Mitarbeitende nutzen private KI-Konten

Situation: In Ihrem Betrieb mit acht Mitarbeitenden formulieren einige Kundenmails und Angebote mit ChatGPT oder Claude – mit ihren privaten Konten. Eine Regel dazu gibt es noch nicht.

Typische Sorge: „Ich weiß nicht, was dort eingegeben wird. Was sollte ich regeln?“

Betroffene Daten: alles, was Mitarbeitende eingeben: Kundendaten, Angebote, interne Abläufe, manchmal Angaben über Kolleginnen und Kollegen. Nach Einschätzung der Aufsichtsbehörden droht ohne klare Regeln eine eigenmächtige Nutzung. ^{Q13 Abschn. 2.2}

• Training: In privaten Konten entscheidet die Person, die das Konto führt: Bei ChatGPT ist das Training ab Werk eingeschaltet, bei Claude wählt man selbst. ^{siehe Tabelle} Der Betrieb hat darauf keinen Einfluss.
• Speicherung: Die Eingaben liegen im privaten Konto, in der Regel, bis die Person sie löscht. ^{siehe Tabelle} Das gilt auch, wenn sie den Betrieb verlässt.
• Zugriff: Der Betrieb sieht nicht, was eingegeben wird. Umgekehrt gilt: Ein Konto, das mit der Firmen-E-Mail-Adresse angelegt wurde, kann bei beiden Anbietern mit einem Firmenkonto verbunden werden; dann können Administratoren auf Inhalte zugreifen. ^{Q20, Q43; Q24, Q46}
• Ort und Vertrag: Bei OpenAI ist geschäftliche Nutzung von Plus und Pro vorgesehen, aber ohne Vertrag zur Auftragsverarbeitung. Die Verbraucher-Bedingungen von Anthropic sehen für Free, Pro und Max nur nicht-kommerzielle Nutzung vor. ^{Q20, Q19; Q24, Q46}

Eine einfache Betriebsregel aufschreiben. Die Aufsichtsbehörden empfehlen klare, dokumentierte Vorgaben mit Beispielen dafür, wofür KI genutzt werden soll und wofür nicht. ^{Q13 Abschn. 2.2} Für den Anfang helfen wenige Punkte:

• Welche Konten: Der Betrieb stellt die Konten bereit, möglichst mit einer Funktions-E-Mail-Adresse statt mit Namen; Beschäftigte sollen nicht mit privaten Konten arbeiten müssen. Das empfehlen die Aufsichtsbehörden. ^{Q13 Abschn. 2.4}
• Welche Einstellungen: von Beginn an kein Training mit den Eingaben und keine Historie über die Sitzung hinaus. ^{Q13 Abschn. 2.5}
• Welche Daten nicht: siehe „Das gibt man nie ein“; Kunden- und Mitarbeiterdaten nur nach Klärung.
• Privates bleibt privat: Wer KI privat nutzt, meldet sich mit einer privaten E-Mail-Adresse an.
• Kurz einweisen: Nach der KI-Verordnung fördern Betreiber die KI-Kompetenz ihres Personals. ^{Q16 Art. 4}

Mehr dazu: Was in eine einfache KI-Regel gehört. Eine Vorlage zum Ausfüllen bietet dieses Angebot nicht.

Ob eine Regel für Ihren Betrieb ausreicht und ob die bisherige Nutzung den Bedingungen der Anbieter entspricht, beurteilt dieses Angebot nicht. ^Grundsatz Führt Ihr Betrieb eigene Konten ein und gibt es einen Betriebsrat, lohnt die frühe Frage an ihn (siehe „Für den Mittelstand“).