ChatGPT nutzen, ohne Firmendaten preiszugeben

1. Das Dilemma: nutzen oder schützen?

Drei von vier Wissensarbeitern nutzen generative KI bereits im Job, und 78 Prozent der KI-Nutzer bringen dafür eigene, nicht freigegebene Tools mit — in kleinen und mittleren Unternehmen sind es sogar 80 Prozent ^[3]. In Deutschland zeichnet sich dasselbe Bild: Vier von zehn Unternehmen gehen davon aus, dass Beschäftigte private KI-Tools für dienstliche Aufgaben verwenden, aber nur knapp ein Viertel hat Regeln für den KI-Einsatz aufgestellt ^[4].

Viele Geschäftsführer reagieren auf diese Lage mit einem Reflex: verbieten. Der Reflex ist verständlich — und er greift nach unserer Einschätzung zu kurz: Ein reines Verbot kann die Nutzung in unkontrollierte private Kanäle verlagern, wenn zugleich kein praktikabler, freigegebener Zugang angeboten wird; wie verbreitet private Tools bereits sind, zeigen die Zahlen oben ^[3], ^[1]. Diese Managementeinschätzung haben wir in unserem Whitepaper „Schatten-KI“ ausführlich begründet. Hier geht es um den konstruktiven Gegenentwurf: die Eingaben regeln statt das Werkzeug verbieten.

Wie das Problem konkret aussieht, zeigt ein alltäglicher Fall:

Der Mitarbeiter hat nichts Böses getan. Er hat seine Arbeit schneller erledigt. Genau deshalb greift hier kein Sicherheitsdenken, das auf Angriffe zielt:

„Jeder Prompt mit Echtdaten ist ein Datenexport an einen Drittanbieter.“

Was mit diesem Export passiert, entscheidet nicht Ihr Unternehmen, sondern der Vertrag — oder dessen Fehlen — mit dem KI-Anbieter. Und die Unterschiede sind größer, als die meisten Entscheider wissen.

Quellen: Cyberhaven, AI Adoption & Risk Report 2026 ^[1]; IBM/Ponemon, Cost of a Data Breach Report 2025 ^[2]. Branchendaten kommerzieller Anbieter, keine amtliche Statistik.

2. Was im Prompt wirklich abfließt — und was Anbieter damit dürfen

Die Nutzungsrichtlinien von OpenAI, Anthropic und Google unterscheiden sich drastisch danach, mit welchem Kontotyp ein Mitarbeiter arbeitet — und teilweise nach Region. Genau hier liegt das eigentliche Risiko: Laut Anbieter Cyberhaven läuft rund ein Drittel der ChatGPT-Nutzung am Arbeitsplatz über private Accounts — bei Claude sind es sogar 58,2 Prozent ^[1]. Private Accounts bedeuten: Consumer-Bedingungen, kein Unternehmensvertrag.

Die Tabelle fasst den Stand zusammen (Stand: 26. Juli 2026 für die OpenAI- und Anthropic-Zeilen, die an diesem Tag erneut direkt geprüft wurden; die Google-Zeile trägt den Stand 20. Juli 2026, die Gemini-API-Bedingungen gelten in der Fassung vom 23. März 2026. Anbieter ändern ihre Richtlinien laufend — prüfen Sie vor verbindlichen Entscheidungen die aktuellen Fassungen und die für Ihre Region geltenden Regeln):

Drei Details verdienen besondere Aufmerksamkeit:

Erstens: Die Gratis-Falle — mit EWR-Sonderregel bei Gemini. Googles Bedingungen für die unbezahlten Dienste warnen selbst am deutlichsten: „Do not submit sensitive, confidential, or personal information to the Unpaid Services“ ^[17]. Für Nutzer im EWR, der Schweiz und dem Vereinigten Königreich entschärfen dieselben Bedingungen die Falle ausdrücklich: Dort gelten die Paid-Services-Datenregeln für alle Services — auch AI Studio und unbezahltes API-Kontingent ^[17]. Darauf allein sollten Sie sich aber nicht verlassen: Die Regel kann sich mit jeder Neufassung ändern (die Gemini-API-Bedingungen wurden zuletzt zum 23. März 2026 neu gefasst), Googles Warnung gilt regionsunabhängig, und wer Anwendungen für EWR-Endnutzer bereitstellt, darf ohnehin nur Paid Services verwenden ^[17]. Der verlässliche Weg bleibt der bezahlte, vertraglich geregelte Zugang. Auch OpenAI nutzt bei Consumer-Konten Chats mit Daumen-hoch-Feedback fürs Training — selbst nach Widerspruch ^[5].

Zweitens: Ausnahmen überdauern das Opt-out. Bei Anthropic können Chats, die von Sicherheitssystemen geflaggt werden, auch bei abgewähltem Training für interne Schutzmodelle verwendet werden ^[18]; geflaggte Ein- und Ausgaben werden bis zu zwei Jahre, die zugehörigen Klassifikationswerte bis zu sieben Jahre gespeichert ^[10]. Ein Opt-out wirkt also auf den Regelfall, nicht auf die Ausnahme.

Drittens: Löschzusagen sind nicht absolut. Im Rechtsstreit mit der New York Times musste OpenAI 2025 auf gerichtliche Anordnung monatelang auch gelöschte Consumer- und API-Chats aufbewahren. Ausgenommen waren Enterprise- und Edu-Kunden sowie API-Kunden mit Zero-Data-Retention-Vereinbarung, also vertraglich zugesicherter Nicht-Speicherung. Die Anordnung endete am 26. September 2025; ein begrenzter Datenbestand aus April bis September 2025 bleibt gesondert gesichert ^[19]. Der Fall ist ein Praxisbeispiel für einen Legal Hold: Wer sich allein auf Löschfristen verlässt, verlässt sich auf etwas, das ein Gericht aussetzen kann. Und selbst innerhalb eines Arbeitsbereichs greift eine Löschung nicht überall gleich: Manuell gelöschte Chats verschwinden bei OpenAI binnen 30 Tagen, außer bei Rechts- oder Sicherheitspflichten — eine in der Library gespeicherte Datei folgt dagegen der Aufbewahrungsrichtlinie des Arbeitsbereichs und überdauert den gelöschten Chat ^[20].

Dass die Risiken real sind, zeigte schon 2023 der Fall Samsung: Nachdem interner Quellcode in ChatGPT eingegeben worden war, untersagte der Konzern generative KI auf Firmengeräten vorübergehend ^[21]. Und die Kostenseite ist beziffert: IBM misst die durchschnittliche Datenpanne 2025 mit 4,44 Millionen US-Dollar; Vorfälle mit nicht freigegebener KI-Nutzung („Shadow AI“) betreffen überdurchschnittlich oft personenbezogene Daten (65 statt 53 Prozent) und geistiges Eigentum (40 statt 33 Prozent) ^[2].

Die Konsequenz aus alledem lautet nicht „Finger weg“. Sie lautet: Die Eingabe ist der erste Punkt, an dem Sie das Risiko selbst senken können. Aber der Prompt ist nicht der einzige Kanal, über den Daten fließen — das zeigt der nächste Abschnitt.

3. Der ganze Datenfluss: acht Stationen, nicht ein Prompt

Moderne KI-Nutzung ist ein Datenfluss, kein einzelner Texteingabeschritt. Wer nur den Prompt betrachtet, übersieht die Hälfte der Risiken. Acht Stationen gehören auf den Prüfstand — jede mit einer Kontrolle und einem Verantwortlichen:

Jede Station braucht eine Kontrolle und einen Verantwortlichen: die Eingabe die Bereinigung (Mitarbeiter), Uploads und Connectors eine Freigabeliste (IT), Verlauf und Memory bewusste Konfiguration, die Anbieter-Logs eine Vertrags- und Retention-Prüfung (Einkauf/Datenschutz) ^[19], ^[10], die Feedback-Funktionen die Schulung ^[5], die Ausgabe einen prüfenden Blick vor der Weiterverwendung ^[22], Konten und Zugriff das SSO und die Konto-Inventur (IT/Security) ^[1], die Löschung ein Konzept, das auch KI-Artefakte erfasst. Die Aufsichtsbehörden denken genauso: Die DSK verlangt für KI-Systeme technische und organisatorische Maßnahmen über den gesamten Lebenszyklus — von der Auswahl über den Betrieb bis zur Löschung ^[22], ^[23]. Dieses Whitepaper konzentriert sich im Folgenden auf die Stationen 1 und 6, Eingabe und Ausgabe — dort, wo jeder Mitarbeiter ab morgen etwas ändern kann. Die übrigen gehören in Ihre KI-Governance (siehe Whitepaper „Schatten-KI“).

4. Anonymisieren heißt mehr als Namen schwärzen

Zwei Begriffe werden im Alltag ständig vermischt, obwohl rechtlich Welten dazwischen liegen:

Anonymisierung bedeutet: Der Personenbezug ist unwiderruflich beseitigt. Niemand kann die Daten mit verhältnismäßigen Mitteln wieder einer Person zuordnen. Solche Daten fallen nicht mehr unter die Datenschutz-Grundverordnung — die DSGVO selbst stellt klar, dass ihre Grundsätze „nicht für anonyme Informationen gelten“ ^[24].

Pseudonymisierung bedeutet: Identifizierende Merkmale werden durch Platzhalter ersetzt, aber es existiert eine Zuordnung, etwa eine Tabelle, die {{KUNDE_A}} wieder in den echten Namen übersetzt. Die DSGVO definiert das ausdrücklich (Art. 4 Nr. 5); nach Erwägungsgrund 26 sind Daten, die sich durch Hinzuziehung zusätzlicher Informationen einer Person zuordnen lassen, personenbezogene Daten ^[24]. Für Ihr Unternehmen, das die Zuordnungstabelle hält, ist der Personenbezug damit die Regel. Der Europäische Datenschutzausschuss bekräftigt das in seinen Pseudonymisierungs-Leitlinien — und betont zugleich, dass Pseudonymisierung die Risiken für Betroffene erheblich senkt ^[25].

Aus wessen Sicht? Die Rechtslage ist seit 2025 differenzierter. Der Europäische Gerichtshof hat am 4. September 2025 entschieden, dass pseudonymisierte Daten nicht in jedem Fall und für jede Stelle personenbezogene Daten sind: Pseudonymisierung kann je nach den Umständen des Einzelfalls verhindern, dass andere als der Verantwortliche die betroffene Person identifizieren. Maßgeblich sind die Umstände der jeweiligen Verarbeitung; für die Informationspflichten kommt es dagegen auf die Sicht des Verantwortlichen zum Zeitpunkt der Erhebung an ^[26]. Das Urteil erging zur Datenschutzverordnung für die EU-Einrichtungen, deren Begriffe denen der DSGVO entsprechen. Der Europäische Datenschutzausschuss hat diese kontextbezogene Sicht in der Konsultationsfassung seiner Anonymisierungs-Leitlinien vom 7. Juli 2026 aufgenommen: Anonymität wird aus der Perspektive der Stellen beurteilt, die Zugang zu den Daten haben, und an drei Prüfungen gemessen — kein Herauslösen einzelner Datensätze, keine Verknüpfbarkeit, keine Rückschlüsse ^[27].

Daraus folgen drei Perspektiven, die Sie auseinanderhalten sollten. Ihr Unternehmen hält die Zuordnungstabelle und kann rückübersetzen: Für Sie bleiben die Daten personenbezogen, mit allen Pflichten. Der KI-Anbieter als Empfänger sieht nur die bereinigte Fassung; ob sie auch für ihn personenbezogen ist, hängt davon ab, welche Mittel er nach allgemeinem Ermessen wahrscheinlich einsetzen kann — das ist im Einzelfall zu prüfen und weder pauschal zu bejahen noch pauschal zu verneinen. Ihre interne Richtlinie schließlich sollte bewusst die strengere Sicht wählen und bereinigte Eingaben durchgehend als personenbezogen behandeln, solange die Zuordnung existiert. Das ist eine konservative Organisationsentscheidung, keine zwingende Rechtsfolge — sie erspart Ihnen im Alltag eine Einzelfallprüfung, die niemand am einzelnen Prompt leisten kann.

Für die Praxis heißt das: Das Platzhalter-Verfahren, das dieses Whitepaper empfiehlt, ist in aller Regel eine Pseudonymisierung, denn die Zuordnungstabelle bleibt in Ihrem Haus. Das ist kein Makel, sondern der Punkt: Der KI-Anbieter sieht nur die bereinigte Fassung; die Zuordnung verlässt das Unternehmen nie. Rechtlich sauber ist, wer das Verfahren auch so nennt und nicht fälschlich „anonym“ etikettiert — denn die DSGVO-Pflichten (etwa Rechtsgrundlage und AVV, wo sie nötig sind) entfallen nur bei echter Anonymität ^[24], ^[25]. Der Kürze halber sprechen wir im Folgenden von „bereinigten“ Eingaben, wenn fachgerecht pseudonymisiert wurde.

Wichtig ist der Maßstab der DSGVO für Identifizierbarkeit: Es zählen „alle Mittel …, die … nach allgemeinem Ermessen wahrscheinlich genutzt werden“ — auch indirekte Merkmale wie Standort, Funktion oder Kennnummern können eine Person identifizierbar machen ^[24]. Die deutschen Datenschutzaufsichtsbehörden formulieren es in ihrer KI-Orientierungshilfe praxisnah: Personenbezug kann sich „durch viele Merkmale, nicht nur durch Namen und Adressdaten“ ergeben. Und selbst eine Eingabe ohne Personenbezug kann eine Ausgabe mit Personenbezug erzeugen ^[22] — auch die KI-Antwort verdient deshalb einen prüfenden Blick, bevor sie weiterverwendet wird.

Datenschutz ist dabei nur eine von zwei Dimensionen. Die zweite sind Geschäftsgeheimnisse: Kalkulationen, Kundenlisten, Verfahren, Quellcode. Das Geschäftsgeheimnisgesetz schützt eine Information nur, wenn sie „Gegenstand von den Umständen nach angemessenen Geheimhaltungsmaßnahmen“ ist (§ 2 Nr. 1 lit. b GeschGehG) ^[28]. Daraus folgt eine unbequeme Einordnung — sie ist juristische Ableitung, kein Gerichtsurteil: Wer Geheimnisse ungeschützt in öffentliche KI-Tools gibt, riskiert im Streitfall das Argument, es fehle an angemessenen Maßnahmen — und damit den Schutzstatus selbst. Umgekehrt gilt: Eine dokumentierte Bereinigungs-Regel kann ein wichtiger Baustein angemessener Geheimhaltungsmaßnahmen sein — angemessen wird der Schutz erst im Bündel mit Schulung, Zugriffskontrollen, technischen Maßnahmen und konsequenter Durchsetzung.

Bleibt die Frage, die jede Diskussion über KI-Datenschutz irgendwann erreicht: Sind die Modelle selbst das Problem? Der Europäische Datenschutzausschuss hat 2024 klargestellt, dass KI-Modelle, die mit personenbezogenen Daten trainiert wurden, nicht pauschal als anonym gelten können; das ist im Einzelfall zu prüfen ^[29]. Für Sie als Anwender heißt das schlicht: Verlassen Sie sich nicht darauf, dass Eingaben „im Modell verschwinden“. Sorgen Sie dafür, dass Kritisches gar nicht erst hineinkommt.

5. Die Datenklassen-Matrix: Triage in Sekunden — Freigabe nach Prüfung

Damit „Kritisches bleibt draußen“ im Alltag funktioniert, braucht es eine Regel, die jeder Mitarbeiter in Sekunden anwenden kann. Aber eine ehrliche Regel hat zwei Stufen: Die Matrix beantwortet als schnelle Triage, welche Kombination aus Datenklasse und Umgebung überhaupt in Frage kommt. Das Freigabe-Gate beantwortet danach, ob sie im konkreten Fall zulässig ist. Kein Feld der Matrix ist für sich allein eine Freigabe.

Erst nach diesem Gate wird eine Eingabe produktiv genutzt. Es folgt auf die Triage und prüft, ob die im Einzelfall geltende Rechts-, Vertrags- und Risikolage die Nutzung trägt. Der folgende Ablauf zeigt die beiden Stufen und die Prüfpunkte, die das Gate ausmachen:

Keine automatische Herabstufung, sondern eine dokumentierte Behandlungsentscheidung. Bereinigung ändert die Klasse eines Dokuments nicht von selbst. Wer Name und Preis ersetzt, hat den Text verändert, nicht seinen Schutzbedarf neu bestimmt: Geschäftsgeheimnis, Vertragsbindung, Zweck, Empfänger und Kontext bestehen fort. Maßgeblich ist deshalb nicht die Frage „Sind die Felder ersetzt?“, sondern eine begründete und festgehaltene Re-Klassifizierung entlang von fünf Kriterien: Bleibt ein Geschäftsgeheimnis im Text — Preislogik, Verfahren, Strategie, Quellcode? Binden Verträge oder Vertraulichkeitszusagen den Inhalt unabhängig von den Namen? Wozu und an wen soll die Eingabe gehen? Welche indirekten Identifikatoren bleiben stehen — Branche, Standort, Projektzuschnitt, seltene Rollen? Und trägt die Rechtsgrundlage den Vorgang? Erst wenn diese fünf Fragen beantwortet und die Antwort dokumentiert ist, darf eine Eingabe in einer niedrigeren Klasse behandelt werden — und auch dann bleibt sie in aller Regel pseudonymisiert, nicht anonym ^[24], ^[25], ^[26].

Zwei Fälle kennen gar keine Re-Klassifizierung. Wo die Identifikatoren selbst der Kern sind, hilft Bereinigung nicht: Eine Kundenliste bleibt „Vertraulich“, denn ihre Merkmalskombinationen bergen auch ohne Namen ein erhebliches Re-Identifikationsrisiko ^[30]. Und „Streng vertraulich“ bleibt „Streng vertraulich“: Dort macht schon der Sachverhalt selbst die Person oder das Geheimnis erkennbar.

Wichtiger als die einzelne Zelle ist die Reihenfolge. Zuerst der freigegebene, vertraglich geregelte Zugang und der freigegebene Use Case — danach die Bereinigung als zusätzliche Schutzschicht. In der umgekehrten Reihenfolge wird die Bereinigung zum Freifahrtschein für genau jene unkontrollierte Nutzung, die dieses Whitepaper verhindern will.

Zwei Beispiele machen das greifbar: Ein Pressetext zur Korrektur? Klasse „Öffentlich“ — grundsätzlich in jeder Umgebung möglich, sofern die eigene Richtlinie, Sperrfristen und Nutzungsrechte es zulassen; das Gate ist hier in Sekunden erledigt. Die Kundenliste zur Segmentierung? Klasse „Vertraulich“, und die Re-Klassifizierung greift nicht — im freien Konto tabu; im Enterprise-Konto mit AVV nur pseudonymisiert (Namen durch IDs ersetzt) und nach Gate; uneingeschränkter nur in einer Umgebung mit Use-Case-Freigabe, die Sie kontrollieren.

Vier Hinweise zur Handhabung: Erstens, im Zweifel eine Klasse strenger — die Einordnung kostet Sekunden, die Datenpanne Monate. Zweitens, Matrix und Gate gehören in Ihre KI-Richtlinie und in die Schulung, nicht in einen Ordner. Drittens, die Unterscheidung „offenes System“ (Cloud-KI für jedermann) versus „geschlossenes System“ (kontrollierte Umgebung) entspricht genau der Systematik der Datenschutzaufsichtsbehörden ^[22] — Sie argumentieren also im Prüfungsfall entlang der Linie der Aufsicht. Viertens, die Spaltenüberschriften der Matrix sind Kurzformen: „Dedizierte EU-Cloud“ und „On-Premises“ dürfen Sie erst verwenden, wenn ein Mindest-Kontrollprofil nachgewiesen ist — dokumentierte Subprozessoren und Supportzugriffe, Umfang von Telemetrie und Protokollierung, freigegebene Connectoren, Egress-Regeln, Verschlüsselung samt Schlüsselverwaltung und ein Löschkonzept, das auch KI-Artefakte erfasst ^[23]. Ohne diesen Nachweis ist eine Spalte nur ein Hostinglabel.

6. Wann ist eine Eingabe „fachgerecht bereinigt“?

„Bereinigt“ darf keine Geschmacksfrage sein, sonst klassifizieren zwei Mitarbeiter denselben Prompt verschieden. Sechs Abnahmekriterien machen die Bereinigung prüfbar; die folgende Abbildung zeigt zunächst das Grundprinzip.

Fachgerecht bereinigt ist eine Eingabe erst, wenn drei inhaltliche Prüfungen bestanden sind. Zunächst müssen alle direkten Identifikatoren — Namen, Firmen, Ansprechpartner, Kennnummern, Beträge und Konditionen — nach der Platzhalter-Konvention ersetzt sein. Schwieriger ist die zweite Prüfung, die der Quasi-Identifikatoren: Kombinationen aus Ort, Funktion, Zeitraum und seltenen Merkmalen müssen entschärft sein. Die Kontextprüfung dafür lautet: „Würde jemand, der die Branche kennt, Person oder Firma erkennen?“ — lautet die Antwort ja, wird weiter abstrahiert oder gar nicht gesendet ^[31], ^[30]. Drittens verlangen Geschäftsgeheimnisse eine eigene Prüfung: Preislogik, Verfahren, Strategie, Quellcode und Vertragslogik sind keine klassische PII und werden von einer reinen Namensersetzung nicht erfasst ^[28].

Drei organisatorische Kriterien sichern das Verfahren ab. Auch die KI-Antwort wird vor der Übernahme in Dokumente und Systeme geprüft, denn sie kann Personenbezug oder Fehler enthalten ^[22]. Ab der Klasse „Vertraulich“ gibt ein zweiter Mitarbeiter die bereinigte Fassung vor dem Senden frei — das Vier-Augen-Prinzip. Und die Zuordnungstabelle liegt getrennt vom Dokument, ist zeitlich befristet und wird nach Abschluss gelöscht; die gesonderte Aufbewahrung verlangt die DSGVO ausdrücklich ^[24].

Damit die Regel im Alltag trägt, braucht sie Zuständige. Die folgende Übersicht benennt sie. Sie ist ein Verantwortungsmodell, keine RACI-Matrix je Aktivität — wer eine solche braucht, leitet sie aus den sechs Gate-Prüfungen ab:

Für die technischen Stufen 2 und 3 gilt zusätzlich: Wirksamkeit wird gemessen, nicht angenommen — und zwar getrennt für die Maschine und für den Menschen. Die technische Erkennung prüfen Sie vor dem Rollout an einem Testkorpus: typische Dokumente (Angebote, Personaltexte, Quellcode, Vertragsklauseln) mit gezielt platzierten Personendaten, Zugangsdaten, Quasi-Identifikatoren und Geheimnissen, ergänzt um bewusst schwierige Varianten wie Abkürzungen, Tippfehler und ungewöhnliche Schreibweisen. Ein rein synthetischer Korpus unterschätzt Kontextfehler; nehmen Sie deshalb datenschutzgerecht aufbereitete Muster echter Dokumente dazu. Gemessen werden drei Größen: Recall je Sensitivitätsklasse (was übersieht die Erkennung?), Precision (wie viele harmlose Eingaben werden fälschlich blockiert?) und eine nach Schadensschwere gewichtete Fehlerquote — ein übersehener M&A-Hinweis wiegt anders als eine übersehene Durchwahl.

Die menschliche Klassifikation braucht eigene Zahlen. Lassen Sie dieselben Beispieldokumente von mehreren Mitarbeitern einordnen und messen Sie die Übereinstimmung (Inter-Rater-Übereinstimmung: Wie oft kommen zwei Prüfer zum selben Ergebnis?); weicht sie stark ab, ist nicht der Mitarbeiter das Problem, sondern die Definition der Klassen. Ebenso gehören die Betriebsgrößen dazu, denn ein Verfahren, das zu lange dauert, wird umgangen: Durchlaufzeit vom Entwurf bis zur Freigabe, Abbruchquote, Anteil der Vorgänge, die am Gate vorbeilaufen, Zahl der Ausnahme- und Override-Fälle sowie die Zahl der Versuche, doch wieder ein privates Konto zu nutzen ^[1]. Das sind keine Bequemlichkeitswerte, sondern Sicherheitsmetriken: Sie zeigen früh, ob die Kontrolle das Schatten-KI-Problem verkleinert oder vergrößert.

Vor der Freigabe für die Klasse „Vertraulich“ legen Sie fest, welche Schwellen erreicht sein müssen: Ihr Zielwert je Kennzahl, das Prüfintervall und der Eskalationsweg bei Unterschreitung. Eine Kontrolle ohne vorab definierte Schwelle ist nicht gemessen, sondern nur beobachtet. Im Betrieb folgen regelmäßige Stichproben, ein Eskalationsweg für erkannte Lücken und ein Fast-Track für wiederkehrende, bereits freigegebene Muster — damit die Prüfung dort greift, wo etwas neu ist, und nicht dort, wo sie nur bremst.

7. Drei Reifegrade der Umsetzung

Die Matrix und das Gate beantworten das Was, das Reifegradmodell das Wie. Kein Unternehmen startet mit der perfekten Automatik; entscheidend ist, überhaupt kontrolliert zu starten.

Stufe 1: Regeln plus Handarbeit — ab morgen möglich

Eine einseitige Richtlinie mit der Datenklassen-Matrix und dem Freigabe-Gate, dazu eine feste Platzhalter-Konvention: Kundennamen werden zu {{KUNDE}}, Ansprechpartner zu {{NAME}}, Beträge zu {{PREIS}}, Nachlässe zu {{RABATT}}, Projektnamen zu {{PROJEKT}}. Wichtig ist die getrennte Verwahrung: Die DSGVO verlangt für Pseudonymisierung ausdrücklich, dass die Zuordnungsinformation „gesondert aufbewahrt“ und technisch-organisatorisch geschützt wird ^[24] — die Zuordnung gehört also nicht in denselben geteilten Ordner wie das Dokument, und sie verlässt das Haus nie. Nach der KI-Antwort werden die Platzhalter zurückgetauscht; ist der Vorgang abgeschlossen, wird die Zuordnung gelöscht. Die Einführung ist bewusst schlank gehalten: als Planwert rund 30 Minuten Schulung je Team — messen Sie den tatsächlichen Bedarf in den ersten Wochen.

Stufe 1 hat Grenzen: Sie verlässt sich auf Disziplin unter Zeitdruck, und manuelle Bereinigung ist fehleranfällig — genau deshalb gehören Vier-Augen-Freigabe und Stichproben von Anfang an dazu. Stufe 1 ist der Anfang, nicht das Ziel.

Stufe 2: Tool-gestützte Bereinigung

Software erkennt personenbezogene Daten automatisch, bevor sie das Haus verlassen. Die Basistechnik heißt Named Entity Recognition (NER): Verfahren, die Namen, Orte, Organisationen und ähnliche Entitäten in Texten identifizieren, ein seit Jahrzehnten etabliertes Feld der Sprachverarbeitung ^[32]. Praktisch nutzbar wird das etwa mit Presidio, einem quelloffenen Framework zur Erkennung und Maskierung sensibler Daten in Texten, Bildern und strukturierten Daten (ursprünglich von Microsoft entwickelt, heute aktiv unter dem Dach von Data Privacy Stack gepflegt) ^[33]. Die Maschine wird nicht müde und prüft jede Eingabe gleich gründlich.

Zwei Grenzen gehören ehrlich dazu. Erstens warnt das Presidio-Projekt selbst: Automatisierte Erkennung garantiert nicht, alle sensiblen Informationen zu finden; zusätzliche Systeme und Schutzmaßnahmen sind nötig ^[33]. Zweitens erkennt NER definierte Muster — Namen, Orte, Nummern —, aber nicht den wirtschaftlichen Geheimniswert eines Textes: Preislogik, M&A-Kontext, Architekturentscheidungen im Quellcode. Wer beides abdecken will, braucht eine mehrteilige Erkennung: PII-Recognizer für Personenbezug, Secrets-Scanner für Code und Zugangsdaten, DLP-Fingerprints für strukturierte Daten, unternehmensspezifische Begriffs- und Projektlisten — und für den semantischen Rest weiterhin den prüfenden Menschen. Deshalb gilt: Stufe 2 ergänzt die Abnahmekriterien, sie ersetzt sie nicht — und ihre Wirksamkeit wird vor dem Rollout am Testkorpus gemessen.

Stufe 3: Das Gateway — Bereinigung als Infrastruktur

Die Zielarchitektur schiebt eine zentrale Kontrollschicht zwischen Mitarbeiter und KI-Modell: ein KI-Gateway mit Prompt-DLP („Data Loss Prevention“ — Software, die Datenabfluss erkennt und stoppt). In der Zielarchitektur läuft jede Anfrage hindurch; sensible Inhalte werden automatisch erkannt, maskiert oder blockiert, und bei technisch erzwungener Nutzung wird jede Anfrage protokolliert. Die Produktkategorie ist etabliert — von der Erkennung persönlicher Daten in Web-Firewalls ^[34] bis zu KI-Gateways in Secure-Access-Plattformen ^[35]; die Wirksamkeit im Einzelfall hängt von Konfiguration, Abdeckung und Durchsetzung ab und muss im Pilot geprüft werden.

Auch hier gehört die Grenze dazu: Ein Gateway kontrolliert nur, was tatsächlich durch es hindurchläuft. Kombiniert mit Single Sign-on (der zentralen Firmen-Anmeldung für alle Dienste) reduziert es das Privat-Account-Problem deutlich — beendet ist es erst, wenn die Begleitkontrollen stehen: verwaltete Geräte und Browser, App- und Browser-Richtlinien auch für mobile Nutzung, Egress-/DNS-Regeln für nicht freigegebene KI-Dienste, Monitoring mit Eskalationsweg — und vor allem ein freigegebener Weg, der bequemer ist als das private Konto. Ein Ausnahmeprozess fängt legitime Sonderfälle auf, bevor sie zur Schatten-Nutzung werden.

Stufe 3 ersetzt die Stufen 1 und 2 nicht. Die Richtlinie bleibt die Grundlage, die Schulung bleibt nötig — das Gateway macht Regelverstöße sichtbar und kann sie bei konsequenter Durchsetzung deutlich unwahrscheinlicher machen.

8. Grenzen: was Bereinigung nicht kann

Ein Whitepaper, das Bereinigung empfiehlt, muss auch sagen, wo sie endet. Die Forschung ist hier eindeutig: Schon im Jahr 2000 zeigte Latanya Sweeney, dass 87 Prozent der US-Bevölkerung allein über Postleitzahl, Geschlecht und Geburtsdatum mit hoher Wahrscheinlichkeit eindeutig identifizierbar sind ^[31]. 2008 deanonymisierten Narayanan und Shmatikov den angeblich anonymen Netflix-Datensatz ^[36]. Und 2019 wies ein Team um Rocher nach, dass sich 99,98 Prozent der Amerikaner in praktisch jedem Datensatz mit 15 demografischen Attributen korrekt re-identifizieren lassen ^[30].

Übersetzt in Ihren Alltag: Auch ein Text ohne Namen kann identifizieren.

Wer die Branche kennt, kennt den Mann. Der Kontext macht identifizierbar, nicht nur der Name. Der DSGVO-Maßstab („alle Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden“ ^[24]) meint genau das.

Daraus folgen zwei Konsequenzen:

Erstens: No-Go-Datenklassen respektieren. Für die Zeile „Streng vertraulich“ der Matrix gibt es keine sichere Platzhalter-Fassung: M&A-Vorhaben, unveröffentlichte Patente und Erfindungen, Gesundheits- und Personaldaten einzelner Mitarbeiter, kritische Sicherheitskonfigurationen. Bei diesen Daten macht schon der Sachverhalt selbst erkennbar, um wen oder was es geht — sie gehören in kein öffentliches Modell, in keiner Fassung.

Zweitens: Der Enterprise-Vertrag ersetzt die Bereinigung nicht — und umgekehrt. Ein Enterprise-Vertrag mit AVV und — soweit für das genutzte Produkt und den Endpunkt vereinbart — Zero Retention ist die richtige Basis ^[14]. Aber er schützt nicht gegen Fehlbedienung (das private Konto ist schnell geöffnet — bei Claude laufen 58,2 Prozent der Arbeitsplatz-Nutzung privat ^[1]), nicht gegen Sicherheits-Ausnahmen in den Anbieterbedingungen ^[10] und nicht gegen gerichtliche Aufbewahrungsanordnungen jenseits der ZDR-Ausnahme ^[19]. Bereinigung wirkt auf einer anderen Ebene: Was nie im Prompt stand, kann kein Vertrag, kein Gericht und kein Leck offenlegen. Deshalb gehört beides zusammen — Vertrag als Fundament, Bereinigung als zweite Verteidigungslinie. Umgekehrt gilt genauso: Wo personenbezogene Restdaten fließen, ersetzt Pseudonymisierung keinen AVV und keine Rechtsgrundlage ^[25], ^[22].

Bereinigung ist Risikominderung, nicht Risikonull. Wer das ausspricht, kann glaubwürdig empfehlen, was sie leistet: Sie macht das Gros der täglichen KI-Nutzung — Texte, Analysen, Entwürfe — kontrollierbar.

9. Compliance-Einordnung

10. Handlungsempfehlungen: die ersten 30 und 90 Tage

In 30 Tagen

Die ersten 30 Tage schaffen die Grundlagen. Die Geschäftsführung legt mit den Fachbereichen die Datenklassen fest — die Matrix aus diesem Whitepaper an die eigenen Begriffe angepasst und freigegeben — und definiert zusammen mit Datenschutz und Legal das Freigabe-Gate samt Zuständigkeiten entlang des Verantwortungsmodells: wer prüft Rechtsgrundlage, Vertrag und Restrisiko je Use Case. Die Fachbereiche führen die Platzhalter-Konvention und die Abnahmekriterien ein (eine Seite, fünf Platzhalter-Typen, Vier-Augen-Regel; Schulung je Team als Planwert 30 Minuten), und die Geschäftsführung kommuniziert die No-Go-Liste jener Daten, die in kein öffentliches Modell gehören. Parallel nimmt die IT eine Konto-Inventur vor — welche KI-Tools laufen über welche Konten? — und stellt private auf Firmen-Accounts um ^[1]; Einkauf und Datenschutz klären für jedes Tool den Vertragsstatus: besteht ein AVV, ist Training ausgeschlossen, gilt das für Kontotyp und Region, und gibt es Zero-Retention-Optionen samt ihrer Reichweite ^[6], ^[11], ^[14], ^[16], ^[17].

In 90 Tagen

Die folgenden 90 Tage bauen aus. IT und Security pilotieren mit den Fachbereichen die tool-gestützte Bereinigung — etwa Presidio in einem datenintensiven Team, gemessen mit Testkorpus und False-Negative-Rate statt nach Eindruck ^[33] — und flankieren ein erzwungenes Single Sign-on mit Browser- und App-Richtlinien, Egress-Regeln und Monitoring, damit der freigegebene Weg der bequemste ist. Monitoring und Protokollierung stimmen sie vorher mit Datenschutz und Betriebsrat ab und begrenzen sie auf den Sicherheitszweck; alles, was Verhalten oder Leistung messbar macht, braucht eine eigene Grundlage. Parallel evaluiert die IT KI-Gateways mit Prompt-DLP für die eigene Landschaft ^[34], ^[35]. Schließlich führt der Datenschutz mit der IT die Clean-Data-Regeln in die KI-Governance zusammen und deckt die Lebenszyklus-Stationen aus diesem Whitepaper ab (siehe Whitepaper „Schatten-KI“) ^[23], während Einkauf und Datenschutz eine halbjährliche Wiedervorlage der Anbieter-Richtlinien einrichten — sie ändern sich laufend, zuletzt grundlegend bei Anthropic 2025 und bei den Gemini-API-Bedingungen im März 2026 ^[9], ^[17].

11. Fazit

Ein Verbot ohne freigegebene Alternative riskiert, die KI-Nutzung ins Private zu verlagern — dorthin, wo weder Vertrag noch Protokoll noch Kontrolle existieren. Wer stattdessen die Eingaben regelt und die Freigabe an Recht, Vertrag und Restrisiko koppelt, gewinnt beides: die Produktivität öffentlicher KI-Modelle und die Kontrolle über die eigenen Daten. Der Weg dorthin ist keine Großinvestition, sondern eine Abfolge machbarer Schritte in dieser Reihenfolge: erst der freigegebene, vertraglich geregelte Zugang, dann Datenklassen-Matrix und Freigabe-Gate als Regel, Platzhalter-Konvention ab morgen, Tool-Unterstützung im nächsten Quartal, Gateway als Zielbild. Dazu die Ehrlichkeit, für das Streng-Vertrauliche Nein zu sagen. Die Eingabe ist nicht das ganze Problem — aber sie ist der Punkt, den jeder Mitarbeiter ab morgen selbst in der Hand hat. Anfangen lohnt sich genau dort.

Methodik und Stand

Dieses Whitepaper ist eine konzeptionelle Synthese, keine empirische Studie und kein systematischer Review. Es führt geltendes Recht, Anbieterbedingungen und Forschungsergebnisse zu einem Handlungsrahmen zusammen; eigene Wirksamkeitsdaten erhebt es nicht.

Quellenauswahl. Gesucht wurde in vier Gruppen: erstens Rechtsquellen und Rechtsprechung (DSGVO, GeschGehG, Entscheidungen des Europäischen Gerichtshofs), zweitens Veröffentlichungen der Aufsichtsbehörden (EDPB, DSK), drittens die geltenden Bedingungen, Datenschutzhinweise und Hilfeseiten der drei im Mittelstand meistgenutzten Anbieter (OpenAI, Anthropic, Google), viertens peer-reviewte Arbeiten zur Re-Identifikation sowie Branchenreports zur Verbreitung. Der Suchzeitraum reicht bis Juli 2026. Aufgenommen wurde eine Quelle, wenn sie primär ist — Normtext, Urteil, Behördendokument oder eine Angabe des Anbieters über sein eigenes Produkt — oder wenn eine Studie ihre Methode nachvollziehbar ausweist. Nicht aufgenommen wurden Sekundärberichte, sofern die Primärquelle greifbar war, Herstellervergleiche einzelner Anonymisierungswerkzeuge, Rechtsprechung außerhalb des EU-Rahmens sowie Beiträge ohne belegte Datenbasis. Bewusst ausgeklammert sind zwei Themen, die eigene Dokumente verdienen: die Entstehung von Schatten-KI (siehe Whitepaper „Schatten-KI“) und die Pflichten aus der KI-Verordnung.

Stand und Nachprüfbarkeit. Volatile Anbieteraussagen wurden am 20. Juli 2026 direkt an den geltenden Bedingungen geprüft; die in dieser Fassung geänderten Rechts- und Anbieterangaben wurden am 26. Juli 2026 erneut an der Primärquelle verifiziert. Jede Quelle trägt ihr Abrufdatum, datierte Fassungen zusätzlich das Fassungsdatum. Von den Dokumenten, die sich erfahrungsgemäß ohne Ankündigung ändern — Anbieter-Hilfeseiten und Konsultationsfassungen — liegt intern eine Kopie mit Abrufzeitpunkt, sodass jede Aussage dem Wortlaut zugeordnet werden kann, auf den sie sich stützt. Re-Check-Regel: Anbieterbedingungen halbjährlich sowie unmittelbar vor verbindlichen Entscheidungen erneut prüfen. Die Zitierweise ist numerisch nach Erstnennung (IEEE-orientiert); jede Nummer bezeichnet genau ein Quelldokument. Zahlen aus Studien kommerzieller Sicherheitsanbieter (Cyberhaven, IBM/Ponemon) sind als Branchendaten zu lesen, nicht als amtliche Statistik.

Woher die drei Werkzeuge stammen. Die vier Datenklassen folgen der in Informationssicherheits-Richtlinien üblichen Schutzbedarfsabstufung und sind auf die Frage zugeschnitten, die im Alltag tatsächlich entschieden wird: Darf dieser Inhalt das Haus verlassen? Ihre Zahl ist ein Kompromiss — weniger Klassen unterscheiden zu grob, mehr Klassen werden unter Zeitdruck nicht mehr angewandt. Die vier Zielumgebungen bilden ab, wie weit Ihr Unternehmen die Verarbeitung selbst kontrolliert. Die sechs Prüfpunkte des Gates sind aus den Voraussetzungen abgeleitet, die eine Übermittlung tragen müssen: Rechtsgrundlage, Auftragsverarbeitung und Transfer, Anbieter- und Regionslage zum Stichtag, Zweck und Empfänger, verbleibendes Re-Identifikationsrisiko sowie die Dokumentation der Entscheidung. Die sechs Abnahmekriterien decken die drei Stellen ab, an denen Bereinigung erfahrungsgemäß scheitert — direkte Identifikatoren, Quasi-Identifikatoren, Geschäftsgeheimnisse — und ergänzen sie um drei organisatorische Sicherungen. Matrix, Gate und Abnahmekriterien sind damit eine begründete, aber anpassbare Heuristik und keine normative Vorgabe: Prüfen Sie sie gegen Ihre eigenen Datenarten und passen Sie Klassen wie Schwellen an.

Quellen