Der Unterschied zwischen privatem und betrieblichem Einsatz
Der wichtigste Punkt vorweg, weil er in fast jedem Betrieb übersehen wird: Es macht einen erheblichen Unterschied, ob jemand ein privates Konto nutzt oder ein Konto des Unternehmens.
Bei privaten Konten werden Eingaben je nach Einstellung zur Verbesserung der Modelle verwendet. Meist fehlen ein Vertrag zwischen Ihrem Unternehmen und dem Anbieter, eine zentrale Verwaltung und Kontrollmöglichkeiten. Personenbezogene Daten sollten dort deshalb nicht ohne dokumentierte Prüfung verarbeitet werden. Und wenn die Person das Unternehmen verlässt, ist alles, was in diesem Konto entstanden ist, weg.
In der Praxis ist der private Zugang trotzdem der Normalfall. Er kostet nichts, er ist in zwei Minuten eingerichtet, und niemand hat ausdrücklich verboten. Genau deshalb ist die erste Maßnahme nicht ein Verbot, sondern ein brauchbarer offizieller Zugang.
Welcher Tarif für welche Größe
Die Tarifbezeichnungen ändern sich regelmäßig, die Logik dahinter nicht. Sie unterscheiden sich in drei Punkten: ob Ihre Daten zum Training verwendet werden, ob es eine zentrale Verwaltung von Nutzern und Rechten gibt, und ob Anmeldung über Ihr bestehendes Firmenkonto möglich ist.
Für eine einzelne Person, die ausprobiert, reicht ein Einzeltarif. Sobald mehrere Personen im Betrieb damit arbeiten, brauchen Sie einen Geschäfts- oder Teamtarif. Nicht wegen der Funktionen, sondern wegen der Verwaltung: Sie müssen Zugänge entziehen können, wenn jemand geht.
Ab etwa hundert Personen oder bei erhöhten Compliance-Anforderungen kommen zusätzlich Einmalanmeldung über das Firmenkonto, Prüfprotokolle und erweiterte Aufbewahrungseinstellungen dazu.
Was mit Ihren Daten passiert
In den Geschäftstarifen der großen Anbieter werden Eingaben standardmäßig nicht zum Training der Modelle verwendet. Das ist ein entscheidender Unterschied zu den kostenlosen Zugängen, und es ist ein Punkt, den Sie schriftlich brauchen. Ein vollständiger DSGVO-Nachweis ist das allein aber noch nicht.
Verarbeitet werden die Daten trotzdem, häufig auf Servern außerhalb Österreichs. Für personenbezogene Daten braucht es dafür eine Rechtsgrundlage nach Artikel 6 DSGVO. Weil der Anbieter als Auftragsverarbeiter tätig wird, kommt ein Vertrag nach Artikel 28 dazu. Den Vertrag, die technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter stellt der Anbieter bereit. Den Eintrag in Ihrem Verzeichnis der Verarbeitungstätigkeiten erstellen und verantworten Sie selbst.
Was daraus folgt: Nicht jede Datenart gehört hinein. Gesundheitsdaten, Bewerbungsunterlagen und alles, was unter Berufsgeheimnisse fällt, brauchen eine eigene Betrachtung. Für den Alltag im Handwerks- oder Handelsbetrieb ist das selten das Thema, für eine Ordination oder eine Kanzlei sehr wohl.
Die eine Seite, die Sie brauchen
Schreiben Sie auf einer Seite auf, was hinein darf und was nicht. Zum Beispiel:
- Erlaubt: eigene Texte, Angebotsentwürfe ohne Kundennamen, technische Fragen, Recherche, Auswertungen anonymisierter Zahlen
- Nicht erlaubt: vollständige Kundendaten, Personaldaten, Preiskalkulationen mit Lieferantenkonditionen, alles unter Verschwiegenheitspflicht
- Im Zweifel: fragen bei einer namentlich genannten Person
Diese Seite ersetzt keine Schulung, aber sie verhindert die häufigsten Fehler. Sie hilft außerdem zu belegen, dass Sie Ihrer Organisationspflicht nachgekommen sind.
ChatGPT ist nicht die einzige Möglichkeit
Wir sagen das ausdrücklich, weil die Frage meist so gestellt wird, als gäbe es nur diese eine Option. Je nach Aufgabe kann ein anderes Modell besser passen. Welches, zeigt kein allgemeines Urteil, sondern ein Test mit Ihren eigenen Aufgaben.
Wenn Sie ohnehin mit Microsoft 365 arbeiten, prüfen Sie, welche Anbindungen dort für welchen Anbieter verfügbar sind, Microsoft Copilot eingeschlossen. Ein Vergleich der gängigen Anbieter steht in unserem Beitrag ChatGPT oder Claude für Unternehmen.
Was wir nicht empfehlen: sich früh auf einen Anbieter festzulegen und alle Abläufe darauf zu bauen. Richten Sie so ein, dass ein Wechsel möglich bleibt.
Die KI-Kompetenz nicht vergessen
Seit 2. Februar 2025 müssen Unternehmen, die KI einsetzen, Maßnahmen setzen, die die KI-Kompetenz der Personen unterstützen, die damit arbeiten. Ein bestimmtes Kompetenzniveau oder eine formale Schulung schreibt Artikel 4 seit der Änderung im Juli 2026 nicht vor. Das gilt unabhängig von der Betriebsgröße und unabhängig davon, welchen Anbieter Sie nutzen. Mehr dazu in unserem Beitrag zur KI-Kompetenz nach dem AI Act.