Welche Daten braucht die Aufgabe tatsächlich?
Für eine sprachliche Überarbeitung braucht die KI oft nur einen Textausschnitt. Name, E-Mail-Adresse, Kundennummer und interne Kalkulation sind dafür meist unnötig. Prüfen Sie zuerst, was Sie weglassen oder durch eigens erfundene Angaben ersetzen können.
- Öffentliche Inhalte: beispielsweise ein publizierter Produkttext. Damit lässt sich die Qualität eines Entwurfs testen, ohne eine Kundenakte hochzuladen.
- Vertrauliche Geschäftsdaten: beispielsweise Einkaufspreise oder Vertragsentwürfe. Klären Sie intern, ob der konkrete Dienst diese Inhalte bearbeiten darf – auch wenn keine Person genannt wird.
- Personendaten: beispielsweise Kontaktdaten, Bewerbungen oder Gesprächsnotizen. Klären Sie Zweck, erforderliche Angaben und die datenschutzrechtlichen Voraussetzungen vor dem Einsatz.
ChatGPT, Claude und Copilot: welches Konto, welche Funktion?
Notieren Sie den genauen Dienst und Tarif sowie das angemeldete Konto. Die folgenden Herstellerangaben helfen bei der Einordnung; sie sind keine Freigabe für Ihren Anwendungsfall.
- ChatGPT: Prüfen Sie, ob die Arbeit im vorgesehenen Unternehmensarbeitsbereich stattfindet. OpenAI beschreibt für Business, Enterprise und Edu standardmässig kein Training mit Geschäftsdaten. Erfassen Sie zusätzlich, welche Dateien und verbundenen Apps die verwendete Funktion erreichen kann und welche Aufbewahrung gilt.
- Claude: Unterscheiden Sie das konkrete kommerzielle Angebot von einem persönlichen Konto. Anthropic verwendet Eingaben und Ausgaben kommerzieller Produkte standardmässig nicht zum Training; ausdrücklich eingereichtes Feedback oder eine erlaubte Datennutzung können Ausnahmen bilden. Nehmen Sie deshalb auch die Feedbackfunktion in Ihre Regelung auf.
- Copilot: Halten Sie fest, welches Copilot-Angebot mit welchem Organisationskonto verwendet wird. Für Copilot in Microsoft 365 beschreibt Microsoft sowohl den Ausschluss von Modelltraining mit Organisationsdaten als auch die Speicherung von Interaktionen. Prüfen Sie bestehende Dokumentberechtigungen sowie Websuche und zusätzliche Agenten gesondert.
Vier getrennte Fragen zum Datenfluss
Zeichnen Sie den tatsächlichen Weg auf: Texteingabe oder Datei → KI-Dienst → gegebenenfalls verbundene Anwendung → Ablage der Antwort. Beziehen Sie auch ausgegebene Zusammenfassungen ein: Sie können vertrauliche Angaben aus der Eingabe enthalten.
- Training: Dürfen Inhalte zur Modellverbesserung verwendet werden, auch über Feedback oder freiwillige Freigaben?
- Speicherung: Was bleibt im Chat, als Datei oder in Protokollen erhalten? Welche Fristen und Löschmöglichkeiten gelten?
- Zugriff: Welche Mitarbeitenden, Administratoren oder Anbieterstellen können die Inhalte sehen?
- Weitergabe: Erhält ein zusätzlicher Dienst Daten, etwa über eine Verbindung oder Websuche? Welche Bedingungen gelten dort?
Arbeitsblatt für Ihre eigene Entscheidung
Übernehmen Sie den Aufbau des Beispiels für eine einzige Aufgabe. Ersetzen Sie Vermutungen durch einen Link zum Vertrag, zur Herstellerdokumentation oder zur intern bestätigten Einstellung. Dokumentieren Sie unbekannte Angaben ausdrücklich als offen.
- Aufgabe und Daten: gewünschtes Ergebnis, notwendige Inhalte und ausgeschlossene Daten.
- Konto und Funktionen: Dienst, Tarif, Arbeitsbereich, zugelassene Nutzer und aktivierte Verbindungen.
- Nachweise: Vertragsgrundlage einschliesslich Auftragsbearbeitung, Empfänger und Bearbeitungsorte, Training, Aufbewahrung, Löschung und Zugriffe; jeweils mit Prüfdatum.
- Entscheidung: erlaubt, unter genannten Bedingungen erlaubt oder bis zur Klärung zurückgestellt; dazu verantwortliche Person und nächster Anlass für eine erneute Prüfung.
Was die Freigabe im Alltag auslösen sollte
Machen Sie aus der Entscheidung eine kurze Teamregel: welches Konto, welche Inhalte, welche Funktionen und wer bei einer Abweichung gefragt wird. Prüfen Sie einen Beispieldurchlauf mit genau diesem Konto. Eine zusätzliche Verbindung, neue Datenart oder andere Ablage der Antworten ist Anlass, den Eintrag erneut anzusehen.
Lassen Sie Antworten vor der Weitergabe fachlich kontrollieren. Eine datenschutzrechtlich geklärte Nutzung sagt noch nichts darüber aus, ob eine Offerte vollständig ist oder die KI Zahlen richtig übernommen hat.
Was das Schweizer DSG dazu bedeutet
Das Schweizer Datenschutzgesetz gilt auch für KI-gestützte Bearbeitung von Personendaten. Der EDÖB betont unter anderem Transparenz und verlangt bei hohem Risiko eine Datenschutz-Folgenabschätzung. Ein Tarifname oder ein Schweizer Server allein beantwortet diese Anforderungen nicht.
Wenn echte Personendaten vorgesehen sind, lassen Sie offene Fragen zu Zweck, Information der betroffenen Personen, Bearbeitungsorten und allfälligen Geheimhaltungspflichten durch die dafür zuständige Stelle klären. Der ausgefüllte Eintrag macht diese Abklärung konkret; er ersetzt sie nicht.