Gilt die Schulungspflicht auch, wenn Mitarbeitende nur ChatGPT nutzen?

Jürgen Grabbert, T-AI-L · Stand:

Kurz gesagt

Ja. ChatGPT, Microsoft Copilot, Gemini, Claude oder DeepL sind KI-Systeme. Setzt Ihr Unternehmen sie für die Arbeit ein – über eigene Konten oder weil Sie die Nutzung erlauben oder anordnen –, ist es Betreiber im Sinne der KI-Verordnung, und Art. 4 gilt. Gerade bei diesen Allzweck-Werkzeugen ist Schulung wichtig, weil sie für alles genutzt werden – auch für Dinge, die nicht hineingehören.

Welche Daten gehören nicht in öffentliche KI-Werkzeuge?

  • personenbezogene Daten von Kundschaft, Beschäftigten oder Bewerbenden, solange nicht geklärt ist, dass es eine Rechtsgrundlage, einen Vertrag zur Auftragsverarbeitung und eine zulässige Übermittlung in Drittländer gibt
  • Geschäftsgeheimnisse: Kalkulationen, Angebote, Verträge, Strategiepapiere
  • Unterlagen, die einem Berufsgeheimnis unterliegen, etwa in Kanzleien, Arztpraxen, Steuerberatung oder Pflege
  • Zugangsdaten, Passwörter, interne Systeminformationen

Viele Anbieter haben Geschäftsversionen, bei denen Eingaben nicht zum Training verwendet werden und ein Vertrag zur Auftragsverarbeitung möglich ist. Ein privates Gratiskonto erfüllt das in der Regel nicht. Legen Sie fest, welche Werkzeuge und Konten erlaubt sind.

Was Ihr Team im Umgang mit ChatGPT & Co. können sollte

  • Aufgaben klar beschreiben und Kontext mitgeben, ohne vertrauliche Daten preiszugeben
  • erkennen, dass KI überzeugend falsche Angaben machen kann, und Fakten, Zahlen und Quellen prüfen
  • wissen, wann ein Ergebnis von einem Menschen freigegeben werden muss
  • Deepfakes – KI-erzeugte oder veränderte Bilder, Ton- oder Videoaufnahmen, die echte Personen, Orte oder Ereignisse täuschend echt zeigen – als KI-erzeugt kennzeichnen, wenn andere sie zu sehen bekommen (Art. 50 Abs. 4 KI-Verordnung); dasselbe gilt für KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren und nicht redaktionell geprüft wurden
  • wissen, an wen man sich bei Unsicherheit wendet

Schatten-KI: Verbieten hilft selten

Ein pauschales KI-Verbot führt oft dazu, dass Leute private Konten auf dem eigenen Handy nutzen – ohne Regeln und ohne dass jemand davon weiß. Besser ist eine kurze, klare Regelung: welche Werkzeuge erlaubt sind, welche Daten tabu sind, wer Fragen beantwortet. Dazu eine Schulung, in der genau das geübt wird.

Häufige Anschlussfragen

Ist ChatGPT ein KI-System im Sinne der KI-Verordnung?

Ja. ChatGPT und vergleichbare Werkzeuge sind KI-Systeme. Wer sie beruflich in eigener Verantwortung nutzt, ist Betreiber.

Dürfen Mitarbeitende Kundendaten in ChatGPT eingeben?

Nur wenn mehrere Voraussetzungen erfüllt sind: eine Rechtsgrundlage nach DSGVO, ein Vertrag zur Auftragsverarbeitung mit dem Anbieter (meist nur bei Geschäftsversionen), eine zulässige Übermittlung, wenn Daten in Länder außerhalb der EU gehen, und besondere Vorsicht bei Gesundheits- und anderen sensiblen Daten. Prüfen Sie außerdem, ob eine Datenschutz-Folgenabschätzung nötig ist. In ein privates Konto gehören keine personenbezogenen Daten.

Reicht eine interne KI-Richtlinie statt Schulung?

Eine Richtlinie ist ein wichtiger Baustein, reicht aber selten allein. Nach Einschätzung der EU-Kommission ist es oft wenig wirksam, Beschäftigte nur Anleitungen lesen zu lassen. Welche Maßnahmen nötig sind, hängt von Vorkenntnissen, Einsatzkontext und Risiko ab. Üben an echten Aufgaben ist sinnvoll, gesetzlich vorgeschrieben ist es nicht.

Quellen

Überblick, keine Rechtsberatung im Einzelfall. Rechtsstand: KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744. Zuletzt geprüft am 20.10.2026.