Unternehmensdaten in der KI: Welche Lösungen verhindern unerwünschte Datenweitergabe?

Unternehmensdaten bleiben bei KI-Nutzung nur dann kontrollierbar, wenn Technik, Vertrag und betriebliche Regeln zusammenpassen. Für kleine Unternehmen kommen vor allem vier Lösungswege infrage: Geschäftskonten mit zugesichertem Schutz der Eingaben, KI-Dienste über eine verwaltete Cloud-Plattform, selbst betriebene Modelle sowie vorgeschaltete Filter- und Anonymisierungssysteme. Der erste Schritt ist nicht die Produktauswahl, sondern die Einteilung der Daten danach, was überhaupt an einen externen KI-Dienst übermittelt werden darf.

Eine pauschale Aussage wie „Die Daten werden nicht zum Training verwendet“ reicht als Schutzversprechen nicht aus. Zu prüfen sind außerdem Speicherung, Protokollierung, Unterauftragnehmer, Drittlandtransfers, Zugriffsrechte, angebundene Erweiterungen und die Möglichkeit, Inhalte aus Ausgaben anderer Nutzer auszuschließen. Besonders schutzbedürftige Kunden-, Beschäftigten-, Vertrags- und Zugangsdaten gehören ohne freigegebenen Prozess nicht in frei zugängliche KI-Werkzeuge.

Vier Lösungswege mit unterschiedlichen Schutzwirkungen

Die geeignete Lösung hängt davon ab, welche Daten verarbeitet werden, wie viel technische Kontrolle benötigt wird und wer den Betrieb übernehmen kann. Die folgenden Ansätze lassen sich nach denselben fünf Kriterien bewerten: Trainingsnutzung, Speicherbarkeit, Betriebsort, administrative Kontrolle und interner Aufwand.

Geschäftstarife öffentlicher KI-Dienste

Geschäftskonten wie ChatGPT Business oder ChatGPT Enterprise sind für Unternehmen eher geeignet als private oder kostenlose Konten, sofern die geltenden Vertragsbedingungen die Nutzung von Geschäftsdaten für das allgemeine Modelltraining ausschließen. Solche Tarife können zusätzlich zentrale Benutzerverwaltung, Rollen, Protokolle oder Anmeldeverfahren für Unternehmen bieten. Der genaue Umfang unterscheidet sich nach Tarif und kann sich ändern.

• Trainingsnutzung: häufig vertraglich anders geregelt als bei Privatkonten; die gültige Datenschutz- und Produktdokumentation muss dies ausdrücklich bestätigen.
• Speicherung: meist nicht vollständig ausgeschlossen; Aufbewahrungsdauer und Löschmöglichkeiten sind separat zu prüfen.
• Betriebsort: liegt beim Anbieter und dessen Unterauftragnehmern.
• Kontrolle: zentrale Kontenverwaltung ist möglich, die technische Plattform bleibt jedoch fremdbetrieben.
• Aufwand: vergleichsweise gering, sofern keine sensiblen Systeme angebunden werden.

Dieser Weg passt vor allem zu freigegebenen Textarbeiten mit niedrigem Schutzbedarf, etwa dem sprachlichen Überarbeiten einer bereits anonymisierten Produktbeschreibung. Er ist weniger geeignet, wenn Beschäftigtendaten, unveröffentlichte Kalkulationen, Zugangsdaten oder vollständige Kundenakten verarbeitet werden sollen.

Verwaltete KI über eine Cloud-Plattform

Plattformen wie Azure OpenAI, AWS Bedrock oder Google Vertex AI binden generative Modelle in eine administrierbare Cloud-Umgebung ein. Gegenüber einem frei verwendeten Chatfenster lassen sich Identitäten, Netzwerkzugriffe, Protokolle und Datenquellen häufig stärker in die bestehende IT-Steuerung einbeziehen. Welche Modellanbieter, Regionen, Protokolloptionen und Speicherbedingungen verfügbar sind, muss für das gewählte Konto und den jeweiligen Dienst geprüft werden.

• Trainingsnutzung: muss in den dienstbezogenen Bedingungen und nicht nur in einer allgemeinen Cloud-Werbeaussage geregelt sein.
• Speicherung: kann nach Funktion variieren, etwa zwischen Modelleingabe, Sicherheitsprotokoll und angebundener Suchdatenbank.
• Betriebsort: Regionen können auswählbar sein, wobei Support- und Telemetriedaten gesondert zu betrachten sind.
• Kontrolle: Rollen, Schlüsselverwaltung, Netzgrenzen und Überwachung lassen sich eher in bestehende Strukturen einpassen.
• Aufwand: höher als bei einem fertigen Geschäftskonto; Einrichtung und laufende Kontrolle benötigen klare Zuständigkeiten.

Eine verwaltete Plattform eignet sich, wenn ein Unternehmen KI in eigene Anwendungen oder interne Wissenssuchen integrieren möchte. Sie verhindert die Weitergabe jedoch nicht automatisch. Eine falsch konfigurierte Schnittstelle, zu weit gefasste Benutzerrechte oder eine ungeschützte Protokollierung können trotz geeigneter Plattform Daten offenlegen.

Selbst gehostete oder lokal ausgeführte Modelle

Ein lokal oder in einer eigenen Serverumgebung betriebenes Modell kann Eingaben innerhalb der kontrollierten Infrastruktur halten. Dafür kommen offen verfügbare Modellfamilien und darauf aufbauende Unternehmenslösungen infrage. Die tatsächliche Eignung hängt von Lizenz, Modellgröße, Hardware, Aktualisierung, Administrationsoberfläche und Sicherheitskonzept ab.

• Trainingsnutzung: Eingaben werden nicht allein durch den Modellbetrieb an einen externen KI-Anbieter übertragen.
• Speicherung: wird durch die eigene Anwendung, Protokollierung und Datensicherung bestimmt.
• Betriebsort: lokal, im eigenen Rechenzentrum oder in einer ausgewählten privaten Cloud-Umgebung.
• Kontrolle: hoch, sofern Betriebssystem, Modellserver, Wissensdatenbank und Benutzerrechte tatsächlich selbst verwaltet werden.
• Aufwand: ebenfalls hoch; Updates, Absicherung, Kapazität und Fehlerbehebung liegen beim Unternehmen oder Dienstleister.

Selbsthosting ist kein automatischer Datenschutzgarant. Greift die Anwendung auf externe Übersetzungsdienste, Telemetrie, Erweiterungen oder Modell-Endpunkte zu, können Daten die eigene Umgebung trotzdem verlassen. Auch ein lokal betriebenes Modell darf nicht jedem Beschäftigten uneingeschränkten Zugriff auf sämtliche internen Dokumente geben.

Datenschutz-Gateway vor dem KI-Dienst

Ein KI-Gateway sitzt zwischen den Beschäftigten und einem oder mehreren Modellen. Es kann Eingaben nach Regeln prüfen, personenbezogene Merkmale ersetzen, Geheimnisse wie Zugangsschlüssel erkennen, gesperrte Inhalte blockieren und die Nutzung protokollieren. Dazu zählen eigenständige Sicherheitsprodukte ebenso wie intern entwickelte Vermittlungsdienste.

• Trainingsnutzung: richtet sich weiterhin nach dem nachgelagerten KI-Anbieter.
• Speicherung: entsteht möglicherweise zusätzlich im Gateway; dessen Protokolle benötigen eigene Lösch- und Zugriffsvorgaben.
• Betriebsort: hängt vom Gateway und vom verwendeten Modell-Endpunkt ab.
• Kontrolle: einheitliche Regeln lassen sich vor mehreren KI-Diensten durchsetzen.
• Aufwand: mittelhoch bis hoch, weil Erkennungsregeln getestet und Fehlentscheidungen bearbeitet werden müssen.

Ein Gateway ist besonders nützlich, wenn mehrere Teams KI einsetzen und reine Schulungsregeln nicht genügen. Es ersetzt weder eine zulässige Rechtsgrundlage für personenbezogene Daten noch einen passenden Vertrag mit dem eigentlichen KI-Anbieter.

Die entscheidende Grenze liegt vor der Eingabe

Technische Schutzfunktionen wirken erst zuverlässig, wenn das Unternehmen festlegt, welche Informationen in welchem System verarbeitet werden dürfen. Eine einfache Klassifizierung mit drei Stufen ist für viele kleine Betriebe praktikabler als ein umfangreiches Regelwerk.

1. Freigegebene Daten: bereits veröffentlichte Inhalte, allgemeine Produktinformationen oder interne Texte ohne Personenbezug und Geschäftsgeheimnisse. Sie können in einem genehmigten Geschäftskonto verarbeitet werden.
2. Interne Daten: nicht veröffentlichte Abläufe, Entwürfe, Angebote oder Auswertungen. Ihre Nutzung setzt einen freigegebenen Dienst, begrenzte Benutzerrechte und eine dokumentierte Zweckentscheidung voraus.
3. Besonders geschützte Daten: personenbezogene Kunden- und Beschäftigtendaten, Gesundheitsangaben, Zugangsdaten, private Schlüssel, vertrauliche Vertragsinhalte und wesentliche Geschäftsgeheimnisse. Sie dürfen nur in einer eigens dafür geprüften Umgebung verarbeitet werden; häufig ist zuvor eine Anonymisierung oder ein vollständiger Ausschluss sinnvoll.

Die Einteilung muss auch für Dateiuploads gelten. Eine Tabellenkalkulation mit Kundennummern, versteckten Spalten und Kommentaren enthält mehr Informationen als der sichtbare Ausschnitt. Bei PDF-Dateien können Metadaten, Anhänge oder nicht sichtbare Texte hinzukommen. Beschäftigte sollten deshalb nicht nur den beabsichtigten Absatz, sondern die gesamte hochgeladene Datei beurteilen.

„Kein Training“ deckt nur einen Übertragungsweg ab

Unerwünschte Datenweitergabe kann an mehreren Stellen entstehen. Ein Anbieter kann Eingaben vom allgemeinen Training ausnehmen und sie dennoch zeitweise für Missbrauchserkennung, technische Protokolle oder Supportzwecke speichern. Daneben können verbundene Werkzeuge Daten an weitere Empfänger senden.

• Chatverläufe und hochgeladene Dateien können im Benutzerkonto erhalten bleiben.
• Browser-Erweiterungen oder KI-Plug-ins können Inhalte an eigene Dienste übertragen.
• Eine interne Wissenssuche kann Dokumente Personen anzeigen, die im Ursprungssystem keine Berechtigung besitzen.
• Protokolle können vollständige Eingaben, Ausgaben oder Fehlermeldungen enthalten.
• Vom Modell erzeugte Antworten können vertrauliche Inhalte in E-Mails, Tickets oder gemeinsame Dokumente übernehmen.
• Private Konten entziehen sich häufig der zentralen Löschung und Rechteverwaltung.

Die Prüfung muss daher den gesamten Datenfluss abbilden: vom Arbeitsplatz über das Benutzerkonto und mögliche Erweiterungen bis zum Modell, zur Protokollierung und zum Zielsystem der Ausgabe. Erst wenn für jede Station Verantwortlichkeit, Zweck, Zugriff und Löschung feststehen, lässt sich die Lösung belastbar freigeben.

Auswahlprüfung für einen kleinen Betrieb

Ein Anbieter sollte nicht anhand eines einzelnen Datenschutz-Siegels ausgewählt werden. Die folgende Reihenfolge trennt Ausschlusskriterien von Funktionen, die erst später bewertet werden müssen.

1. Anwendungsfall begrenzen: Beschreiben Sie, welche Beschäftigten welche Daten für welchen Arbeitsschritt verarbeiten sollen. „Allgemeine KI-Nutzung“ ist keine ausreichende Zweckbeschreibung.
2. Datenarten festhalten: Prüfen Sie Personenbezug, Geschäftsgeheimnisse, Berufsgeheimnisse, Vertragsbindungen und Rechte Dritter. Nicht benötigte Merkmale werden vor der Übermittlung entfernt.
3. Vertragsrolle klären: Bei Verarbeitung personenbezogener Daten ist zu prüfen, ob der Anbieter als Auftragsverarbeiter tätig wird und ob ein Vertrag nach Artikel 28 DSGVO erforderlich und verfügbar ist.
4. Übermittlungen prüfen: Empfänger, Unterauftragnehmer und mögliche Übermittlungen außerhalb des Europäischen Wirtschaftsraums müssen nachvollziehbar sein. Für Drittlandtransfers gelten zusätzlich die Anforderungen des fünften Kapitels der DSGVO.
5. Produktregeln lesen: Maßgeblich sind die Bedingungen des tatsächlich gebuchten Tarifs und der genutzten Funktion. Aussagen zu einer Unternehmensversion dürfen nicht auf Privatkonten, Vorschaufunktionen oder fremde Erweiterungen übertragen werden.
6. Technische Steuerung testen: Verlangen Sie Rollenrechte, zentrale Kontosperrung, geeignete Anmeldeverfahren, Löschmöglichkeiten und steuerbare Protokolle. Prüfen Sie mit Testdaten, ob gesperrte Eingaben und unerlaubte Dateitypen wirklich blockiert werden.
7. Freigabe dokumentieren: Halten Sie erlaubte Anwendungsfälle, ausgeschlossene Daten, verantwortliche Person, Prüfdatum und nächste Überprüfung fest.

Für Datenschutzfragen sind insbesondere die Grundsätze aus Artikel 5 DSGVO, die Anforderungen an Auftragsverarbeitung nach Artikel 28 und die Sicherheit der Verarbeitung nach Artikel 32 relevant. Ob zusätzlich eine Datenschutz-Folgenabschätzung nach Artikel 35 nötig ist, hängt von Art, Umfang, Umständen und Risiken der geplanten Verarbeitung ab. Diese Beurteilung sollte bei sensiblen Daten oder systematischer Bewertung von Personen mit fachkundiger Datenschutzberatung erfolgen.

Rollen und Nachweise statt einer bloßen Verbotsregel

Ein pauschales KI-Verbot führt leicht dazu, dass Beschäftigte private Konten oder nicht freigegebene Werkzeuge verwenden. Wirksamer ist ein kleiner, nachvollziehbarer Freigabeprozess. In einem Handwerksbetrieb oder einer Agentur kann die Geschäftsführung die Verantwortung tragen, während eine technisch zuständige Person Konten und Rechte verwaltet. Datenschutzbeauftragte sind einzubeziehen, sofern sie bestellt sind und die Verarbeitung ihren Aufgabenbereich berührt.

Zur internen Dokumentation gehören mindestens:

• Bezeichnung von Anbieter, Tarif, Funktion und angeschlossenen Erweiterungen,
• zugelassene Nutzergruppen und Anwendungsfälle,
• erlaubte und ausgeschlossene Datenklassen,
• Vertrag zur Auftragsverarbeitung und geprüfte Unterauftragnehmer, soweit einschlägig,
• Speicher-, Lösch- und Protokolleinstellungen,
• Regelung für Vorfälle, fehlerhafte Ausgaben und den Entzug von Zugängen,
• Datum, Verantwortlichkeit und Anlass der nächsten Überprüfung.

Die Kontrolle darf sich nicht auf den Einkauf beschränken. Neue Funktionen wie Webzugriff, Dateiablagen, Besprechungsaufzeichnung oder externe Aktionen können den Datenfluss wesentlich verändern. Solche Funktionen sollten bis zu einer erneuten Prüfung deaktiviert bleiben, wenn ihr Übertragungsweg nicht geklärt ist.

Welche Lösung passt zu welcher Ausgangslage?

Für allgemeine Formulierungsaufgaben mit anonymisierten Inhalten kann ein zentral verwalteter Geschäftstarif ausreichen, wenn Trainingsausschluss, Auftragsverarbeitung, Speicherregeln und Kontenverwaltung geprüft sind. Ein frei verwendetes Privatkonto ist dafür keine gleichwertige Alternative, weil betriebliche Vertrags- und Steuerungsmöglichkeiten fehlen können.

Eine verwaltete Cloud-KI ist meist geeigneter, wenn Anwendungen über Schnittstellen angebunden werden, mehrere Datenquellen zusammenarbeiten oder Rollen und Netzgrenzen in die bestehende IT integriert werden sollen. Sie verlangt jedoch mehr Konfiguration und eine Prüfung jeder aktivierten Modell- und Zusatzfunktion.

Selbsthosting bietet die größte technische Kontrolle über den Betriebsort, verursacht aber den höchsten internen Betriebsaufwand. Es ist vor allem dann sinnvoll, wenn Daten die kontrollierte Infrastruktur nicht verlassen sollen und der Betrieb dauerhaft abgesichert werden kann. Fehlen Fachwissen, Aktualisierungsprozesse oder Zugriffsverwaltung, kann eine professionell verwaltete Umgebung sicherer sein als ein schlecht gepflegter lokaler Server.

Ein KI-Gateway ergänzt diese Wege, wenn Regeln technisch durchgesetzt werden müssen. Es ist keine eigenständige Antwort auf alle Datenschutzfragen, kann aber verhindern, dass typische Geheimnisse oder nicht freigegebene Daten ungeprüft an verschiedene Modelle gelangen.

Freigabe erst nach einem begrenzten Testbetrieb

Ein kleiner Test mit künstlichen oder vollständig anonymisierten Daten zeigt, ob Rollen, Sperren, Löschung und Protokollierung wie vorgesehen funktionieren. Dabei sollte das Unternehmen auch prüfen, ob Nutzer frühere Unterhaltungen anderer Personen sehen können, ob Dateien nach dem Löschen des Chats erhalten bleiben und welche Daten in Administrationsprotokollen erscheinen.

Die tragfähige Entscheidung lautet selten „Cloud oder lokal“ allein. Maßgeblich ist die Kombination aus Datenklasse, Vertrag, technischer Architektur und betrieblicher Kontrolle. Für viele kleine Unternehmen ist ein zentral verwalteter Geschäftszugang mit klar begrenzten Anwendungsfällen der praktikable Einstieg. Sensible Daten benötigen dagegen eine gesondert geprüfte Cloud-Architektur, ein abgesichertes Selbsthosting oder den vollständigen Ausschluss aus der KI-Verarbeitung.