ChatGPT im Unternehmen: Chancen und Risiken

In vielen Betrieben lautet die eigentliche Frage nicht mehr, ob Mitarbeitende ChatGPT nutzen, sondern ob die Geschäftsführung davon weiß. KI-Chatbots haben sich schneller verbreitet, als Richtlinien und Verträge hinterherkommen. Wer das Thema ignoriert, verliert die Kontrolle darüber, welche Unternehmensdaten wo landen. Wer es komplett verbietet, verlagert die Nutzung in private Accounts auf privaten Geräten – und hat erst recht keinen Einblick mehr. Der sinnvolle Weg liegt dazwischen: den Nutzen realistisch einschätzen, die Risiken benennen und Regeln festlegen, die im Arbeitsalltag tatsächlich funktionieren.

Wo ChatGPT im Arbeitsalltag tatsächlich hilft

Der größte Nutzen entsteht überall dort, wo regelmäßig Texte entstehen oder verarbeitet werden. Typische Anwendungsfälle in Unternehmen mit zehn bis hundert Mitarbeitenden:

Entwürfe für Texte aller Art. E-Mails, Angebote, Stellenanzeigen, Einladungen, Protokolle oder Newsletter lassen sich als Rohentwurf erzeugen und dann überarbeiten. Der Zeitgewinn liegt in der ersten Fassung, nicht im fertigen Ergebnis.

Zusammenfassen und Strukturieren. Lange Berichte, Protokolle oder Fachbeiträge lassen sich auf die Kernpunkte reduzieren. Umgekehrt kann aus Stichpunkten eine Gliederung oder ein ausformulierter Text werden.

Umformulieren und Übersetzen. Ein sperriger Text wird verständlicher, ein formloser Entwurf bekommt einen professionellen Ton, eine Nachricht wird in eine andere Sprache übertragen.

Ideenfindung. Für Namen, Themenlisten oder Argumentationsstrukturen ist der Chatbot ein geduldiger Sparringspartner, der beliebig viele Varianten liefert.

Unterstützung in der Entwicklung. Entwicklerinnen und Entwickler nutzen solche Werkzeuge für Codebeispiele, die Fehlersuche oder das Kommentieren bestehender Programme.

Bei all diesen Punkten gilt dieselbe Einschränkung: Das Ergebnis ist ein Entwurf, keine Endfassung. Wer das akzeptiert, arbeitet schneller. Wer fertige Qualität erwartet, wird enttäuscht – oder übersieht Fehler.

Die Risiken, die Sie kennen müssen

Datenabfluss. Alles, was in einen Prompt eingegeben wird, verlässt das Unternehmen und wird auf den Systemen des Anbieters verarbeitet. Bei geschäftlichen Konten lässt sich das vertraglich regeln. Bei privaten Accounts der Mitarbeitenden haben Sie weder einen Vertrag noch Einsicht noch Löschmöglichkeiten.

Personenbezogene Daten. Sobald Namen, Adressen, Personaldaten oder Kundeninformationen in Eingaben landen, greift die Datenschutz-Grundverordnung. Ohne passenden Vertrag und Rechtsgrundlage ist das ein Verstoß – unabhängig davon, ob der Anbieter die Daten tatsächlich auswertet.

Plausibel klingende Fehler. Sprachmodelle erfinden Fakten, Quellen und Zahlen, wenn ihnen das Wissen fehlt. Die Antworten klingen dabei genauso überzeugt wie richtige. Wer Ergebnisse ungeprüft übernimmt, riskiert falsche Auskünfte an Kunden oder fehlerhafte Dokumente.

Vertrauliches Know-how. Kalkulationsgrundlagen, Produktideen, interne Strategien oder Quellcode gehören nicht in ein Werkzeug, dessen Datenflüsse Sie nicht vollständig kennen.

Schatten-IT. Das größte praktische Risiko ist selten das Werkzeug selbst, sondern die unkontrollierte Nutzung: private Accounts, Browser-Erweiterungen und Apps, von denen die IT nichts weiß.

Erster Schritt: Bestandsaufnahme statt Bauchgefühl

Bevor Sie Regeln aufstellen, brauchen Sie ein ehrliches Bild der Ist-Situation. Fragen Sie Ihre Mitarbeitenden – am besten anonym oder in einem offenen Gespräch ohne Drohkulisse – welche KI-Werkzeuge bereits genutzt werden, wofür und mit welchen Daten. In den meisten Betrieben kommt dabei mehr heraus, als die Führungsebene erwartet.

Ordnen Sie anschließend Ihre Daten in Kategorien: Was ist ohnehin öffentlich, was ist intern, was ist vertraulich, was darf unter keinen Umständen das Unternehmen verlassen? Diese Einteilung ist die Grundlage für jede spätere Regel. Erst wenn beides auf dem Tisch liegt – die tatsächliche Nutzung und die Datenkategorien – entscheiden Sie, was Sie freigeben, was Sie einschränken und wofür Sie ein kontrolliertes Angebot schaffen.

Die richtigen Fragen an den Anbieter

Wenn Sie ein KI-Werkzeug offiziell einführen, prüfen Sie den Anbieter wie jeden anderen Dienstleister, der Unternehmensdaten verarbeitet. Konkret sollten Sie fragen:

• Werden meine Eingaben zum Training der Modelle verwendet, und lässt sich das vertraglich ausschließen?
• In welchen Rechenzentren und in welcher Rechtsordnung werden die Daten verarbeitet?
• Gibt es einen Vertrag zur Auftragsverarbeitung, wie ihn die Datenschutz-Grundverordnung verlangt?
• Lassen sich Aufbewahrung und Löschung der Eingaben konfigurieren?
• Gibt es eine zentrale Verwaltung, über die ich Nutzerkonten anlege, Rechte steuere und Zugänge bei Austritt sofort sperre?
• Kann ich nachvollziehen, welche Funktionen genutzt werden?

Wichtig ist die Unterscheidung zwischen Angeboten für Privatpersonen und solchen für Geschäftskunden. Die Bedingungen unterscheiden sich erheblich, gerade beim Training mit Kundendaten und bei der Verwaltung. Ein Mitarbeitender, der mit dem privaten Konto arbeitet, steht außerhalb all dieser Vereinbarungen.

Regeln, die im Alltag funktionieren

Eine Nutzungsrichtlinie muss kurz genug sein, dass sie gelesen wird. Eine Seite genügt meist. Darin gehören drei Dinge: eine Liste erlaubter Anwendungsfälle, eine Liste verbotener Daten und die ausdrückliche Pflicht, jedes Ergebnis vor der Verwendung zu prüfen. Formulieren Sie die Verbote anhand Ihrer Datenkategorien, nicht abstrakt. „Keine Kundennamen, keine Personaldaten, keine Kalkulationen in Prompts“ versteht jeder. „Beachten Sie die Vertraulichkeitsstufen“ versteht niemand.

Klären Sie die Verantwortlichkeiten. Die Geschäftsführung trägt die Entscheidung und das Risiko. Eine benannte Person – in Unternehmen dieser Größe meist die oder der IT-Verantwortliche, oft unterstützt von einem externen Dienstleister – betreut Konten, Zugänge und technische Einstellungen. Falls Sie eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten haben, binden Sie diese Person ein, bevor Sie freigeben, nicht danach.

Ergänzen Sie die Richtlinie durch eine kurze Schulung. Mitarbeitende müssen zwei Dinge verstehen: wie man brauchbare Ergebnisse bekommt, und wo die Grenzen liegen. Beides lässt sich zügig vermitteln und verhindert die meisten Fehler.

Setzen Sie die Regeln technisch um, wo es geht: zentrale Geschäftskonten statt Privataccounts, Anmeldung über die bestehende Unternehmensverwaltung, Sperrung nicht freigegebener Werkzeuge auf Dienstgeräten, sofern Ihre Infrastruktur das hergibt.

Woran Sie merken, dass etwas schiefläuft

Einige Warnsignale sollten Sie ernst nehmen: Kundennamen oder interne Zahlen tauchen in Prompts auf. In Kundenkommunikation oder Dokumenten finden sich Fehler, die typisch für ungeprüft übernommene KI-Texte sind – erfundene Details, falsche Zusammenhänge, ein auffällig glatter Ton. Niemand im Unternehmen kann sagen, welche Werkzeuge tatsächlich genutzt werden. Ausgeschiedene Mitarbeitende haben noch Zugang zu Konten mit Unternehmensdaten. Oder es gibt zwar eine Richtlinie, aber niemand fühlt sich für ihre Einhaltung zuständig.

Jedes dieser Signale bedeutet nicht, dass KI-Werkzeuge das Problem sind – sondern dass die Steuerung fehlt.

Wann sich der Einsatz nicht lohnt

Nicht jeder Betrieb braucht ChatGPT. Wenn in Ihrem Unternehmen kaum Texte entstehen und die Kernarbeit etwa in der Werkstatt, im Außendienst oder an Maschinen stattfindet, ist der Nutzen begrenzt. Wenn Sie erwarten, dass ein Sprachmodell Fachwissen oder Erfahrung ersetzt, werden Sie enttäuscht: Es formuliert, es recherchiert nicht zuverlässig. Wenn Ihre Arbeit überwiegend auf streng vertraulichen Daten beruht und Sie keine Verträge und Prozesse dafür aufsetzen wollen, ist Zurückhaltung die richtige Entscheidung. Und wenn niemand im Unternehmen Zeit hat, Regeln aufzustellen und durchzusetzen, ist es ehrlicher, das Thema zu vertagen, als eine halbherzige Freigabe zu erteilen, die niemand kontrolliert.

Fazit: Steuern statt verbieten

Die Frage „ChatGPT im Unternehmen: Chancen und Risiken“ lässt sich nicht pauschal beantworten, aber sie lässt sich steuern. Die Chancen liegen in schnelleren Entwürfen, besser strukturierten Texten und entlasteter Routinearbeit. Die Risiken liegen im Datenabfluss, in ungeprüften Ergebnissen und in der Schatten-IT. Wer die tatsächliche Nutzung erhebt, Daten kategorisiert, den Anbieter gezielt befragt und eine kurze, klare Richtlinie durchsetzt, nutzt die Chancen, ohne die Kontrolle zu verlieren. Ein Verbot schiebt das Problem nur aus dem Blickfeld – eine klare Regelung löst es.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.