KI-Nutzung prüfen und Ihre Richtlinie zur zulässigen Nutzung von KI in GDPRWise festlegen

Ihre Mitarbeitenden nutzen bereits KI: in ChatGPT und innerhalb der Tools, die Sie schon besitzen. Eine Richtlinie zur zulässigen Nutzung von KI legt fest, welche Tools erlaubt sind und mit welchen Daten. Diese Anleitung führt Sie in sechs Schritten von „keine Ahnung“ zu einer erzeugten Richtlinie, mit der GDPRWise-App geöffnet neben Ihnen.

1. Inventarisieren Sie Ihre KI-Nutzung

Erstellen Sie zwei Listen. Gehen Sie sie mit den Personen durch, die wissen, was das Team tatsächlich nutzt: eine Office-Managerin, ein Teamleiter, wer auch immer die IT betreut.

Eigenständige KI-Tools, die Personen im Browser oder als App öffnen:

• ChatGPT
• Claude
• Gemini (die App)
• Mistral Le Chat
• Microsoft Copilot (der Chat)

KI-Funktionen in Tools, die Sie bereits nutzen:

• Microsoft 365 Copilot (Word, Excel, Outlook, Teams)
• Gemini in Google Workspace (Docs, Gmail, Meet)
• Besprechungszusammenfassungen und Transkripte in Teams oder Meet
• Canva
• Notion AI
• Zoom AI Companion
• Der Assistent in Ihrem CRM, Buchhaltungstool, Helpdesk oder Ihrer HR-Software

Stellen Sie pro Tool eine Frage: Fügen Personen Kunden- oder Mitarbeiterdaten darin ein? Namen, E-Mail-Adressen, den Lebenslauf einer Bewerberin, eine Beschwerde, eine Rechnung, ein Besprechungstranskript. Lautet die Antwort ja oder wahrscheinlich, gehört das Tool in die Richtlinie. Kann es niemand sagen, gehen Sie von ja aus.

Hören Sie nicht bei den Tools auf, für die Sie bezahlen. Das kostenlose ChatGPT-Konto, das jemand auf eigene Faust eröffnet hat, ist genau das, das eine Regel braucht.

2. Legen Sie sie als Systeme an

Jedes KI-Tool wird zu einem System in Ihrem Dossier. Welches Dossier, hängt davon ab, wessen Daten hineingehen:

• Kundendaten gehen hinein: Mein Kundendossier, Reiter Systeme (Kundenbezogene Systeme).
• Mitarbeiterdaten gehen hinein: Mein Mitarbeiterdossier, Reiter Systeme (Systeme Mitarbeitende).
• Beides, wie bei einer Suite wie Microsoft 365 oder Google Workspace: Legen Sie es im Kundendossier an und haken Sie beim Anlegen Dieses System auch dem Mitarbeiter-Dossier hinzufügen an. Es erscheint dann in beiden.

Wählen Sie das Tool aus der Bibliothek oder nutzen Sie Weiteres System hinzufügen und legen Sie ein eigenes an, wenn es nicht aufgeführt ist. Im System-Dialog, Reiter Allgemein:

• Haken Sie KI-Funktionen an, wenn das Tool für Ihr Unternehmen welche hat, auch wenn der Bibliothekseintrag es nicht sagt. Ein CRM mit einem neuen KI-Assistenten zählt.
• Stellen Sie den Kontotyp ein: Privat, Business oder Enterprise. Die Hinweise, die die App Ihnen für dieses System gibt, hängen davon ab. Ein Privatkonto ist eines, das jemand mit einer persönlichen E-Mail-Adresse und ohne Unternehmensvertrag angelegt hat.

Screenshot: der System-Dialog, Reiter Allgemein, mit angehakten KI-Funktionen und gewähltem Kontotyp.

3. Verknüpfen Sie den Anbieter

Öffnen Sie, noch im System-Dialog, den Reiter Drittparteien und haken Sie den Eintrag des Tool-Anbieters an: OpenAI für ChatGPT, Microsoft für Copilot, Google für Gemini, Anthropic für Claude.

Steht der Anbieter noch nicht in der Liste? Schließen Sie den Dialog, gehen Sie zu Mein Drittparteiendossier und legen Sie den Anbieter zuerst dort an. Senden Sie dann die Anfrage zur Vereinbarung über die gemeinsame Nutzung von Daten (kurz: Datenweitergabevereinbarung) aus der App, oder halten Sie fest, dass Sie mit diesem Anbieter bereits einen Auftragsverarbeitungsvertrag haben (Business- und Enterprise-Konten enthalten üblicherweise einen im Vertrag). Kehren Sie zum System zurück und haken Sie den Anbieter an.

Warum dieser Schritt zählt: Die Richtlinie kann personenbezogene Daten nur in einem Tool erlauben, dessen Anbieter einen Auftragsverarbeitungsvertrag mit Ihnen hat. Das ist die Anforderung aus Artikel 28 DSGVO für jeden Auftragsverarbeiter, der personenbezogene Daten in Ihrem Auftrag verarbeitet. GDPRWise markiert eine Regel, die personenbezogene Daten ohne eine solche Vereinbarung erlaubt, als Risiko, also klären Sie das vor Schritt 5.

Screenshot: der Reiter Drittparteien des System-Dialogs, mit dem Hinweiskasten.

4. Verknüpfen Sie die Verarbeitungen

Öffnen Sie den Reiter Verarbeitungen des Systems und haken Sie die Tätigkeiten an, in denen das Tool genutzt wird: Kunden-E-Mails entwerfen, Lebensläufe sichten, Besprechungen zusammenfassen, Buchhaltung. Damit steht das System an der richtigen Stelle in Ihrem Verarbeitungsverzeichnis, neben den Daten und dem Zweck, dem es dient.

Fehlt eine Tätigkeit, legen Sie sie zuerst im Reiter Verarbeitungen desselben Dossiers an und kommen Sie dann zurück.

5. Legen Sie die Regeln fest

Gehen Sie zu DSGVO-Dokumente, suchen Sie die Karte Richtlinie zur zulässigen Nutzung von KI und klicken Sie auf Regeln für KI-Tools festlegen. Der Dialog KI-Tools zeigt eine Zeile pro System mit KI-Funktionen. Legen Sie für jedes Tool fest:

• Status: erlaubt oder nicht erlaubt.
• Erlaubte Daten: Nur öffentliche Informationen, Keine personenbezogenen Daten, Personenbezogene Daten oder Personenbezogene Daten inkl. besondere Kategorien (Gesundheit, Religion und dergleichen).
• Erlaubte Nutzung (optional): eine kurze Beschreibung, wofür das Tool genutzt werden darf, etwa „Entwerfen und Übersetzen, keine Kundendaten“.

Unter jeder Auswahl listet die App die offenen Punkte auf: ein Privatkonto, eine fehlende Datenweitergabevereinbarung, Datenübermittlungen außerhalb der EU, besondere Kategorien ohne spezifische Rechtsgrundlage. Lesen Sie sie. Ein roter Punkt kann nur bewusst bestätigt werden: Die App hält fest, wer ihn wann bestätigt hat, sodass die Entscheidung später nachvollziehbar ist.

Ein vernünftiger Standard für ein Tool mit Privatkonto und ohne Vereinbarung: erlaubt, nur öffentliche Informationen. Für ein Business-Konto mit vorliegender Vereinbarung: erlaubt, keine personenbezogenen Daten oder personenbezogene Daten, je nachdem, wofür das Tool genutzt wird. Reservieren Sie „inkl. besondere Kategorien“ für ein Tool, das eigens dafür bewertet wurde.

Screenshot: der Regel-Dialog, mit der nummerierten Liste der offenen Punkte unter der Datenauswahl.

6. Erzeugen Sie die Richtlinie und geben Sie sie den Mitarbeitenden

Zurück auf der Karte Richtlinie zur zulässigen Nutzung von KI erzeugen Sie das Dokument. Es führt jedes KI-Tool mit seinem Status, den erlaubten Daten und der vereinbarten Nutzung auf und nennt die Tools, die nicht erlaubt sind. Teilen Sie es mit Ihren Mitarbeitenden so, wie Sie Ihre anderen Richtlinien teilen, und bitten Sie sie zu bestätigen, dass sie es gelesen haben.

Die Mitarbeitenden zu informieren ist ein eigener Schritt. Der nächste Compliance-Punkt, die KI-Schulung für Mitarbeitende, deckt ihn ab: Die KI-Verordnung (AI Act) verlangt von Unternehmen, die KI nutzen, Maßnahmen, die die Entwicklung von KI-Kompetenz bei den Mitarbeitenden unterstützen, die damit arbeiten, und eine kurze Sitzung zu dieser Richtlinie ist der praktische Weg dafür.

Wie es gut aussieht

• Jedes KI-Tool, das Ihre Mitarbeitenden nutzen, ist ein System im richtigen Dossier: Kunden, Mitarbeitende oder beide.
• Jedes System mit KI-Funktionen hat seinen Anbieter verknüpft, mit einer vorliegenden oder festgehaltenen Datenweitergabevereinbarung.
• Jedes solche System hat seine Verarbeitungen verknüpft.
• Jedes Tool hat eine Regel: Status, erlaubte Daten und, wo sinnvoll, die erlaubte Nutzung.
• Jeder rote Punkt wurde bewusst bestätigt, und Sie können sagen, warum.
• Die erzeugte Richtlinie ist aktuell und wurde den Mitarbeitenden übergeben. Ein Tool ohne Regel ist darin als nicht erlaubt aufgeführt, was der richtige Standard ist, bis Sie es bewerten.

Wiederholen Sie das Inventar, wenn ein neues Tool auftaucht oder ein Anbieter seine Bedingungen ändert, und erzeugen Sie die Richtlinie neu; die App markiert sie als aktualisierungsbedürftig, wenn sich die zugrunde liegenden Systeme ändern.