ChatGPT & Co. im Betrieb: Datenschutz und AI Act für kleine Firmen

Du bist verantwortlich, nicht der KI-Anbieter

Die Datenschutzbehörde und die WKO sind sich einig: Wer entscheidet, ein KI-Tool für einen bestimmten Zweck einzusetzen, ist datenschutzrechtlich Verantwortlicher. Das gilt auch, wenn du das Tool nicht selbst entwickelt hast. Die DSGVO gilt dann voll, mit Rechtsgrundlage, Zweckbindung, Datenminimierung und Informationspflicht.

Entscheidend ist, was der Anbieter mit deinen Eingaben macht. Nutzt er sie für eigene Zwecke, etwa um sein Modell weiter zu trainieren, ist das laut WKO eine Weitergabe an Dritte, für die du eine eigene Rechtsgrundlage brauchst. Das ist bei Gratis-Lizenzen üblicherweise der Fall. Nutzt er die Daten nur, um deinen Auftrag zu erledigen, reicht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Business-Tarife: kein Training, AV-Vertrag

Die großen Anbieter haben eigene Tarife für Firmen. OpenAI gibt an, Daten aus ChatGPT Business, Enterprise und der API standardmäßig nicht zum Training seiner Modelle zu verwenden, und bietet für diese Produkte ein Data Processing Addendum an. In privaten ChatGPT-Konten kannst du das Training laut OpenAI-Hilfe unter Einstellungen, Datenkontrollen, „Das Modell für alle verbessern“ (englisch „Improve the model for everyone“) abschalten, die Bezeichnungen können sich ändern. Einen AV-Vertrag ersetzt das aber nicht.

Bei anderen Anbietern prüfst du dieselben Punkte. Die WKO nennt als Fragen für die Auswahl: Welche Zertifizierungen hat das Tool? Wie transparent sind Datennutzung und Weitergabe? Wo werden die Daten gehostet? Gibt es bereits eine Einschätzung der Aufsichtsbehörden? Gehen Daten außerhalb des EWR, brauchst du dafür eine Grundlage, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

Interne KI-Regeln in fünf Schritten

Die Datenschutzbehörde empfiehlt, intern festzulegen, welche Daten mit einem Tool verarbeitet werden dürfen. Für einen kleinen Betrieb reicht eine Seite.

1. 1

   Erlaubte Tools festlegen

   Welche Tools mit welchem Account dürfen genutzt werden? Alles andere ist für Firmendaten tabu.

2. 2

   Datenregeln aufschreiben

   Was darf hinein (öffentliche Texte, anonymisierte Fälle), was nie (siehe Checkliste oben)?

3. 3

   Ergebnisse prüfen

   KI-Texte, Zahlen und Rechtsauskünfte vor dem Versand von einem Menschen lesen lassen. Die Datenschutzbehörde weist darauf hin, dass KI-Ausgaben wahrscheinlich klingen, aber falsch sein können.

4. 4

   Verzeichnis und Datenschutzerklärung ergänzen

   KI-Tools mit Personenbezug als eigene Zeile ins Verarbeitungsverzeichnis, Anbieter in die Datenschutzerklärung. Bei einem Chatbot auf der Website informierst du Besucher, dass sie mit einer KI schreiben.

5. 5

   Kurz schulen

   Eine halbe Stunde im Team: Regeln, Beispiele, typische Fehler. Datum und Teilnehmer notieren. Das ist zugleich deine Maßnahme zur KI-Kompetenz.

AI Act: KI-Kompetenz nach Art. 4

Art. 4 der KI-Verordnung (AI Act) gilt laut Art. 113 seit 2. Februar 2025 für Anbieter und Betreiber von KI-Systemen. Betreiber ist in der Regel auch ein kleiner Betrieb, der ChatGPT oder ein KI-Übersetzungstool beruflich nutzt. Ursprünglich mussten Betreiber nach besten Kräften ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherstellen.

Mit dem „Digital Omnibus on AI“ (Verordnung (EU) 2026/1744, im Amtsblatt veröffentlicht am 24. Juli 2026, in Kraft drei Tage danach) wurde Art. 4 neu gefasst. Jetzt müssen Anbieter und Betreiber Maßnahmen setzen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI arbeiten. Berücksichtigt werden Vorwissen, Ausbildung und Einsatzbereich. Ausdrücklich steht im Text, dass kein bestimmtes Kompetenzniveau einzelner Personen garantiert werden muss. Kommission und Mitgliedstaaten sollen besonders KMU dabei unterstützen.

Ein Zertifikat oder eine bestimmte Stundenzahl schreibt Art. 4 nicht vor. Eine kurze interne Schulung, schriftliche Nutzungsregeln und eine Notiz, wer wann geschult wurde, sind für einen Kleinbetrieb ein vernünftiger Nachweis.

Transparenzpflichten und weitere Fristen

Die Transparenzpflichten nach Art. 50 AI Act gelten seit 2. August 2026, der Omnibus hat sie nicht verschoben. Chatbots müssen so gestaltet sein, dass Menschen merken, dass sie mit einer KI sprechen. Wer Deepfakes, also KI-erzeugte oder manipulierte Bilder, Videos oder Tonaufnahmen echter Personen oder Orte, veröffentlicht, muss sie als KI-generiert kennzeichnen. Dasselbe gilt für KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, außer ein Mensch hat sie redaktionell geprüft und trägt die Verantwortung.

Für Anbieter von Systemen, die synthetische Inhalte erzeugen und schon vor dem 2. August 2026 am Markt waren, gibt es bei der maschinenlesbaren Kennzeichnung (Art. 50 Abs. 2) eine Übergangsfrist bis 2. Dezember 2026. Das betrifft die Hersteller der Tools, nicht dich als Nutzer.

• 2. Februar 2025: Verbote bestimmter KI-Praktiken und KI-Kompetenz (Art. 4) gelten
• 27. Juli 2026: Digital Omnibus in Kraft, Art. 4 abgeschwächt
• 2. August 2026: Transparenzpflichten nach Art. 50 gelten
• 2. Dezember 2026: neues Verbot von KI-Systemen für nicht einvernehmliche intime Inhalte und Missbrauchsdarstellungen von Kindern
• 2. Dezember 2027: Pflichten für Hochrisiko-KI nach Anhang III, z. B. KI zur Auswahl von Bewerbungen
• 2. August 2028: Hochrisiko-KI in Produkten nach Anhang I

Häufige Fragen