KI im Unternehmen: So nutzen Sie ChatGPT, Claude und Langdock DSGVO-konform

Mitarbeitende kopieren Bewerbungsunterlagen in ChatGPT. Eine Marketingkollegin lässt sich von Claude ein Kundenangebot umformulieren. Die Geschäftsführung diktiert Gesprächsnotizen in eine KI-Transkription. In den meisten Unternehmen passiert das längst täglich, nur ohne Regeln, ohne Freigabe und meist ohne dass der Datenschutz davon weiß. Genau da wird es heikel. Vorweg ein wichtiger Punkt: KI im Unternehmen ist nicht verboten. Sobald personenbezogene Daten in einen Prompt fließen, gelten allerdings dieselben Regeln wie bei jeder anderen Verarbeitung auch. Wer das berücksichtigt, kann KI produktiv und rechtssicher einsetzen.

Warum ChatGPT und Claude im Standard nicht DSGVO-konform sind

Die Free- und Plus-Varianten der bekannten US-Anbieter haben aus Datenschutzsicht drei Grundprobleme. Erstens der Datenstandort: Server stehen in den USA, US-Behörden können über den CLOUD Act zugreifen, auch wenn die Verarbeitung in EU-Regionen läuft. Zweitens werden Eingaben in den Consumer-Versionen standardmäßig zur Modellverbesserung verwendet. Drittens fehlt der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, ohne den gar keine personenbezogenen Daten übertragen werden dürfen. OpenAI bietet inzwischen Enterprise- und API-Tarife mit besseren Bedingungen: kein Training, AVV unterzeichnet, EU-Regionen wie Frankfurt oder Dublin wählbar. Anthropic verfährt bei Claude vergleichbar. Damit sind die Tools für viele Anwendungsfälle nutzbar. Die Verantwortung für den korrekten Einsatz bleibt aber beim Unternehmen.

Wer in Free- oder Plus-Konten Kundendaten, Personalakten oder Geschäftsgeheimnisse eingibt, riskiert nicht nur Bußgelder nach DSGVO. Der bekannte Samsung-Vorfall, bei dem interner Quellcode in ChatGPT landete, hat 2023 gezeigt, wie schnell Geschäftsgeheimnisse verloren gehen.

DSGVO und EU AI Act: zwei Regelwerke parallel

Beim KI-Einsatz greifen mindestens zwei Rechtsrahmen ineinander. Die DSGVO regelt den Umgang mit personenbezogenen Daten, also auch alles, was in einen Prompt fließt oder als Antwort herauskommt. Der EU AI Act regelt das KI-System selbst, abhängig von seiner Risikoklasse. Beide Regelwerke gelten parallel. Aus der DSGVO ergeben sich für den KI-Einsatz im Wesentlichen folgende Pflichten: eine tragfähige Rechtsgrundlage nach Art. 6 (Einwilligung, Vertragserfüllung oder berechtigtes Interesse), Informationspflichten nach Art. 13 und 14 mit angepasster Datenschutzerklärung, das Gebot der Datenminimierung nach Art. 5, ein Auftragsverarbeitungsvertrag nach Art. 28 mit jedem KI-Anbieter, eine Datenschutz-Folgenabschätzung nach Art. 35 bei hohem Risiko sowie das Verbot rein automatisierter Einzelentscheidungen mit rechtlicher Wirkung nach Art. 22. Letzteres ist besonders bei Bewerber-Screening, Bonitätsbewertung oder automatischen Kündigungsentscheidungen relevant.

Der EU AI Act bringt zusätzliche Pflichten zu Transparenz und Kennzeichnung KI-generierter Inhalte, für Hochrisiko-Systeme auch umfangreiche Dokumentations- und Aufsichtspflichten. Wichtige Fristen laufen im August 2026 und August 2027 ab. Die Datenschutzkonferenz (DSK) hat in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz" beschrieben, wie die deutschen Aufsichtsbehörden die Lage einschätzen.

Schatten-KI: das unterschätzte Risiko

Solange Unternehmen keine klaren Regeln aufstellen, suchen sich Mitarbeitende ihre eigenen Tools. Dieses Phänomen heißt Schatten-KI. Die Risiken sind in der Praxis konkret: Vertrauliche oder personenbezogene Daten landen auf nicht geprüften Servern. Es gibt weder AVV noch Dokumentation, und bei einer Datenpanne fehlt jede Reaktionsmöglichkeit. Kommt eine Aufsichtskontrolle, kann das Unternehmen nichts vorweisen. Das wirksamste Mittel dagegen ist pragmatisch: eine verbindliche KI-Richtlinie, ein oder zwei offiziell freigegebene Tools und eine kurze Mitarbeiterschulung. Die meisten Kolleginnen und Kollegen nutzen ohnehin lieber das, was erlaubt ist, sobald sie wissen, was das ist.

Langdock und andere europäische Alternativen

Im deutschen Mittelstand hat sich Langdock als pragmatische Lösung etabliert. Das Berliner Unternehmen bündelt GPT, Claude, Gemini, Mistral und über vierzig weitere Modelle in einer Oberfläche, die in der EU gehostet wird und nach ISO 27001 sowie SOC 2 Type II zertifiziert ist. Eingaben werden nicht zum Training verwendet, sensible Inhalte können vor der Weitergabe an die Modelle anonymisiert werden, und Administratoren steuern, welche Mitarbeitenden welche Modelle nutzen dürfen.

Ein realistischer Blick gehört dazu: Sobald Langdock eine Anfrage an GPT oder Claude weiterleitet, läuft sie über die Infrastruktur des jeweiligen US-Anbieters. Die Plattform sorgt für vertragliche Absicherung, EU-Hosting der eigenen Komponenten und Filterfunktionen, hebt aber den CLOUD Act nicht auf. Für die meisten B2B-Anwendungsfälle ist das ein vertretbarer Kompromiss. Wer mit besonders sensiblen Daten arbeitet, etwa Gesundheits-, Sozial- oder Mandantsdaten, sollte zusätzlich rein europäische Modelle wie Mistral, lokale Open-Source-Modelle oder dedizierte Tenant-Lösungen prüfen. Weitere Alternativen mit unterschiedlichem Funktionsumfang sind DeutschlandGPT, Omnifact, InnoGPT, CompanyGPT oder der Eigenbetrieb auf Basis von Open-Source-Modellen wie Mistral, Llama oder Apertus über Plattformen wie OpenWebUI oder Ollama.

Ein realistischer Fahrplan für die nächsten Monate

Wie sieht das praktisch aus? Ein typischer Ablauf für einen mittelständischen Betrieb umfasst sieben Schritte:

1. Bestandsaufnahme der eingesetzten und inoffiziell genutzten KI-Tools.
2. Entscheidung für ein oder zwei freigegebene Tools, etwa Langdock, Microsoft Copilot mit Enterprise-Konfiguration oder ChatGPT Enterprise mit EU-Region.
3. AVV abschließen, Datenschutzerklärung anpassen, gegebenenfalls Standardvertragsklauseln für den Drittlandtransfer prüfen.
4. KI-Verarbeitungen ins Verzeichnis der Verarbeitungstätigkeiten aufnehmen, TOMs ergänzen, bei hohem Risiko eine DSFA durchführen.
5. Eine kurze, lesbare KI-Richtlinie schreiben: Welche Daten dürfen rein, welche nicht, welche Tools sind freigegeben.
6. Eine kompakte Schulung für alle Mitarbeitenden mit echten Beispielen aus dem Arbeitsalltag, nicht mit Paragrafen-Folien.
7. Nach drei bis sechs Monaten ein kurzes Datenschutz-Audit, ob die Regeln im Alltag tatsächlich gelebt werden.

Wo Mprotect365 unterstützt

Mprotect365 begleitet Unternehmen in ganz Deutschland bei genau diesen Schritten. Als externer Datenschutzbeauftragter übernehmen wir die formale Rolle, prüfen die eingesetzten KI-Tools, erstellen die nötige Dokumentation und beraten bei der Tool-Auswahl. Über unsere Datenschutz-Management-Software bleiben Verzeichnisse, Verträge und Schulungsnachweise an einer Stelle zusammen, auch für KI-Verarbeitungen. Vertiefende Hintergründe zum Thema finden Sie auf unserer Seite zu KI und Datenschutz im Unternehmen.

Verbieten lässt sich KI im Mittelstand ohnehin nicht mehr, und das wäre auch der falsche Weg. Klare Regeln, freigegebene Tools und geschulte Mitarbeitende lösen die meisten Probleme. Der Rest ist Handwerk.