Halkali Merkez Viertel Fatih Str. Ozgur Apt. No. 46, Kucukcekmece, Istanbul, 34303, TR
Wenn Mitarbeitende Tools wie ChatGPT oder Claude im Arbeitsalltag nutzen, steigert das die Produktivität — doch ohne Prüfungle darüber, welche Daten in diese Tools eingegeben und wie sie verarbeitet werden, besteht ein reales Risiko für den Abfluss von Unternehmensdaten. Dieser Leitfaden bietet einen praktischen Rahmen, von Unterschieden bei Enterprise-Plänen bis zu einer sicheren Nutzungsrichtlinie.
Kostenlose oder individuelle Pläne von ChatGPT und Claude unterliegen anderen Regeln zur Datenverarbeitung als Enterprise-Pläne (Team/Enterprise/Business).
Bei individuellen Plänen kann der Chatverlauf standardmäßig für das Modelltraining verwendet werden, während Enterprise-Pläne Ihre Daten standardmäßig ausschließen.
Enterprise-Verträge enthalten eine formelle Vereinbarung, die festlegt, welche Daten wie lange gespeichert und wie verarbeitet werden.
Enterprise-Pläne ermöglichen die zentrale Verwaltung von Mitarbeiterkonten und die Anmeldung über Ihren Unternehmens-Identity-Provider.
Die Nachverfolgbarkeit, welcher Nutzer wann welche Aktion durchgeführt hat, ist für die Untersuchung von Sicherheitsvorfällen erforderlich.
Selbst wenn das Tool selbst sicher ist, bleibt bei unklaren Vorgaben, welche Daten Mitarbeitende eingeben dürfen, das Risiko eines menschlich verursachten Datenlecks bestehen.
Ein Mitarbeiter könnte Kundendaten oder den Text eines Vertrags direkt in ein persönliches Konto einfügen, um schnell eine Antwort zu erhalten.
Zur Fehlersuche geteilte Codeausschnitte können in einem Konto ohne Datenschutzrichtlinie für Unternehmen gespeichert werden.
Die Verarbeitung von Texten mit personenbezogenen Daten erfordert die Dokumentation von Rechtsgrundlage und Aufbewahrungsfrist.
Ohne zentrale Richtlinie legt jedes Team eigene Regeln fest, was die Prüfbarkeit erschwert.
Ziel ist nicht, KI-Nutzung zu verbieten, sondern klar zu definieren, welche Daten wie verwendet werden dürfen.
Klassifizieren Sie im Voraus, welche Datentypen (personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse) in KI-Tools eingegeben werden dürfen.
Nutzen Sie statt individueller Konten einen Enterprise-/Business-Plan mit Opt-out vom Modelltraining und einer DPA.
Integrieren Sie den Mitarbeiterzugriff mit Ihrem Unternehmens-Identity-Provider für zentrale Kontokontrolle.
Dokumentieren Sie klar, welche Datentypen nicht eingegeben werden dürfen und welche Anwendungsfälle genehmigt sind.
Das bloße Veröffentlichen der Richtlinie reicht nicht; geben Sie den Mitarbeitenden eine kurze Schulung mit konkreten Beispielen.
Überprüfen Sie die Nutzungsprotokolle Ihres Enterprise-Plans regelmäßig, um Richtlinienverstöße frühzeitig zu erkennen.
Getrennte Kennzeichnung von personenbezogenen Daten, Finanzdaten, Quellcode und Geschäftsgeheimnissen.
Prüfung, ob Aufbewahrungsfrist, Liste der Unterauftragsverarbeiter und Prozess für Löschanfragen im Vertrag geregelt sind.
Geltungsbereich, verbotene Datentypen, genehmigte Anwendungsfälle und Meldeprozess bei Verstößen.
Verifizierung des Anmeldetests mit Ihrem Unternehmens-Identity-Provider (SAML/OIDC).
Monatliche Überprüfung der Nutzungsprotokolle durch das Sicherheitsteam.
Der Melde- und Reaktionsprozess bei Erkennen einer versehentlichen Weitergabe sensibler Daten.
Bei individuellen/kostenlosen Plänen kann dies standardmäßig aktiviert und in den Kontoeinstellungen geändert werden; bei Enterprise-Plänen ist dies standardmäßig deaktiviert und vertraglich abgesichert. Prüfen Sie die aktuellen Einstellungen stets anhand der offiziellen Dokumentation des Anbieters.
Das ist möglich, erfordert aber eine klare Rechtsgrundlage, eine Auftragsverarbeitungsvereinbarung (DPA) und eine klare Aufbewahrungsfrist; im Zweifelsfall ist der Verzicht auf die Eingabe personenbezogener Daten der sicherste Ansatz.
Ja; Funktionen wie der Ausschluss vom Modelltraining, eine DPA, SSO, zentrale Verwaltung und Audit-Protokolle sind in der Regel nur in Enterprise-/Business-Plänen verfügbar.
Das wird in der Regel nicht empfohlen; statt eines Verbots verringern eine klare Richtlinie und ein genehmigtes Unternehmenstool das Risiko von Schatten-IT.
Ohne Enterprise-Plan und eine passende DPA nicht empfohlen; insbesondere bei proprietären Codebasen sollte die eigene Unternehmensrichtlinie entscheidend sein.
Das hängt vom Risikoprofil des Unternehmens ab; für die meisten Organisationen ist eine monatliche Prüfung angemessen, in risikoreicheren Branchen empfiehlt sich eine häufigere Prüfung.
Die offizielle Seite von OpenAI zu Datenverarbeitung und Datenschutz im Unternehmenseinsatz.
Offizielle Ressource zu Sicherheit, Compliance und Datenverarbeitung von Claude im Unternehmenseinsatz.
Eine offizielle Referenz zur Einhaltung der EU-Datenschutz-Grundverordnung.
Kontaktieren Sie uns zu Themen wie DSGVO-Konformität, Serversicherheit und selbst gehosteten Infrastrukturoptionen.
Türkei (Türkisch)
Germany (German)
Worldwide (English)
