KI am Arbeitsplatz: ChatGPT und Copilot

KI am Arbeitsplatz kann Zeit sparen: beim Formulieren von E-Mails, beim Strukturieren von Informationen oder bei der Vorbereitung einer Präsentation. Gerade kleine und mittlere Unternehmen können davon profitieren.

Doch bevor eine Kundenmail, ein Vertrag oder eine Personalakte im Eingabefeld landet, lohnt sich ein kurzer Zwischenstopp. Welches Werkzeug wird verwendet? Welche Daten erhält es? Und wer prüft das Ergebnis?

ChatGPT und Copilot können hilfreiche Assistenten sein. Die Verantwortung für ihren Einsatz bleibt im Unternehmen. Die folgenden Tipps und Checklisten helfen Ihnen, die wichtigsten Fragen zu klären.

Welche Daten dürfen Beschäftigte in KI eingeben?

Eine allgemeine Freigabe für „KI“ ist zu ungenau. Legen Sie fest, welche Werkzeuge für welche Aufgaben und Daten zugelassen sind.

Besondere Aufmerksamkeit verdienen Kundeninformationen, Bewerbungsunterlagen, Gesundheitsdaten, interne Kalkulationen und Geschäftsgeheimnisse. Verwenden Sie möglichst erfundene Beispieldaten oder nur die notwendigen Textausschnitte. Namen zu entfernen reicht nicht immer: Auch eine Kombination aus Funktion, Ort und Vorgang kann eine Person erkennbar machen. Orientierungshilfe der Datenschutzkonferenz

Ein praktisches Beispiel: Für einen höflichen Antwortentwurf auf eine Lieferbeschwerde braucht die KI häufig weder den Namen des Kunden noch seine vollständige E-Mail samt Signatur. Eine allgemein beschriebene Situation kann genügen.

Unser Tipp: Formulieren Sie konkrete Beispiele für erlaubte und nicht erlaubte Eingaben. Beschäftigte sollten diese Entscheidung nicht bei jeder Nachricht neu treffen müssen.

ChatGPT: Reicht ein kostenpflichtiges Konto?

Ein kostenpflichtiger Einzelzugang ist nicht automatisch eine vom Unternehmen geprüfte Arbeitsumgebung.

Für ChatGPT Business und Enterprise erklärt OpenAI, Geschäftsdaten standardmäßig nicht zum Modelltraining zu verwenden. Bei individuellen Konten lässt sich die Nutzung neuer Gespräche für das Training über die Datenkontrollen ausschalten. Das sind unterschiedliche Ausgangspunkte, die bei der betrieblichen Freigabe berücksichtigt werden müssen. OpenAI: Geschäftsdaten, OpenAI: Datenkontrollen

„Kein Modelltraining“ bedeutet allerdings nicht „keine Speicherung“. Prüfen Sie zusätzlich Verträge, Zugriffe, Aufbewahrung und Löschung. Eine Unternehmenslizenz ersetzt auch nicht die Rechtsgrundlage für die Verarbeitung personenbezogener Daten. DSGVO, insbesondere Artikel 5, 6 und 28

Angeschlossene Apps und Erweiterungen benötigen eine eigene Betrachtung. Sie können Informationen aus anderen Systemen abrufen oder Daten an weitere Anbieter übermitteln. OpenAI: Apps und Datenweitergabe

Unser Tipp: Benennen Sie ausdrücklich das freigegebene Unternehmenskonto und den vorgesehenen Arbeitsbereich. So wird die betriebliche Nutzung nicht versehentlich im privaten Konto fortgesetzt.

Copilot: Welche Unternehmensdaten werden zugänglich?

Bei Copilot müssen Produkt, Konto und aktivierte Funktionen zusammen betrachtet werden. Für den Unternehmenseinsatz beschreibt Microsoft besondere Schutzbedingungen. Eingaben, Antworten und über Microsoft Graph abgerufene Daten werden dabei nicht zum Training der Basismodelle verwendet. Microsoft: Enterprise Data Protection

Copilot kann vorhandene Zugriffsrechte auf Unternehmensinformationen nutzen. Zu weit gefasste Freigaben werden dadurch nicht automatisch korrigiert. Prüfen Sie deshalb insbesondere SharePoint, OneDrive und Teams: Wer darf Personalunterlagen, Kundenverträge oder vertrauliche Kalkulationen tatsächlich sehen? Microsoft: Vorbereitung von Copilot

Auch die Websuche verdient Aufmerksamkeit: Daraus erzeugte Suchanfragen an Bing unterliegen eigenen Bedingungen. Die Aussage „Alles bleibt innerhalb unserer Microsoft-365-Umgebung“ wäre deshalb zu pauschal. Microsoft: Websuche und Datenschutz

Unser Tipp: Testen Sie vor einer breiten Einführung mit unterschiedlichen Benutzerrollen, welche Informationen auffindbar sind. Ein Blick in die Berechtigungen kann unangenehme Überraschungen vermeiden.

Darf KI Besprechungen mitschreiben?

Automatische Protokolle können entlasten. Trotzdem sollte nicht jede Besprechung vorsorglich aufgezeichnet oder vollständig transkribiert werden.

Unterscheiden Sie zwischen Audioaufnahme, Liveuntertiteln, gespeichertem Transkript und Ergebnisprotokoll. Klären Sie jeweils den Zweck, die Rechtsgrundlage, die Information der Teilnehmer, Zugriffsrechte und Löschfristen. Ob eine datenschutzrechtliche Einwilligung erforderlich ist, hängt von der konkreten Verarbeitung ab. BayLDA: KI-Transkription, Seiten 56–57

Nichtöffentliche Gespräche dürfen nicht unbefugt aufgezeichnet werden. Eine bloße Aufnahme-Anzeige ersetzt keine erforderliche Zustimmung. § 201 StGB

Bei Teams kann Copilot Besprechungsaudio auch ohne dauerhaft gespeichertes Transkript verarbeiten. „Aufnahme ausgeschaltet“ beantwortet daher noch nicht alle Datenschutzfragen. Microsoft: Copilot und Transkription in Teams

Unser Tipp: Prüfen Sie zunächst, ob ein kurzes Ergebnisprotokoll ausreicht. Gerade Personalgespräche und vertrauliche Kundentermine benötigen klare Regeln.

Wie zuverlässig sind KI-Antworten?

Eine flüssige Antwort kann trotzdem falsch sein. KI kann Zahlen verwechseln, wichtige Einschränkungen übergehen oder Quellen nennen, die gar nicht existieren. Selbstbewusst formulierte Unsicherheit bleibt Unsicherheit. OpenAI: Grenzen der Verlässlichkeit

Prüfen Sie vor der Verwendung insbesondere:

  • Zahlen und Berechnungen anhand der Ausgangsdaten.
  • Aussagen über Personen anhand verlässlicher Unterlagen.
  • Gesetze, Urteile und Fundstellen im Original.
  • Zusammenfassungen auf ausgelassene Bedingungen und Einschränkungen.
  • Texte und Bilder vor Veröffentlichung auf mögliche Rechte Dritter.

Unser Tipp: Legen Sie fest, wer Ergebnisse fachlich freigibt. Besonders bei Verträgen, rechtlichen Auskünften und Personalentscheidungen gehört diese Prüfung in qualifizierte Hände.

Was ist bei Bewerbungen und Beschäftigtendaten zu beachten?

Eine Stellenanzeige formulieren zu lassen ist anders zu beurteilen als Bewerber automatisch zu bewerten oder Beschäftigte zu überwachen. Solche Bewertungs- und Überwachungsanwendungen können unter die Hochrisiko-Regeln der KI-Verordnung fallen.

Emotionserkennung anhand biometrischer Daten am Arbeitsplatz ist grundsätzlich verboten; es bestehen enge Ausnahmen für medizinische oder Sicherheitszwecke. KI-Verordnung, Artikel 5, Artikel 6 und Anhang III

Binden Sie Datenschutzbeauftragte und gegebenenfalls den Betriebsrat frühzeitig ein. Beteiligungsrechte können beispielsweise bei personenbezogenen Auswertungen von Leistung oder Verhalten bestehen. § 87 Betriebsverfassungsgesetz

Unser Tipp: Eine verantwortliche Person muss eine Entscheidung tatsächlich prüfen können. Ein automatischer Vorschlag wird nicht allein dadurch unproblematisch, dass jemand anschließend auf „Bestätigen“ klickt.

Was dürfen KI-Agenten selbstständig erledigen?

KI-Agenten können je nach Anbindung E-Mails versenden, Dateien bearbeiten oder Vorgänge in anderen Programmen auslösen. Damit wächst die Bedeutung klarer Berechtigungen.

Manipulierte Webseiten oder Dokumente können versteckte Anweisungen enthalten, die eine KI zu unerwünschten Handlungen verleiten sollen. Dieser Angriff wird als „Prompt Injection“ bezeichnet. OpenAI: Sicherheitsrisiken bei KI-Agenten

Unser Tipp: Beginnen Sie mit eng begrenzten Aufgaben und Zugriffsrechten. Lassen Sie externe Nachrichten, Bestellungen, Löschungen und sensible Datenänderungen zunächst von Menschen freigeben. Prüfen Sie außerdem, wie sich ein laufender Vorgang stoppen und eine unerwünschte Änderung nachvollziehen lässt.

Welche Regeln und Kenntnisse braucht das Team?

Eine verständliche betriebliche KI-Regelung sollte festhalten:

  • Welche Werkzeuge, Konten und Anwendungen freigegeben sind.
  • Welche Daten eingegeben werden dürfen.
  • Wer Ergebnisse prüft und Entscheidungen verantwortet.
  • Welche Zusatzfunktionen eine gesonderte Freigabe benötigen.
  • Wer bei Unsicherheiten und Fehlern angesprochen wird.

Artikel 4 der KI-Verordnung verlangt Maßnahmen zur Förderung der KI-Kompetenz. Ein allgemeines Pflichtzertifikat oder eine feste Kursdauer folgt daraus nicht. Die Maßnahmen sollen zum Kenntnisstand und zum tatsächlichen Einsatz passen. Geänderte Fassung von Artikel 4

Üben Sie deshalb an Beispielen aus Ihrem Betrieb: eine Kundenanfrage ohne unnötige Daten bearbeiten, eine fehlerhafte Antwort erkennen oder einen versehentlichen Upload richtig melden. Dokumentieren Sie Inhalte, Teilnehmer und Zeitpunkt der Maßnahmen.

Auch Kennzeichnungspflichten sind gezielt zu prüfen: Nicht jede KI-unterstützte E-Mail braucht einen Hinweis. Für bestimmte Chatbots, Deepfakes und Veröffentlichungen bestehen besondere Transparenzpflichten. KI-Verordnung, Artikel 50

Die verschobenen Anforderungen für Hochrisiko-Systeme nach Anhang III gelten grundsätzlich ab dem 2. Dezember 2027. Datenschutzpflichten und bereits geltende Verbote sind unabhängig davon zu beachten. EU-Kommission: Geänderte Anwendungsfristen

Checkliste: Vor der Einführung eines KI-Werkzeugs

  1. Aufgabe bestimmen: Welchen konkreten Arbeitsschritt soll die KI unterstützen?
  2. Werkzeug erfassen: Welches Produkt, welcher Tarif und welches Unternehmenskonto werden eingesetzt?
  3. Daten festlegen: Welche Informationen werden benötigt, welche ausdrücklich ausgeschlossen?
  4. Datenschutz prüfen: Sind Zweck, Rechtsgrundlage, Informationspflichten und Verantwortlichkeiten geklärt?
  5. Verträge prüfen: Ist bei Auftragsverarbeitung ein entsprechender Vertrag vorhanden? Sind etwaige Drittlandübermittlungen geprüft?
  6. Technik einstellen: Sind Zugriffe, Speicherzeiten, Websuche, Apps und Agenten passend begrenzt?
  7. Besondere Risiken bewerten: Ist wegen eines voraussichtlich hohen Risikos eine Datenschutz-Folgenabschätzung erforderlich?
  8. Verantwortliche benennen: Wer entscheidet über Freigaben, prüft Ergebnisse und bearbeitet Vorfälle?
  9. Team vorbereiten: Sind Regeln bekannt und anhand praktischer Beispiele erklärt?
  10. Kontrolliert starten: Funktioniert die Anwendung im Test? Sind Nutzen, Fehler und Nachbesserungen dokumentiert?

Die datenschutzrechtlichen Prüfungen richten sich nach dem konkreten Einsatz, insbesondere nach den Artikeln 5, 6, 28, 35 und 44 ff. DSGVO. Datenschutz-Grundverordnung

Checkliste: Vor der Eingabe und vor der Verwendung

  • Nutze ich das freigegebene Werkzeug im richtigen Konto?
  • Ist meine Aufgabe von der betrieblichen Freigabe umfasst?
  • Kann ich personenbezogene oder vertrauliche Angaben weglassen?
  • Enthält eine angehängte Datei zusätzliche Informationen, die gar nicht benötigt werden?
  • Habe ich Zahlen, Aussagen und Quellen im Ergebnis geprüft?
  • Darf ich das Ergebnis in dieser Form weitergeben oder veröffentlichen?

Wenn vertrauliche Informationen versehentlich eingegeben wurden, melden Sie den Vorgang unverzüglich intern. Halten Sie fest, welche Daten betroffen sind, wann dies geschah und welches Konto verwendet wurde. Die zuständigen Personen müssen den Vorfall bewerten und notwendige Schritte veranlassen. Allein das Löschen des sichtbaren Chats beantwortet noch nicht alle Fragen.

KI im Unternehmen mit klaren Regeln einsetzen

Das Datenschutzbüro Rößner unterstützt kleine und mittlere Unternehmen bei den Datenschutzfragen rund um digitale Arbeitsabläufe. Dazu gehören die Einordnung konkreter Anwendungen, verständliche betriebliche Regeln und die Sensibilisierung der Beschäftigten.

Wir beraten Unternehmen in Hessen, Niedersachsen, Thüringen, Oberbayern und Nordrhein-Westfalen. Unser Büro befindet sich in Alsfeld; die Zusammenarbeit erfolgt vor Ort sowie per Videokonferenz, Telefon und E-Mail.

Mehr über unsere Unterstützung erfahren Sie auf den Seiten Externer Datenschutzbeauftragter für KMU und Datenschutzschulungen.

Sie möchten ChatGPT, Copilot oder andere KI-Werkzeuge im Betrieb einsetzen? Nehmen Sie Kontakt mit uns auf.

Stand: 16. September 2026.