KI & Datenschutz im Unternehmen: pragmatisch statt panisch
Zwischen „bloß nichts anfassen“ und „einfach machen“ liegt ein vernünftiger Mittelweg: klare Regeln, passende Werkzeuge und gesunder Menschenverstand. So sieht er aus.
Die drei Grundregeln
1. Datenklassen trennen
Öffentliche Inhalte (Website-Texte, Marketingideen) dürfen in fast jedes Tool. Interne Inhalte (Prozesse, Kalkulationen) nur in Systeme mit Unternehmensvertrag. Personenbezogene und vertrauliche Daten nur in geprüfte, konforme Setups, oder gar nicht.
2. Regeln aufschreiben, Team schulen
Die meisten Datenschutz-Pannen entstehen aus Unwissen, nicht aus Absicht. Eine einseitige KI-Richtlinie plus kurze Schulung verhindert das Gros der Probleme.
3. Kontrolle behalten, wo es zählt
Für sensible Workflows gibt es Selfhosting: n8n auf dem eigenen Server verarbeitet Daten im Haus statt in fremden Clouds, gerade für Kanzleien, Praxen und Betriebe mit Betriebsgeheimnissen relevant.
Datenklassen praktisch: Was darf wohin?
| Datenklasse | Beispiele | Erlaubte Werkzeuge |
|---|---|---|
| Öffentlich | Website-Texte, Blogideen, allgemeine Recherchen | praktisch alle KI-Tools |
| Intern | Prozessbeschreibungen, Kalkulationslogik, Entwürfe | nur Tools mit Unternehmensvertrag (AVV), keine Privat-Accounts |
| Personenbezogen | Kundendaten, Bewerbungen, Mitarbeiterdaten | nur geprüfte konforme Setups; im Zweifel anonymisieren oder Selfhosting |
| Hochsensibel | Gesundheitsdaten, Mandatsgeheimnisse, Betriebsgeheimnisse | eigene Infrastruktur oder gar nicht, Einzelfallprüfung mit DSB |
Diese Tabelle, angepasst auf Ihre Begriffe und mit Ihren Beispielen, ist das Herzstück jeder KI-Richtlinie.
Drei Tool-Setups im Vergleich
| Setup | Datenkontrolle | Kosten | Für wen |
|---|---|---|---|
| Öffentliche KI-Tools (Privat-/Free-Accounts) | gering | keine | niemanden, für Firmendaten tabu |
| Business-Tarife (ChatGPT Team/Enterprise, Claude, Copilot) | vertraglich geregelt (AVV, kein Training auf Ihren Daten) | monatlich pro Nutzer | Standard für die meisten Unternehmen |
| Selfhosting (n8n + lokale/EU-Modelle) | maximal, Daten bleiben im Haus | Einrichtung + Server, kaum Lizenzkosten | Kanzleien, Praxen, sensible Prozesse |
Die einseitige KI-Richtlinie: das gehört hinein
1. Erlaubte Werkzeuge, konkret benannt, mit Zugangsweg („Firmen-Account über IT beantragen“).
2. Datenklassen, die Tabelle oben, mit betriebseigenen Beispielen.
3. Freigaben, was KI-Entwürfe sind und wer vor Versand/Veröffentlichung prüft.
4. Verantwortliche, wer beantwortet Fragen, wer entscheidet über neue Tools.
5. Neue Tools, der offizielle Weg, ein Werkzeug vorzuschlagen (verhindert Schatten-KI besser als jedes Verbot).
Länger als eine Seite? Dann wird sie nicht gelesen. Der Rest gehört in die Schulung.
Typische Fehler und die Alternative
Fehler: Mitarbeiter nutzen private KI-Konten für Firmendaten. Besser: Unternehmens-Accounts mit Datenschutz-Vereinbarung und klaren Prompt-Regeln.
Fehler: Kundendaten zum „Testen“ in öffentliche Tools kopieren. Besser: Mit anonymisierten Beispieldaten testen; produktiv nur im konformen Setup.
Fehler: KI-Verbot per Rundmail und alle machen heimlich weiter. Besser: Erlaubte Wege anbieten; kontrollierte Nutzung schlägt Schatten-KI.
Fehler: Einmal einrichten, nie wieder anschauen. Besser: Halbjährlich prüfen: neue Tools, neue Regeln, neue Anwendungsfälle.
EU AI Act: einordnen statt ignorieren
Der EU AI Act reguliert KI nach Risikoklassen. Für typische Mittelstands-Anwendungen (Texte, Automatisierung, interne Assistenten) heißt das vor allem: dokumentieren, welche KI wofür läuft, Transparenzpflichten kennen und bei Hochrisiko-Anwendungsfällen (z. B. Personalauswahl) genauer hinschauen.
Keine Panik, kein Wegducken: Der eigene Anwendungsfall gehört einmal sauber eingeordnet, das erledigen wir im Rahmen der Potenzialanalyse gleich mit. Verbindliche Rechtsauskünfte bleiben Sache Ihrer Rechtsberatung.
Ihr Weg zum sauberen KI-Setup
- Bestandsaufnahme: Welche Tools nutzt Ihr Team heute wirklich?
- Datenklassen definieren: öffentlich / intern / vertraulich
- Werkzeuge zuordnen, inklusive Selfhosting-Option für Sensibles
- Einseitige KI-Richtlinie erstellen und Team schulen
- Halbjährlich prüfen: neue Tools, neue Regeln
Häufige Fragen
Ist ChatGPT im Unternehmen DSGVO-konform nutzbar?
Mit Business-Verträgen, klaren Nutzungsregeln und ohne personenbezogene Daten in Prompts: praktikabel. Ohne Regeln: riskant. Die Details hängen vom Einzelfall ab, im Zweifel gehört Ihr Datenschutzbeauftragter an den Tisch.
Was ist der sicherste Weg für sensible Daten?
Sensible Workflows auf eigener Infrastruktur laufen lassen, etwa mit selbst gehostetem n8n und öffentliche KI-Tools nur mit unkritischen Inhalten füttern.
Ersetzt dieser Ratgeber eine Rechtsberatung?
Nein. Ich zeige die technisch-organisatorische Praxis; verbindliche Rechtsfragen klärt Ihre Datenschutz- oder Rechtsberatung. Beides zusammen ergibt ein sauberes Setup.
Was gehört in eine KI-Richtlinie?
Erlaubte Tools, Datenklassen mit Beispielen, Freigabeprozesse, Verantwortliche und ein Weg für neue Tool-Wünsche, auf maximal einer Seite, sonst liest es niemand.
Wie gehen wir mit dem EU AI Act um?
Für die meisten Mittelständler heißt das vor allem: dokumentieren, welche KI wofür eingesetzt wird, und Transparenzpflichten kennen. Panik ist unangebracht, Ignorieren auch, der eigene Anwendungsfall gehört einmal sauber eingeordnet.
Dürfen Mitarbeiter private KI-Konten nutzen?
Für Firmendaten: nein. Das ist die eine Regel, die sofort gelten sollte, kombiniert mit einem erlaubten Firmen-Zugang, damit die Arbeit trotzdem weitergeht.
Was kostet ein datenschutzkonformes Setup?
Oft weniger als gedacht: Business-Tarife der Tool-Anbieter plus einmalige Einrichtung. Selfhosting kostet anfangs mehr, spart aber laufende Gebühren, siehe „Was kostet KI-Beratung?“.
Wie schulen wir das Team am schnellsten?
Ein kompakter Workshop mit den echten Arbeitsfällen des Teams wirkt besser als jede Richtlinien-Mail, Regeln versteht man an Beispielen.
Über den Autor
Stefan Mironczyk ist KI-Berater und Webentwickler aus Wallersdorf in Niederbayern. Seit über 20 Jahren baut er Websites, Content-Systeme und Automatisierungen, seit dem Aufkommen der großen KI-Modelle verbindet er beides für Mittelstand, Handwerk und Dienstleister. Mehr über Stefan · LinkedIn · Kontakt
Sicher arbeiten statt heimlich probieren
Im kostenlosen Erstgespräch schauen wir, wie Ihr Team KI nutzt und machen daraus ein sauberes, produktives Setup.
Kostenloses Erstgespräch vereinbaren
Oder direkt anrufen: 0178 188 65 13