ChatGPT wird mittlerweile in vielen Unternehmen ganz selbstverständlich verwendet. Mitarbeiter lassen E-Mails formulieren, Texte zusammenfassen, Excel Formeln erklären oder Ideen für Präsentationen erstellen.
Das Problem ist nur: Oft weiß niemand so genau, welche Informationen eigentlich in ChatGPT eingegeben werden dürfen. Darf ein Mitarbeiter eine Kunden E Mail kopieren? Darf ein Angebot hochgeladen werden? Was ist mit internen Dokumenten? Und dürfen personenbezogene Daten verarbeitet werden? Genau hier sollten Unternehmen klare Regeln schaffen. Denn ChatGPT kann im Arbeitsalltag sehr hilfreich sein. Gleichzeitig können unbedachte Eingaben schnell zu einem Datenschutz oder Sicherheitsproblem werden.
Das eigentliche Problem ist nicht ChatGPT
Viele Unternehmen diskutieren zunächst darüber, ob ChatGPT grundsätzlich erlaubt oder verboten werden sollte. Unserer Meinung nach greift diese Frage zu kurz. Denn Mitarbeiter verwenden KI Werkzeuge häufig ohnehin. Teilweise am Firmencomputer. Teilweise über ein privates Konto. Und manchmal sogar über das private Smartphone. Ein komplettes Verbot löst das Problem deshalb nicht unbedingt.
Viel wichtiger ist die Frage: Wie kann ChatGPT im Unternehmen kontrolliert und sinnvoll eingesetzt werden? Dafür müssen Mitarbeiter zunächst wissen, welche Informationen sie eingeben dürfen und welche nicht.
Grundregel: Keine sensiblen Daten ohne klare Freigabe
Eine einfache Grundregel für Unternehmen lautet:
Mitarbeiter sollten keine vertraulichen, personenbezogenen oder geschäftskritischen Informationen in ein KI System eingeben, solange nicht klar geregelt wurde, ob und wie diese Daten verarbeitet werden dürfen.
Das klingt zunächst sehr streng.
In der Praxis lässt sich damit aber relativ einfach arbeiten.
Ein allgemeiner Text ohne sensible Informationen ist normalerweise deutlich unkritischer als eine komplette Kundenakte.
Was können Mitarbeiter normalerweise eingeben?
Viele alltägliche Aufgaben lassen sich erledigen, ohne sensible Unternehmensdaten anzugeben.
Zum Beispiel:
- einen neutralen Text professioneller formulieren
- eine allgemeine E Mail Vorlage erstellen
- Ideen für einen Blogartikel sammeln
- eine Excel Formel erklären lassen
- einen Text auf Rechtschreibfehler prüfen
- allgemeine Informationen zusammenfassen
- eine Gliederung für eine Präsentation erstellen
- Formulierungen für Stellenanzeigen vorbereiten
- allgemeine Fragen zu Software stellen
Ein Mitarbeiter könnte beispielsweise schreiben:
„Formuliere eine freundliche E Mail, in der wir einen Kunden über eine Terminverschiebung informieren.“
Dafür werden weder der Name des Kunden noch eine konkrete Auftragsnummer benötigt. Genau diese Denkweise ist wichtig. Man sollte ChatGPT nur die Informationen geben, die für die jeweilige Aufgabe tatsächlich erforderlich sind.
Kundendaten sollten besonders vorsichtig behandelt werden
Problematisch wird es häufig dann, wenn Mitarbeiter komplette Kunden E Mails in ChatGPT kopieren. In einer solchen Nachricht können beispielsweise enthalten sein:
- Name
- E Mail Adresse
- Telefonnummer
- Anschrift
- Kundennummer
- Vertragsinformationen
- Projektdetails
- Rechnungsdaten
- weitere personenbezogene Informationen
Viele dieser Daten werden für die eigentliche Aufgabe gar nicht benötigt. Wenn eine E Mail lediglich freundlicher formuliert werden soll, kann der Mitarbeiter sensible Informationen vorher entfernen.
Aus:
„Hallo Herr Müller, zu Ihrem Auftrag 12345 für die Musterstraße 10…“
kann beispielsweise werden:
„Hallo Kunde, zu Ihrem Auftrag…“
Die KI benötigt den echten Namen meistens überhaupt nicht.
Personenbezogene Daten sind nicht automatisch verboten
Hier entsteht häufig ein Missverständnis. Personenbezogene Daten dürfen nicht grundsätzlich niemals mit KI verarbeitet werden. Entscheidend ist unter anderem, wie das eingesetzte System eingerichtet wurde, welche rechtliche Grundlage vorhanden ist und welche organisatorischen sowie technischen Maßnahmen getroffen wurden. Unternehmen sollten deshalb nicht einfach pauschal sagen:
„Datenschutz bedeutet, dass keine personenbezogenen Daten in ChatGPT dürfen.“
Die tatsächliche Bewertung hängt vom jeweiligen Anwendungsfall ab.
Für Mitarbeiter ist eine einfachere interne Regel allerdings häufig sinnvoll:
Personenbezogene Daten nur dann eingeben, wenn das Unternehmen den jeweiligen Anwendungsfall ausdrücklich freigegeben hat und ein geeignetes System am laufen hat. Gerade bei häufigen fällen lohnt sich eine lokale eigene KI. Diese KI ist dann nur im eigenen Unternehmen erreichbar und die Daten bleiben innerhalb der Firma.
Was sollte niemals einfach kopiert werden?
Besonders vorsichtig sollte man bei vertraulichen Unternehmensinformationen sein.
Dazu gehören beispielsweise:
- Passwörter
- Zugangsdaten
- API Schlüssel
- private Schlüssel
- interne Administratorkonten
- vertrauliche Verträge
- unveröffentlichte Geschäftszahlen
- sensible Mitarbeiterinformationen
- Gesundheitsdaten
- vollständige Kundendatenbanken
- interne Sicherheitskonfigurationen
- Netzwerkpläne mit Zugangsinformationen
- vertraulicher Quellcode
- noch nicht veröffentlichte Produktinformationen
Ein Passwort gehört niemals in einen KI Chat. Das gilt übrigens nicht nur für ChatGPT. Zugangsdaten sollten grundsätzlich nicht unnötig in externe Dienste kopiert werden.
Der Unterschied zwischen privatem ChatGPT und ChatGPT Business
Für Unternehmen ist außerdem wichtig, zwischen verschiedenen ChatGPT Angeboten zu unterscheiden.
Bei ChatGPT für Privatnutzer können Inhalte abhängig von den Einstellungen zur Verbesserung der Modelle verwendet werden. Nutzer können diese Verwendung über die Datenkontrollen deaktivieren. (openai.com)
Bei ChatGPT Business und ChatGPT Enterprise werden Unternehmensdaten laut OpenAI dagegen standardmäßig nicht zum Training der Modelle verwendet. Das gilt für Eingaben und Ausgaben innerhalb dieser Geschäftskundenangebote. (openai.com)
Das ist für Unternehmen ein wichtiger Unterschied.
Trotzdem bedeutet eine Business Lizenz nicht automatisch:
„Jetzt dürfen alle Mitarbeiter alles eingeben.“
Auch innerhalb einer geschützten Unternehmensumgebung müssen Datenschutz, interne Berechtigungen und Vertraulichkeit berücksichtigt werden.
ChatGPT Business kann deutlich sinnvoller sein als private Konten
Ein typisches Problem entsteht, wenn Mitarbeiter ChatGPT selbstständig mit privaten Accounts verwenden. Die Geschäftsführung weiß dann häufig nicht:
- welche Mitarbeiter ChatGPT verwenden
- welches Konto verwendet wird
- welche Einstellungen aktiv sind
- welche Daten eingegeben werden
- ob Mitarbeiter nach einem Firmenwechsel noch Zugriff auf Daten haben
- wie die Nutzung organisatorisch geregelt ist
Eine zentrale Unternehmenslösung kann hier deutlich mehr Kontrolle schaffen.
Bei ChatGPT Business werden Workspace Daten laut OpenAI standardmäßig nicht zum Training verwendet und während der Übertragung sowie im Ruhezustand verschlüsselt. (openai.com)
Damit ist aber weiterhin eine interne Regelung notwendig. Technische Sicherheit ersetzt keine organisatorischen Vorgaben.
Mitarbeiter brauchen klare Regeln
Eine KI Richtlinie muss unserer Meinung nach nicht zwanzig Seiten lang sein. Gerade bei kleineren Unternehmen reichen häufig klare und verständliche Regeln. Zum Beispiel:
Erlaubt
- allgemeine Texte erstellen
- nicht vertrauliche Texte verbessern
- Ideen sammeln
- öffentlich verfügbare Informationen zusammenfassen
- allgemeine technische Fragen stellen
- anonymisierte Inhalte bearbeiten
Nur nach Freigabe und geeigneter KI-Umgebung
- personenbezogene Daten
- Kundeninformationen
- interne Dokumente
- Vertragsunterlagen
- Mitarbeiterinformationen
- Finanzdaten
- Quellcode
- projektbezogene vertrauliche Informationen
Nicht erlaubt
- Passwörter
- Zugangsdaten
- geheime Schlüssel
- hochsensible Informationen
- Daten, für deren Verarbeitung keine Freigabe besteht
- Geheim eingestufte Daten
Mit solchen einfachen Kategorien können Mitarbeiter deutlich besser arbeiten als mit einem allgemeinen Satz wie:
„Bitte beim Einsatz von KI auf Datenschutz achten.“
Anonymisieren statt einfach kopieren
Eine der einfachsten Methoden ist die Anonymisierung. Viele Aufgaben funktionieren genauso gut, wenn Namen und konkrete Informationen entfernt werden. Statt:
„Unser Kunde Max Mustermann von der Müller GmbH hat sich über Rechnung 4711 beschwert.“
reicht möglicherweise:
„Ein Geschäftskunde hat sich über eine Rechnung beschwert.“
Die KI kann trotzdem eine passende Antwort formulieren. Mitarbeiter sollten sich deshalb vor jeder Eingabe fragen: Braucht ChatGPT diese Information wirklich? Wenn nicht, sollte sie entfernt werden.
Auch hochgeladene Dateien sind Eingaben
Beim Thema Datenschutz denken viele zunächst nur an Text. ChatGPT kann allerdings auch Dateien verarbeiten. Zum Beispiel:
- PDFs
- Excel Dateien
- Word Dokumente
- Präsentationen
- Bilder
- Screenshots
Auch hier gelten dieselben Grundregeln. Eine Excel Datei mit einer kompletten Kundenliste ist nicht automatisch unkritischer, nur weil sie hochgeladen statt hineinkopiert wurde. Dasselbe gilt für Screenshots. Auf einem Screenshot können Namen, E Mail Adressen, Kundendaten oder andere vertrauliche Informationen sichtbar sein
Ein typischer Fehler: Screenshot vom Fehler hochladen
Gerade im IT Bereich passiert das schnell. Eine Fehlermeldung erscheint und der Mitarbeiter macht einen Screenshot. Anschließend wird dieser bei ChatGPT hochgeladen. Grundsätzlich kann das sehr hilfreich sein. Man sollte allerdings vorher prüfen, was auf dem Screenshot zu sehen ist. Vielleicht befindet sich im Hintergrund:
- eine Kunden E Mail
- ein Benutzername
- eine IP Adresse
- ein Servername
- ein interner Dateipfad
- eine Kundennummer
- ein Zugangstoken
Der eigentliche Fehler ist möglicherweise harmlos. Die Informationen drumherum sind es nicht unbedingt.
KI Antworten müssen kontrolliert werden
Datenschutz ist nur ein Teil des Themas. Mitarbeiter sollten außerdem wissen, dass eine Antwort von ChatGPT nicht automatisch korrekt ist. KI Systeme können falsche Informationen erzeugen. Das wird häufig als Halluzination bezeichnet. Besonders bei wichtigen Entscheidungen sollten Ergebnisse deshalb überprüft werden. Dazu gehören beispielsweise:
- rechtliche Aussagen
- steuerliche Informationen
- technische Konfigurationen
- medizinische Informationen
- Verträge
- Kalkulationen
- geschäftskritische Entscheidungen
ChatGPT kann bei der Vorbereitung helfen. Die Verantwortung für das Ergebnis bleibt allerdings beim Unternehmen beziehungsweise beim jeweiligen Mitarbeiter.
Unternehmen brauchen nicht nur eine KI Richtlinie
Ein Dokument alleine reicht meistens nicht. Wenn Mitarbeitern eine fünfseitige Richtlinie per E Mail geschickt wird und anschließend nie wieder darüber gesprochen wird, bringt das wenig. Sinnvoller ist eine Kombination aus:
- klarer KI Richtlinie
- geeigneten Unternehmenskonten
- Mitarbeiterschulung
- technischen Einstellungen
- regelmäßiger Überprüfung
- definierten Ansprechpartnern
Mitarbeiter sollten wissen, wen sie fragen können, wenn sie bei einer Eingabe unsicher sind. Das verhindert, dass jeder selbst entscheiden muss, welche Informationen möglicherweise vertraulich sind.
ChatGPT und KI Beratung für Unternehmen in und rund um Ingolstadt
Auch bei Unternehmen aus Ingolstadt und der Region sehen wir, dass ChatGPT häufig bereits genutzt wird, bevor es überhaupt eine offizielle Regelung gibt. Das ist verständlich. Mitarbeiter entdecken ein Werkzeug, das ihnen Arbeit abnehmen kann, und beginnen es zu verwenden. Für Unternehmen ist es allerdings sinnvoll, diese Nutzung anschließend strukturiert zu organisieren.
Als IT Dienstleister aus der Region Ingolstadt unterstützen wir Unternehmen bei der Einführung von KI Lösungen, ChatGPT und sicheren digitalen Arbeitsabläufen. Dabei geht es nicht nur darum, eine neue Lizenz zu kaufen. Wir schauen gemeinsam, welche Anwendungsfälle sinnvoll sind, welche Daten verarbeitet werden und welche Regeln Mitarbeiter benötigen.
Fazit: Was dürfen Mitarbeiter in ChatGPT eingeben?
Eine pauschale Antwort gibt es nicht. Allgemeine und nicht vertrauliche Informationen sind deutlich unkritischer als personenbezogene Daten, Zugangsdaten oder interne Geschäftsgeheimnisse. Die wichtigste Regel lautet deshalb:
Nur die Informationen eingeben, die für die jeweilige Aufgabe wirklich benötigt werden.
Sensible Daten sollten entfernt, anonymisiert oder nur innerhalb ausdrücklich freigegebener Anwendungsfälle verarbeitet werden.
Unternehmen sollten außerdem vermeiden, dass jeder Mitarbeiter ChatGPT über ein beliebiges privates Konto verwendet.
Eine zentral verwaltete Unternehmenslösung, klare Regeln und eine kurze Mitarbeiterschulung schaffen deutlich mehr Sicherheit.
ChatGPT kann im Unternehmen sehr hilfreich sein. Aber nur dann, wenn Mitarbeiter nicht nur wissen, wie sie gute Fragen stellen, sondern auch wissen, welche Informationen besser nicht in den Chat gehören. Wenn Sie ein Unternehmen aus Ingolstadt oder der Region sind und ChatGPT sicher im Unternehmen einsetzen möchten, unterstützen wir Sie gerne bei der Auswahl der passenden Lösung, der technischen Einrichtung und der Erstellung sinnvoller Regeln für Ihre Mitarbeiter.
