Einstieg · Einfach
Sind Firmendaten in KI-Tools sicher? Was zu prüfen ist, bevor Mitarbeiter Dokumente einfügen
Mitarbeiter fügen längst E-Mails, Angebote und Tabellen in KI-Tools ein, ob das Unternehmen eine Regel dafür hat oder nicht. Ob das sicher ist, ist keine Ansichtssache: Es steht in den Bedingungen des Tarifs, den sie nutzen.
Foto: Nilo Velez, gemeinfrei (CC0)
In diesem Ratgeber
Kurz gesagt
Es hängt vom Tarif und seinen Bedingungen ab, und die können Sie selbst prüfen. Fünf Punkte entscheiden: ob Ihre Eingaben für das Training verwendet werden, wo die Daten gespeichert sind, wer beim Anbieter sie sehen kann, wie lange sie aufbewahrt werden und ob es einen Auftragsverarbeitungsvertrag gibt. Manches gehört nie in ein KI-Tool, ganz gleich bei welchem Tarif.
Ist es sicher, KI mit Firmendaten zu nutzen?
Es ist so sicher wie die Bedingungen genau des Tarifs, den Ihre Mitarbeiter nutzen, und diese Bedingungen unterscheiden sich von Tarif zu Tarif desselben Produkts. Kostenlose Tarife und Tarife für Privatnutzer haben oft andere Regeln als Geschäftstarife, vor allem bei der Frage, ob das, was Sie eintippen, zur Verbesserung der Modelle des Anbieters verwendet werden darf. Der Name des Tools sagt Ihnen also wenig. Der Tarif sagt es.
Es gibt zwei getrennte Risiken. Das erste ist, was der Anbieter mit Ihrem Text tut: ihn speichern, Mitarbeiter ihn lesen lassen, damit trainieren. Das zweite ist, was Ihre eigenen Mitarbeiter eingeben: Ein Text, der das Unternehmen nie hätte verlassen dürfen, wird durch gute Bedingungen nicht sicher. Das erste Risiko klärt sich durch Lesen, das zweite durch eine Regel, die jeder kennt.
Was sollten Sie in den Bedingungen Ihres Tarifs prüfen?
Prüfen Sie fünf Punkte, und holen Sie jede Antwort aus den Bedingungen oder Datenschutzdokumenten des Anbieters selbst, nicht von einer Vergleichsseite.
| Punkt | Zu beantwortende Frage | Eine gute Antwort |
|---|---|---|
| Training | Werden unsere Eingaben und Uploads zum Trainieren oder Verbessern von Modellen verwendet? | Nein, oder nur, wenn wir es selbst einschalten |
| Speicherort | In welchem Land oder welcher Region werden unsere Daten gespeichert und verarbeitet? | Eine benannte Region, die zu Ihren Pflichten passt |
| Zugriff beim Anbieter | Wer kann unsere Unterhaltungen lesen, und wann? | Begrenzter, protokollierter Zugriff aus genannten Gründen |
| Aufbewahrung | Wie lange werden Unterhaltungen und Dateien aufbewahrt, und können wir sie löschen? | Eine genannte Frist und Löschung auf Anfrage |
| Auftragsverarbeitungsvertrag | Schließt der Anbieter für diesen Tarif einen ab? | Ja, verfügbar für den Tarif, den Sie nutzen |
Schreiben Sie die Antworten mit Datum und Namen des Tarifs auf. Bedingungen ändern sich, und „das haben wir im Frühjahr geprüft“ ist nur etwas wert, wenn jemand weiß, was geprüft wurde.
Zwei weitere Punkte zählen, sobald mehr als ein paar Personen das Tool nutzen. Kann das Unternehmen die Konten zentral verwalten, sodass jemand, der geht, am letzten Tag den Zugang verliert? Und sind die Unterhaltungen eines Mitarbeiters für die anderen unsichtbar, solange sie nicht absichtlich geteilt werden?
Wann brauchen Sie einen Auftragsverarbeitungsvertrag?
Sie brauchen einen, sobald das Tool personenbezogene Daten in Ihrem Auftrag verarbeitet. Nach der DSGVO braucht ein Unternehmen, das einen Dienstleister personenbezogene Daten verarbeiten lässt, mit diesem Dienstleister einen Vertrag über die Verarbeitung. Namen, E-Mail-Adressen, Kundenkorrespondenz und Personalunterlagen sind allesamt personenbezogene Daten.
In der Praxis heißt das: Bietet der Tarif, den Ihre Mitarbeiter nutzen, keinen solchen Vertrag, gehören personenbezogene Daten nicht hinein. Verarbeitet der Anbieter Daten außerhalb der Europäischen Union, stellt die DSGVO zusätzliche Bedingungen für diese Übermittlung, und die Dokumente des Anbieters sollten sagen, wie sie erfüllt werden. Das ist der Punkt, an dem ein kurzes Gespräch mit der Person, die sich in Ihrem Unternehmen um Datenschutz kümmert, späteren Ärger erspart.
Was sollte nie in ein KI-Tool eingefügt werden?
Vier Arten von Inhalten bleiben draußen, was auch immer der Tarif sagt. Der Grund ist nicht, dass ein Datenleck sicher wäre. Der Grund ist, dass sich der Schaden, wenn er eintritt, nicht rückgängig machen lässt.
| Art der Daten | Darf sie hinein? | Warum |
|---|---|---|
| Veröffentlichte Texte, eigene Marketingentwürfe, allgemeine Fragen | Ja | Nichts davon ist geheim |
| Interne Abläufe und Notizen ohne Namen | Ja, im freigegebenen Tool | Geringer Schaden, und die Bedingungen sind geprüft |
| Personenbezogene Daten von Kunden oder Mitarbeitern | Nur mit Vertrag und Rechtsgrundlage | Für sie gilt die DSGVO |
| Verträge und Dokumente unter einer Geheimhaltungsvereinbarung | Nein, außer die andere Partei hat zugestimmt | Sie haben jemand anderem Vertraulichkeit zugesagt |
| Unveröffentlichte Zahlen, Preise und Pläne | Nein, oder nur in einem dafür freigegebenen Tool | Der Schaden eines Lecks lässt sich nicht rückgängig machen |
| Passwörter, Zugangsschlüssel, Bankdaten | Nie | Keine Aufgabe braucht sie, und wer sie hat, hat das Konto |
Eine nützliche Gewohnheit deckt viele Fälle ab: Entfernen Sie die Namen. Ein Beschwerdebrief, in dem Name, Adresse und Bestellnummer des Kunden durch Platzhalter ersetzt sind, lässt sich meist genauso gut zusammenfassen oder beantworten.
Wie machen Sie die KI-Nutzung im Unternehmen sicher?
Sie wählen ein Tool, prüfen es einmal und geben den Mitarbeitern eine kurze Regel. KI-Tools ganz zu verbieten funktioniert selten: Die Leute nutzen dann private Konten, und dann ist gar nichts geprüft.
- Herausfinden, was genutzt wirdFragen Sie die Mitarbeiter, welche Tools sie heute wofür nutzen. Fragen Sie ohne Vorwurf, sonst bekommen Sie nicht die wahre Liste.
- Ein Tool und einen Tarif wählenNehmen Sie einen Tarif mit Firmenkonten und prüfen Sie die fünf Punkte oben. Schreiben Sie die Antworten auf.
- Die Regel schreibenEine Seite: welches Tool, was hineindarf, was nie hineingehört, wen man fragt.
- Sie erklärenFünfzehn Minuten in einer Teambesprechung, mit Beispielen aus Ihrer eigenen Arbeit, bewirken mehr als ein Dokument, das niemand öffnet.
- Sie überprüfenSehen Sie sich Bedingungen und Regel einmal im Jahr wieder an, und immer dann, wenn der Anbieter Änderungen ankündigt.
Die Regel selbst kann so kurz sein:
So machen wir es
Wenn wir KI in die Arbeit eines Unternehmens einbauen, entscheiden wir zuerst, welche Daten die Aufgabe braucht und welche nicht, und gehen die fünf Punkte oben für die beteiligten Tools mit Ihnen durch. Zugriffsrechte sind geklärt, bevor ein Assistent irgendeine interne Datei bekommt. Informationen unserer Kunden geben wir nie weiter.
Soll ein Assistent aus internen Dateien antworten, werden Zugriffsrechte zur zentralen Frage; wie das gebaut wird, steht unter KI-Assistenten. Wo die Dokumente und Backups liegen, gehört zum selben Bild und ist unter Sicherheit und Backups beschrieben.
Fragen, die wir oft hören
Möchten Sie das erledigt haben, ohne es selbst zu tun?
Erzählen Sie uns, woran Sie arbeiten. Innerhalb eines Werktags antwortet Ihnen ein Mensch.