitten Sie um eine freundliche Antwortvorlage auf eine Lieferverzögerung. Persönliche Angaben und konkrete Bestelldaten ergänzen Sie anschließend selbst.
Dasselbe funktioniert bei Angeboten. Für eine übersichtliche Gliederung braucht das Werkzeug weder den Kundennamen noch tatsächliche Einkaufspreise oder Ihre Marge. Erfundenes Beispielmaterial reicht für viele Entwürfe aus. Prüfen Sie auch Anhänge, Kommentare und ausgeblendete Tabellenbereiche, bevor eine Datei hochgeladen wird.
Fünf Regeln, die im Büro helfen
Eine brauchbare KI-Regelung muss im Arbeitsalltag leicht nachzuschlagen sein. Für den Anfang sollten diese Punkte eindeutig sein:
- Legen Sie freigegebene Werkzeuge und geschäftliche Zugänge fest.
- Beschreiben Sie mit Beispielen, welche Daten erlaubt sind und wann eine Rückfrage nötig ist.
- Regeln Sie Datei-Uploads und Verbindungen zu E-Mail, Cloud-Speichern oder anderen Unternehmenssystemen gesondert.
- Lassen Sie Ergebnisse vor der Verwendung fachlich prüfen. Das gilt besonders für Zahlen, Zusagen und Aussagen über Personen.
- Benennen Sie eine Ansprechperson für Unsicherheiten und versehentlich eingegebene vertrauliche Daten.
Wenn etwas versehentlich hochgeladen wurde, sollte die zuständige Stelle rasch erfahren, welcher Inhalt in welchem Dienst gelandet ist. Sie kann dann die nächsten Schritte prüfen. Eine kurze Einführung mit typischen Aufgaben aus dem eigenen Betrieb macht solche Regeln greifbarer als ein allgemeines Verbot.
KI im Unternehmen mit Digitalfaktor planen
Digitalfaktor unterstützt Unternehmen in Feldkirch und Vorarlberg dabei, ihre Werkzeuge und Datenflüsse zu ordnen. In unserer IT-Beratung betrachten wir, welche Anwendungen gebraucht werden, wie Zugänge verwaltet sind und wo vertrauliche Informationen verarbeitet werden.
Unsere Unterstützung bei Datenschutz und DSGVO ergänzt die technische Planung um organisatorische Grundlagen. Für verbindliche rechtliche Bewertungen werden bei Bedarf spezialisierte Fachleute einbezogen.
Ein guter Einstieg ist eine häufige Aufgabe mit überschaubaren Daten: etwa die Struktur für ein Angebot oder einen Entwurf auf Basis bereits veröffentlichter Informationen. So kann das Team den Nutzen kennenlernen und zugleich üben, welche Angaben draußen bleiben. Wenn Sie die KI-Nutzung in Ihrem Betrieb klären möchten, sprechen Sie uns über den Kontakt an.
Stand: 30. Oktober 2026. Funktionen und Vertragsbedingungen der eingesetzten KI-Dienste sollten regelmäßig überprüft werden.