DSGVO-Risiko: Warum Gratis-KI im Büro gefährlich ist

17. September 20264 Min. Lesezeit

Mitarbeitende nutzen ChatGPT für das Protokoll, das Kundenangebot, die Antwort auf eine Support-Anfrage. Das passiert in vielen Unternehmen täglich, oft ohne Freigabe, oft mit echten Namen und echten Kundendaten im Eingabefeld. Genau dort wird aus einem Produktivitäts-Tool ein ernstes Datenschutz-Problem.

Shadow-AI: Was in den meisten Unternehmen bereits passiert

Laut dem Microsoft Work Trend Index 2025 bringen 78 % der KI-Nutzenden am Arbeitsplatz eigene, nicht von der IT freigegebene KI-Tools mit. Mehr als 50 % dieser Mitarbeitenden würden ihrer Führungskraft nicht einmal sagen, dass ihnen KI bei einer Aufgabe geholfen hat.

Das klingt nach einem internen Kommunikationsproblem. Rechtlich ist es mehr als das. Sobald personenbezogene Daten in ein KI-Tool fließen, greift die DSGVO. Und 52 % der Unternehmen haben bislang keine formale Richtlinie für den Umgang mit externen KI-Tools durch Mitarbeitende, wie eine KPMG-Erhebung aus 2025 zeigt.

Warum Gratis-Accounts ein strukturelles Problem sind

Der entscheidende Punkt ist nicht, ob ChatGPT gut funktioniert. Er ist, ob ein rechtsgültiger Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO existiert. Ohne diesen Vertrag darfst du personenbezogene Daten nicht an einen externen Dienstleister weitergeben.

Der Haken: Ein AVV bei OpenAI ist ausschließlich für Enterprise-, Edu- und API-Kunden verfügbar. Der kostenlose Account bietet das nicht. Business-Daten liegen dabei auf US-Servern. Trainingsausschluss und zentrale Verwaltung fehlen im Free-Tier vollständig.

Konkret bedeutet das, dass bereits die Eingabe von Kontaktdaten eines Kunden in ein Prompt mit einem privaten Gratis-Account einen DSGVO-Verstoß darstellt, nicht erst, wenn etwas öffentlich wird.

Was auf dem Spiel steht: Doppelte Bußgelder ab 2026

Seit dem 2. August 2026 gilt der EU AI Act vollständig, einschließlich Bußgeldvorschriften. Das bedeutet: KI-Verstöße können ab 2026 sowohl DSGVO- als auch EU-AI-Act-Bußgelder auslösen, gleichzeitig.

DSGVO-Verstöße: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes
EU AI Act für KMU als Betreiber: bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes

Dazu kommt eine neue Pflicht nach Art. 4 EU AI Act: Alle Mitarbeitenden, die KI-Tools beruflich einsetzen, müssen eine dokumentierte, rollengerechte Schulung nachweisen können. Das ist keine Empfehlung, es ist Gesetz.

Der typische Fehler im Unternehmensalltag

Ein häufiges Muster sieht so aus: ChatGPT wird produktiv eingesetzt, alles funktioniert technisch einwandfrei. Was fehlt, ist die DSGVO-Dokumentation. Kein Eintrag im Verarbeitungsverzeichnis, keine angepasste Datenschutzerklärung, kein AVV. Das Unternehmen merkt es nicht, bis eine Prüfung beginnt.

Laut aktuellen Shadow-AI-Daten aus 2026 wurden rund 54 % der nicht freigegebenen KI-Tools genutzt, um sensible Unternehmensdaten hochzuladen. Das Risiko liegt damit nicht in der Theorie. Es ist bereits Praxis.

Die 6 Pflichtbausteine für DSGVO-konforme KI-Nutzung

Wer KI im Unternehmen rechtssicher einsetzen will, braucht eine klare Struktur. Aktuelle Datenschutzexperten benennen sechs Pflichtbereiche:

Rechtsgrundlage nach Art. 6 DSGVO für jede KI-Datenverarbeitung dokumentieren
Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit jedem KI-Anbieter abschließen
Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 bei systematischer Auswertung personenbezogener Daten
Datenschutzerklärung anpassen gemäß Transparenzpflichten Art. 13 und 14
Betroffenenrechte sicherstellen: Auskunft, Berichtigung, Löschung
KI-Kompetenz-Nachweis aller Mitarbeitenden gemäß Art. 4 EU AI Act dokumentieren

Für ein Unternehmen mit 10 bis 20 Mitarbeitenden schätzen Experten den realistischen Aufwand für KI-Datenschutz-Compliance auf 2.000 bis 5.000 Euro pro Jahr. Das klingt nach Aufwand. Im Vergleich zu den möglichen Bußgeldern ist es eine überschaubare Investition.

Praxis-Tipp: Wenn du KI im Unternehmen einsetzen willst und DSGVO-Konformität von Anfang an sicherstellen möchtest, achte auf Anbieter, die AVV, EU-Hosting und dokumentierten Trainingsausschluss bereits mitliefern. ConRat AI ist auf deutschen und europäischen Servern gehostet (IONOS Deutschland, Microsoft Azure Frankfurt), verwendet Kundendaten nicht für KI-Training und stellt einen AVV bereit. Das löst viele der genannten Compliance-Punkte von Haus aus. Du kannst die Plattform 30 Tage kostenlos testen, ohne Kreditkarte.

Was du jetzt sofort tun kannst

Warte nicht auf die nächste Prüfung. Der Europäische Datenschutzausschuss hat KI-Tools seit März 2026 offiziell zum Prüfschwerpunkt erklärt. Rund 25 nationale Aufsichtsbehörden untersuchen aktiv, wie Unternehmen ihre Informationspflichten nach DSGVO erfüllen.

Drei erste Schritte, die du direkt angehen kannst:

Verschaffe dir einen Überblick, welche KI-Tools deine Mitarbeitenden tatsächlich nutzen, auch ohne Freigabe.
Prüfe für jedes Tool: Gibt es einen AVV? Liegt das Hosting in der EU? Werden Eingaben für das Training verwendet?
Halte im Verarbeitungsverzeichnis fest, welche personenbezogenen Daten in welche Systeme fließen.

Gratis-Tools sind oft ein sinnvoller Einstieg. Für den Unternehmenseinsatz mit echten Kundendaten sind sie es rechtlich nicht.

Unser Fazit

Das Problem an Shadow-AI ist nicht die Technik. Es ist die Lücke zwischen dem, was Mitarbeitende täglich tun, und dem, was rechtlich abgesichert ist. Diese Lücke wird 2026 nicht kleiner, die Behörden schauen genauer hin. Wer jetzt eine klare interne Richtlinie einführt, die richtigen Tools mit AVV und EU-Hosting auswählt und Mitarbeitende dokumentiert schult, ist auf der sicheren Seite. Alles andere ist ein Restrisiko mit wachsendem Preisschild.