1. Ihre Rolle nach dem EU AI Act
Sobald ChatGPT in Ihrem Betrieb läuft, übernehmen Sie eine bestimmte Rolle im EU AI Act, der KI-Verordnung der Europäischen Union. Anbieter im Sinne des Gesetzes ist, wer ein KI-Modell selbst entwickelt und trainiert, etwa OpenAI oder Anthropic. Setzen Sie ChatGPT im Unternehmen ein, ohne das Modell selbst zu bauen, gelten Sie als Betreiber. Diese Rolle bringt weniger Pflichten mit sich als die des Anbieters, hebt sie aber nicht auf. Was hier am Beispiel ChatGPT beschrieben ist, gilt übrigens genauso für Claude, Microsoft Copilot oder Gemini — ChatGPT ist nur das verbreitetste.
Zwei Pflichten treffen Sie als Betreiber unmittelbar. Seit Februar 2025 verlangt Artikel 4 der KI-Verordnung von Ihnen und Ihren Mitarbeitenden ausreichende KI-Kompetenz für den jeweiligen Einsatzbereich. Seit dem 2. August 2026 schreibt Artikel 50 vor, dass Menschen erkennen können, wenn sie mit einer KI sprechen. Ein Chatbot auf Ihrer Website darf sich also nicht als Mitarbeiterin ausgeben, ohne das offenzulegen.
Für Hochrisiko-Anwendungen wie automatisierte Bewerbungsauswahl oder Kreditprüfung gelten zusätzliche Pflichten aus Anhang III der Verordnung. Mit dem sogenannten Digital Omnibus, seit dem 27. Juli 2026 als Regulation (EU) 2026/1744 in Kraft, hat die EU diese Frist auf den 2. Dezember 2027 verschoben. Für den alltäglichen Einsatz von ChatGPT als Schreib- oder Rechercheassistent greift diese Hochrisiko-Kategorie in aller Regel ohnehin nicht.
Beim Einsatz von ChatGPT sind Sie in aller Regel Betreiber, nicht Anbieter. Das senkt Ihre Pflichten, hebt sie aber nicht auf.
2. Was Sie mit ChatGPT im Betrieb dürfen
Für den betrieblichen Einsatz kommen vier Varianten von ChatGPT infrage: die kostenlose Version, der Einzelplan Plus, die Teamversion Business und die Firmenversion Enterprise. Nur die kostenpflichtigen Businessvarianten schließen automatisch einen Auftragsverarbeitungsvertrag ein, kurz AVV, einen Vertrag nach Artikel 28 DSGVO, der OpenAI als Verarbeiter Ihrer Daten verpflichtet und Ihnen als Verantwortlichem Kontroll- und Weisungsrechte einräumt. Ohne diesen Vertrag verarbeiten Sie personenbezogene Daten formal ohne tragfähige Grundlage, sobald ein Name, eine E-Mail-Adresse oder eine Kundennummer im Prompt landet.
Beim Training unterscheiden sich die Varianten ebenfalls. In den privaten Konten Free, Plus und Pro fließen Ihre Eingaben laut OpenAI standardmäßig in das Training künftiger Modelle ein, sofern Sie den Schalter „Modell für alle verbessern" in den Datenkontrollen nicht selbst deaktivieren. Business und Enterprise verzichten vertraglich auf diese Nutzung Ihrer Chats.
Für kurze, einmalige Abfragen ohne Personenbezug bietet die private Version zusätzlich einen temporären Chat-Modus, der die Unterhaltung nach dem Beenden nicht im Verlauf speichert. Dieser Modus ersetzt jedoch keinen Auftragsverarbeitungsvertrag und eignet sich deshalb nicht für Kundendaten oder andere personenbezogene Informationen.
Für den betrieblichen Alltag ergibt sich daraus eine klare Position: Nutzen Sie ChatGPT für Themen ohne Personenbezug, etwa Ideensammlung für Blogartikel oder Formulierungshilfe für interne Texte, reicht auch ein einfacher Plan. Sobald Kundendaten, Bewerbungsunterlagen oder Mitarbeiterinformationen im Spiel sind, brauchen Sie Business oder Enterprise mit Auftragsverarbeitungsvertrag. Welche Werkzeuge sich für kleine Betriebe darüber hinaus lohnen, habe ich in Sechs KI-Tools für kleine Betriebe zusammengestellt.
| Variante | AVV automatisch enthalten | Chats fließen ins Training | Für personenbezogene Daten geeignet |
|---|---|---|---|
| Free | Nein | Ja, außer manuell deaktiviert | Nein |
| Plus / Pro | Nein | Ja, außer manuell deaktiviert | Nein |
| Business (früher Team) | Ja | Nein | Ja, mit AVV |
| Enterprise | Ja | Nein | Ja, mit AVV und vertraglichen Garantien |
| API mit eigener DPA | Ja | Nein, auf Wunsch ganz ohne Speicherung der Anfragen | Ja, für eigene Anwendungen |
3. Was Sie nicht dürfen
Drei rote Linien gelten unabhängig von der gewählten Version. Erstens dürfen Sie keine Entscheidung mit rechtlicher oder erheblicher Wirkung für eine Person allein durch ChatGPT treffen lassen. Artikel 22 DSGVO verbietet rein automatisierte Entscheidungen bei Kündigungen, Bewerbungsabsagen oder Kreditvergaben. Ein Vorschlag durch die KI mit dokumentierter menschlicher Endentscheidung ist dagegen zulässig.
Zweitens dürfen Sie besonders sensible Daten nicht ungeprüft eingeben. Dazu zählen Gesundheitsdaten, Gewerkschaftszugehörigkeit oder ethnische Herkunft nach Artikel 9 DSGVO, aber auch Geschäftsgeheimnisse wie Quellcode oder unveröffentlichte Kennzahlen. Der Fall Samsung aus dem Jahr 2023 zeigt das Risiko: Ingenieure fügten vertraulichen Halbleiter-Quellcode und interne Meeting-Notizen in ChatGPT ein. Der Konzern untersagte daraufhin die Nutzung generativer KI auf Firmengeräten zunächst vollständig.
Drittens sollten Sie ChatGPT nicht am Betriebsrat vorbei einführen, wenn Ihr Unternehmen einen hat. Ob ein Mitbestimmungsrecht nach Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz greift, hängt vom Einzelfall ab. Das Arbeitsgericht Hamburg entschied im Januar 2024 (Az. 24 BVGa 1/24), dass die bloße Erlaubnis, ChatGPT über private Konten im Browser zu nutzen, kein Mitbestimmungsrecht auslöst. Binden Sie ChatGPT dagegen fest in Arbeitsabläufe oder interne Systeme ein, die Verhalten oder Leistung erfassen können, greift die Mitbestimmung nach überwiegender Einschätzung in der Fachliteratur in der Regel doch.
Ein KI-Vorschlag mit dokumentierter menschlicher Endentscheidung ist rechtssicher. Eine vollautomatische Entscheidung ohne diese Prüfung verstößt gegen Artikel 22 DSGVO.
4. Wo es teuer wird
Ein DSGVO-Verstoß kann nach Artikel 83 DSGVO in zwei Stufen geahndet werden: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für formale Pflichtverletzungen, bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes für schwerwiegende Verstöße gegen die Verarbeitungsgrundsätze. Es gilt jeweils der höhere Betrag. Für ein Unternehmen mit 5 Millionen Euro Jahresumsatz läge das Bußgeld-Maximum in der schweren Stufe damit rein rechnerisch bei 200.000 Euro (Beispielrechnung: 4 Prozent von 5 Millionen Euro).
Wie ernst Aufsichtsbehörden das nehmen, zeigt der Fall OpenAI selbst. Die italienische Datenschutzbehörde Garante verhängte im Dezember 2024 eine Geldbuße von 15 Millionen Euro gegen OpenAI, unter anderem weil personenbezogene Daten ohne ausreichende Rechtsgrundlage für das Training verwendet und ein Sicherheitsvorfall aus März 2023 nicht rechtzeitig gemeldet worden waren. Das Landgericht Rom hob dieses Bußgeld am 18. März 2026 vollständig auf. Nach der inzwischen veröffentlichten Begründung scheiterte es an der Zuständigkeit: Seit OpenAI im Februar 2024 eine irische Niederlassung als Hauptsitz in der EU führt, liegt die Aufsicht über grenzüberschreitende Verarbeitungen bei der irischen Datenschutzbehörde. Ob die beanstandeten Praktiken gegen die DSGVO verstoßen, hat damit kein Gericht entschieden. Der Fall zeigt zweierlei: Aufsichtsbehörden prüfen KI-Anbieter aktiv, und selbst hohe Bußgelder halten vor Gericht nicht automatisch stand.
Für Sie als Betreiber zählt vor allem ein anderer Punkt: Die Verantwortung für personenbezogene Daten, die Sie in ChatGPT eingeben, liegt bei Ihrem Unternehmen als datenschutzrechtlich Verantwortlichem, nicht bei OpenAI. Ein Bußgeld wegen fehlendem Auftragsverarbeitungsvertrag oder ungeprüfter Kundendaten im Prompt träfe direkt Sie, unabhängig davon, was gegen den KI-Anbieter selbst verhandelt wird.
Rechtsstreitigkeiten rund um KI und Datenschutz entwickeln sich derzeit schnell. Prüfen Sie vor einer Entscheidung den aktuellen Stand bei Ihrer zuständigen Aufsichtsbehörde oder einer Fachanwältin für Datenschutzrecht.
5. So führen Sie ChatGPT rechtssicher ein
Ein rechtssicherer Einstieg lässt sich in wenigen Schritten organisieren. Die folgende Checkliste deckt die Punkte ab, die in der Praxis am häufigsten übersehen werden.
Von einer Einführung ohne diese Vorbereitung rate ich ab, selbst wenn die Kosten für einen Business-Plan gegenüber der kostenlosen Version zunächst höher wirken. Ein Bußgeld nach Artikel 83 DSGVO oder ein Vertrauensverlust bei Kunden wiegt die eingesparten Kosten für einen Auftragsverarbeitungsvertrag in aller Regel nicht auf. Ebenso wenig empfehle ich, ChatGPT-Ergebnisse bei folgenschweren Personalentscheidungen ungeprüft zu übernehmen, selbst wenn das im Alltag Zeit spart.
Sinnvoll ist ein gestufter Einstieg: zuerst unkritische Anwendungsfälle ohne Personenbezug, danach eine schrittweise Ausweitung auf sensiblere Bereiche mit den passenden vertraglichen und organisatorischen Vorkehrungen. Wie ein solcher automatisierter Ablauf konkret aussieht und was er kostet, zeigt der Beitrag Angebote in 6 statt 40 Minuten.
Dokumentieren Sie zusätzlich, welche Abteilungen ChatGPT bereits nutzen, auch außerhalb einer offiziellen Freigabe. Diese sogenannte Schatten-KI-Nutzung lässt sich selten vollständig verhindern, ein realistischer Überblick ist aber die Voraussetzung dafür, die Checkliste oben wirksam umzusetzen.
Häufige Fragen
Darf ich Kundendaten in ChatGPT eingeben?
Nur mit einem Business- oder Enterprise-Plan und einem abgeschlossenen Auftragsverarbeitungsvertrag. In der kostenlosen Version oder bei Plus fehlt die vertragliche Grundlage, und Ihre Eingaben können ins Training einfließen, wenn Sie das nicht aktiv abschalten.
Muss ich meine Mitarbeitenden informieren, wenn ich ChatGPT einführe?
Ja, aus mehreren Gründen. Artikel 4 der KI-Verordnung verlangt ausreichende KI-Kompetenz bei allen Nutzenden, und intern sollte klar geregelt sein, welche Daten eingegeben werden dürfen. Existiert ein Betriebsrat, ist eine frühzeitige Einbindung ratsam, auch wenn nicht jede Nutzung ein Mitbestimmungsrecht auslöst.
Ist die kostenlose ChatGPT-Version für den Betrieb geeignet?
Für Aufgaben ohne Personenbezug, etwa allgemeine Recherche oder Textentwürfe ohne Namen und Kundendaten, lässt sie sich nutzen. Sobald personenbezogene oder vertrauliche Geschäftsdaten im Spiel sind, fehlt der kostenlosen Version der Auftragsverarbeitungsvertrag, den Sie dafür brauchen.
Was passiert, wenn ich gegen die DSGVO verstoße?
Die Aufsichtsbehörde kann ein Bußgeld nach Artikel 83 DSGVO verhängen, das je nach Schwere bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen kann, es gilt der höhere Wert. Zusätzlich drohen Ansprüche Betroffener auf Schadenersatz und ein Vertrauensverlust bei Kunden und Mitarbeitenden.
Rechtsgrundlagen und Fälle in diesem Beitrag: Art. 4, 22, 28, 50 EU-KI-Verordnung (EU AI Act); Regulation (EU) 2026/1744 (Digital Omnibus, in Kraft seit 27.07.2026); Art. 9, 22, 28, 33, 83 DSGVO; § 87 Abs. 1 Nr. 6 BetrVG; Bußgeldentscheidung der italienischen Datenschutzbehörde Garante gegen OpenAI vom Dezember 2024, aufgehoben durch Urteil des Landgerichts Rom vom 18. März 2026 (R.G. 4785/2025); Beschluss des Arbeitsgerichts Hamburg vom 16. Januar 2024 (24 BVGa 1/24); Berichterstattung zum Fall Samsung/ChatGPT aus dem Jahr 2023. Diese Übersicht ersetzt keine Rechtsberatung im Einzelfall und wurde nach bestem Wissen recherchiert, ohne juristische Prüfung durch eine Rechtsanwältin oder einen Rechtsanwalt.