Ihre Leute nutzen ChatGPT. Die Frage ist nicht ob, sondern womit.

Machen wir uns nichts vor: In Ihrem Betrieb nutzt längst jemand ChatGPT. Der Meister formuliert damit die Mahnung, die Bürokraft die Antwort an den schwierigen Kunden, der Azubi den Berichtsheft-Eintrag. Meist auf dem privaten Handy, mit dem privaten Konto, in der Pause. Sie können das verbieten. Dann passiert es weiter, nur ohne Sie.

Warum das private Konto ein Problem ist

Stellen Sie sich einen Praktikanten vor, der ein hervorragendes Gedächtnis hat, alles mitschreibt, was Sie ihm diktieren, und die Notizen abends in einem Büro in Kalifornien abheftet. Er ist fleißig und schnell. Sie haben nur keinen Vertrag mit ihm, keine Verschwiegenheit, und ob er aus Ihren Notizen lernt und sie beim nächsten Kunden wiederverwendet, steht in Einstellungen, die niemand gelesen hat.

Genau das ist ein privates KI-Konto. Konkret:

• Kein Auftragsverarbeitungsvertrag. Sobald personenbezogene Daten — ein Kundenname, eine Adresse, eine Krankmeldung — in ein System gehen, das nicht Ihres ist, brauchen Sie nach Artikel 28 DSGVO einen Vertrag mit dem Anbieter. Mit einem Privatkonto haben Sie keinen.
• Training mit Ihren Eingaben. Bei Privatkonten ist die Nutzung Ihrer Eingaben zur Verbesserung der Modelle je nach Anbieter voreingestellt und muss aktiv abgeschaltet werden. Wer das nicht tut, füttert das Modell mit seinen Angebotskalkulationen.
• Verarbeitung außerhalb der EU. Ob und wo die Daten liegen, hängt vom Vertrag ab — und ohne Vertrag haben Sie darauf keinen Einfluss.
• Kein Protokoll. Sie wissen nicht, was drin ist. Der Datenschutzbeauftragte auch nicht. Der Kunde, der fragt, auch nicht.

Die Ampel, die auf eine Seite passt

Regeln, die niemand liest, gibt es genug. Was funktioniert, ist eine Ampel mit Beispielen aus dem eigenen Betrieb. Unsere Vorlage, die wir mit Kunden anpassen:

Grün — darf in jede KI, auch privat: öffentliche Informationen, allgemeine Formulierungshilfen („Schreib das höflicher“), Texte ohne Personenbezug und ohne Betriebsgeheimnis, Recherche zu Normen, Übersetzungen von Texten ohne Kundendaten.

Gelb — nur mit Business-Vertrag und Freigabe: interne Zahlen, Angebote ohne Kundennamen, Protokolle interner Besprechungen, Marketingtexte mit Firmeninterna, Auswertungen von eigenen Daten. Hier braucht es einen Anbieter mit Auftragsverarbeitungsvertrag, keine Trainingsnutzung, und jemanden, der das freigegeben hat.

Rot — nie in fremde KI, egal mit welchem Vertrag: Kundendaten mit Namen, Personaldaten, Gesundheitsdaten (Krankmeldung, Reha, Schwangerschaft), Bewerbungen, Verträge, Konstruktionsdaten und Zeichnungen, Zugangsdaten und Passwörter. Diese Daten gehören in ein System, das bei Ihnen läuft — oder in gar keines.

Rot heißt nicht „KI verboten“. Rot heißt: Diese Daten verlassen das Haus nicht. Die KI kommt dann eben ins Haus.

Drei Regeln, die immer gelten

1. Ein Mensch gibt frei. KI-Entwürfe gehen nicht ungeprüft an Kunden, Behörden oder Mitarbeiter. Wer den Text abschickt, steht dafür gerade — nicht die Maschine.
2. Ergebnisse prüfen. Sprachmodelle erfinden Normen, Paragraphen und Preise mit demselben Selbstbewusstsein, mit dem sie Richtiges sagen. Jede Zahl, jede Rechtsangabe, jede Zusage wird gegengelesen.
3. Keine Leistungskontrolle durch die Hintertür. KI darf Mails sortieren, aber nicht Mitarbeiter bewerten. Wo ein Betriebsrat existiert, hat er bei technischen Systemen ohnehin ein Wort mitzureden (§ 87 BetrVG). Lieber vorher reden als hinterher.

Und das Business-Konto? Reicht das nicht?

Es ist der ehrliche Mittelweg für viele Betriebe: Team- oder Enterprise-Versionen der großen Anbieter kommen mit Auftragsverarbeitungsvertrag, ohne Trainingsnutzung, mit Verwaltung durch Sie. Damit wird Gelb erlaubt. Rot bleibt Rot — denn ein Vertrag ändert nichts daran, dass Ihre Konstruktionsdaten dann auf fremden Servern liegen und Sie beim nächsten Preis- oder Bedingungswechsel zuschauen dürfen.

Deshalb setzen wir bei unseren Kunden auf die Reihenfolge: KI im eigenen Netzwerk als Standard, ein Cloud-Dienst mit Vertrag für die Fälle, in denen er wirklich besser ist, und die Ampel auf einer Seite für alles andere. Dann ist die Frage „Darf ich das in ChatGPT tun?“ keine Gewissensfrage mehr, sondern ein Blick auf ein Blatt Papier.

Stand September 2026. Anbieterbedingungen ändern sich laufend; prüfen Sie die konkreten Vertragsbedingungen, bevor Sie Gelb freigeben. Rechtsberatung ersetzen wir nicht. Die Ampel liefern wir als Teil jeder Schulung und jedes Projekts mit.