KI-Tools in der Praxis: ChatGPT, Copilot und Co.

🔄 Kurzer Rueckblick: In der letzten Lektion hast du die DSFA und die EU AI Act Risikoklassen kennengelernt. Jetzt wird es ganz konkret: Wie nutzt du KI-Tools im Alltag datenschutzkonform?

Theorie ist wichtig. Aber am Ende sitzt jemand vor dem Bildschirm und muss entscheiden: Darf ich das jetzt in ChatGPT eingeben oder nicht? Diese Lektion gibt klare Antworten.

Die goldene Regel: Anonymisieren vor Eingabe

Bevor du einen Text in ein KI-Tool eingibst, pruefe: Stecken personenbezogene Daten drin? Wenn ja, entferne sie — oder ersetze sie durch Platzhalter.

Originaldaten	Anonymisiert
„Herr Schmidt (schmidt@firma.de) beschwert sich…"	„Ein Kunde beschwert sich…"
„Mitarbeiterin Frau Mueller, Abt. Finanzen, Gehalt 65.000 EUR"	„Eine Mitarbeiterin, Abt. X, Gehalt Y EUR"
„Patient, geb. 15.03.1985, Diagnose: Diabetes Typ 2"	„Patient, anonymisiert, chronische Erkrankung"
„Bestellung #12345 von Max Mustermann, Adresse…"	„Bestellung #XXXXX, Kundenstandort: NRW"

✅ Quick Check: Nimm die letzte Eingabe, die du in ein KI-Tool gemacht hast. Steckten personenbezogene Daten drin? Haettest du sie entfernen koennen?

Schatten-KI: Das unsichtbare Risiko

Laut Bitkom (2025) ist die unautorisierte KI-Nutzung in Unternehmen sprunghaft gestiegen: 8% berichten von weit verbreiteter Schatten-KI (2024: 4%), bei weiteren 17% gibt es Einzelfaelle. Insgesamt sind rund 25% aller Unternehmen betroffen — und 4 von 10 vermuten, dass Mitarbeiter privat KI-Tools fuer die Arbeit nutzen.

Warum das problematisch ist:

Keine Kontrolle ueber die eingegebenen Daten
Kein AVV mit dem Anbieter
Kein Eintrag im Verarbeitungsverzeichnis
Im Schadensfall haftet das Unternehmen, nicht der Mitarbeiter

Die Loesung: Nicht verbieten, sondern kanalisieren. Stelle ein genehmigtes KI-Tool zur Verfuegung (Enterprise-Version mit AVV) und schule die Mitarbeiter. Verbote fuehren nur dazu, dass die Nutzung im Verborgenen weitergeht.

Praxis-Szenarien: Was geht, was nicht

Szenario 1: E-Mail-Entwurf

Aktion	Bewertung
„Schreib eine freundliche Antwort auf eine Kundenanfrage" (ohne Kundendaten)	✅ Kein Problem
Komplette Kunden-E-Mail mit Namen und Bestellnummer in ChatGPT kopieren	❌ DSGVO-Risiko
Anonymisierte Zusammenfassung in Enterprise-Tool eingeben	✅ Datenschutzkonform

Szenario 2: Bewerbungsunterlagen

Aktion	Bewertung
Lebenslauf eines Bewerbers in ChatGPT Free kopieren	❌ Klarer DSGVO-Verstoss
KI bitten, allgemeine Interviewfragen fuer eine Position zu erstellen	✅ Keine personenbezogenen Daten
Anonymisierte Stellenbeschreibung optimieren lassen	✅ Datenschutzkonform

Szenario 3: Meetingprotokoll

Aktion	Bewertung
Teams-Transkript mit Teilnehmernamen in KI-Tool eingeben	❌ Personenbezogene Daten
Anonymisiertes Transkript zusammenfassen lassen (Enterprise-Tool)	✅ Datenschutzkonform
Copilot for M365 (mit AVV) fuer Teams-Zusammenfassung nutzen	✅ Wenn korrekt konfiguriert

Szenario 4: Code-Review

Aktion	Bewertung
Code ohne personenbezogene Daten in KI-Tool eingeben	✅ Kein Problem
Code mit hartkodierten API-Keys oder Passwoetern eingeben	❌ Sicherheitsrisiko
Code mit Kundennamen in Testdaten eingeben	❌ Personenbezogene Daten entfernen

Nutzungsrichtlinie: Was reingehoert

Jedes Unternehmen braucht eine KI-Nutzungsrichtlinie. Diese sollte enthalten:

Welche Tools sind genehmigt — und welche nicht
Was darf eingegeben werden — und was nicht (mit konkreten Beispielen)
Anonymisierungspflicht — vor jeder Eingabe personenbezogener Daten
Pruefpflicht — KI-Output muss auf Richtigkeit geprueft werden
Meldepflicht — Bei versehentlicher Eingabe sensibler Daten: sofort IT/DSB informieren
Konsequenzen — Was passiert bei Verstoessen

Key Takeaways

Anonymisierung vor KI-Eingabe ist die wichtigste Alltagsregel — Namen, E-Mails, Adressen und Bestellnummern raus
Schatten-KI betrifft rund 25% der Unternehmen (Bitkom 2025) — nicht verbieten, sondern genehmigte Enterprise-Tools anbieten
Copilot-Rollout erfordert vorherige Bereinigung der Zugriffsrechte — das Tool ist nur so sicher wie deine Berechtigungsstruktur
Training deaktivieren reicht nicht — AVV, EU-Datenresidenz und Admin-Kontrolle sind ebenso noetig
Eine KI-Nutzungsrichtlinie mit konkreten Beispielen verhindert 90% der Alltagsfehler

Up Next

In der naechsten Lektion geht es um die Dokumentation: Verarbeitungsverzeichnis, AVV-Management und die Unterlagen, die du bei einer Pruefung vorlegen koennen musst.