Copilot, ChatGPT & Co.: Die fünf Fragen vor dem Rollout

Datenschutz Blog – von Kilian Reich – 04. September 2026

Microsoft Copilot ist im Office-Paket plötzlich mit dabei, ChatGPT läuft im Browser, das CRM bewirbt seinen neuen KI-Assistenten. Auch der LfDI Baden-Württemberg nennt Künstliche Intelligenz in seinem aktuellen Tätigkeitsbericht als erheblichen Beratungsschwerpunkt. Unsere Erfahrung aus der Praxis: In den meisten Betrieben und Behörden ist KI länger im Einsatz, als die Leitung denkt. Wer den Rollout strukturiert angeht, muss ihn deshalb nicht bremsen. Fünf Fragen genügen für den Anfang.

 

1. Wofür genau und auf welcher Rechtsgrundlage?

„Wir wollen KI einsetzen“ ist kein Zweck. Protokolle zusammenfassen, Angebotstexte entwerfen, Bewerbungen vorsortieren – das sind drei völlig verschiedene Verarbeitungen mit drei verschiedenen Risiken. Erst der konkrete Anwendungsfall entscheidet, ob Sie sich auf ein berechtigtes Interesse stützen können, eine Einwilligung benötigen oder besser gar keine personenbezogenen Daten verarbeiten. Beim Vorsortieren von Bewerbungen kommt zusätzlich Art. 22 DSGVO ins Spiel: Eine ausschließlich automatisierte Entscheidung über Menschen ist nur in engen Grenzen zulässig.

 

2. Wer verarbeitet Ihre Daten und wo?

Jedes KI-Werkzeug, das personenbezogene Daten verarbeitet, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Prüfen Sie außerdem: In welcher Region stehen die Server? Werden Ihre Eingaben zum Training des Modells verwendet und lässt sich das abschalten? Genau hier unterscheiden sich kostenfreie Consumer-Zugänge deutlich von den Unternehmens- und Behördenversionen und genau hier scheitern viele Rollouts im Nachhinein.

 

3. Was darf ins Eingabefeld?

Diese Frage entscheidet im Alltag über alles. Gesundheitsdaten, Personalakten, Firmenunterlagen, komplette Kundenlisten: Was einmal im Prompt stand, holen Sie nicht zurück. Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 Buchst. c) DSGVO gilt auch und gerade für KI. Eine kurze, verbindliche Regel wirkt hier mehr als ein zwanzigseitiges Konzept: keine personenbezogenen Daten, keine internen Dokumente ohne Freigabe.

 

4. Wer muss mitreden?

Wird KI zur Bewertung von Leistung oder Verhalten eingesetzt oder ist sie objektiv dazu geeignet, greift die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG; öffentliche Stellen beachten die entsprechenden personalvertretungsrechtlichen Regelungen. Das Arbeitsgericht Hamburg hat 2024 klargestellt, dass nicht jede KI-Richtlinie automatisch mitbestimmungspflichtig ist, auf die konkrete Ausgestaltung kommt es an. Holen Sie die Gremien früh dazu.

 

5. Wissen Ihre Leute, was sie tun?

Art. 4 der KI-Verordnung verlangt seit Februar 2025 von Anbietern und Betreibern, die KI-Kompetenz ihrer Mitarbeitenden zu fördern. Seit dem 2. August 2026 gelten zudem die Transparenzpflichten des Art. 50: Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte sind zu kennzeichnen. Beides sind keine Empfehlungen, sondern Pflichten und beide setzen voraus, dass Ihre Mitarbeitenden überhaupt wissen, wo im Haus KI im Spiel ist.

 

Fazit: Checkliste für Verantwortliche

KI verbieten funktioniert nicht, sie läuft dann eben über private Accounts weiter. Sinnvoll ist der geordnete Weg: erlauben, begrenzen, dokumentieren. Als externe Datenschutzbeauftragte begleiten wir genau diesen Prozess, von der Bestandsaufnahme über die KI-Richtlinie bis zur Schulung.

 

Ihre schnelle Selbstprüfung:

• Ist für jeden KI-Anwendungsfall der Zweck schriftlich festgehalten?
• Liegt für jedes Tool ein AVV vor und ist die Nutzung Ihrer Eingaben zum Training abgeschaltet?
• Gibt es eine verbindliche Regel, welche Daten nicht in Prompts gehören?
• Sind Betriebs- oder Personalrat beteiligt?
• Ist der KI-Einsatz im Verzeichnis der Verarbeitungstätigkeiten erfasst?
• Wurden Ihre Mitarbeitenden geschult und ist das dokumentiert?
• Sind Chatbots und KI-generierte Inhalte nach außen gekennzeichnet?

Wenn Sie bei einem dieser Punkte unsicher sind – sprechen Sie uns an. Wir helfen Ihnen, den KI-Einsatz in Ihrem Haus auf ein rechtssicheres Fundament zu stellen.

 

Haben Sie Fragen zum Einsatz von KI in Ihrem Unternehmen oder haben Sie allgemeine Fragen zum Datenschutz?

Regio Datenschutz – Ihr Ansprechpartner in der Regio, Lörrach, Freiburg, Basel und Umgebung.

Kontaktieren Sie uns – wir unterstützen Sie dabei, Ihre Daten zu schützen oder ihr Unternehmen zukunftssicher zu machen: