ChatGPT im Unternehmenseinsatz Lässt sich ChatGPT datenschutzgerecht nutzen?

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

valvisio international AG

Trotz der laufenden Datenschutz-Diskussion rund um ChatGPT kommt der KI-Dienst bereits betrieblich zum Einsatz. Leserinnen und Leser fragten, ob sich denn ChatGPT überhaupt datenschutzkonform nutzen lässt. Wir haben Prof. Dieter Kugelmann, Leiter der KI-Taskforce der Datenschutzkonferenz (DSK) und Landesbeauftragter für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, dazu befragt.

Viele Startups sind sehr innovativ und entsprechend aufgeschlossen für neue Technologie wie Künstliche Intelligenz (KI). Wie eine Umfrage des Digitalverbands Bitkom ergab, kommt in mehr als der Hälfte der deutschen Startups (53 Prozent) generative KI zur Textgenerierung wie ChatGPT bereits zum Einsatz. Weitere elf Prozent nutzen solche Tools noch nicht, haben dies aber bereits geplant, 21 Prozent können es sich für die Zukunft vorstellen.

Betrachtet man die Unternehmen in Deutschland generell, ist der Einsatz von ChatGPT zwar noch nicht so verbreitet wie unter den Startups, geplant wird die Nutzung aber dennoch: Jedes sechste Unternehmen (17 Prozent) plant den Einsatz solcher KI-Anwendungen, weitere 23 Prozent haben keine konkreten Planungen, können sich die Nutzung aber vorstellen. Demgegenüber stehen 29 Prozent der Unternehmen, die einen solchen KI-Einsatz für sich ausschließen, so Bitkom.

Im Bereich Datenschutz gibt es offene Fragen

Einer der Gründe, solche KI-Dienste für sich auszuschließen, werden im Datenschutz gesehen. So sieht sich eine Mehrheit von 58 Prozent bei KI vor neue Herausforderungen gestellt, etwa beim Datenschutz.

Leserinnen und Leser von Security-Insider stellen sich konkret die Frage: Gibt es für Unternehmen bei ChatGPT einen Weg zum Beispiel über Datenschutz-Folgenabschätzung (DSFA), Nutzungsbedingungen und Schulung, um diesen KI-Dienst datenschutzgerecht nützen zu können? Fragen wie diese sollte man vor dem Einsatz von ChatGPT & Co klären.

Was sagen die Aufsichtsbehörden für den Datenschutz in Deutschland beziehungsweise das Gremium der unabhängigen Datenschutzbehörden in Deutschland, also die Datenschutzkonferenz (DSK), dazu? Wir haben Prof. Dieter Kugelmann, Leiter der KI-Taskforce der Datenschutzkonferenz (DSK) und Landesbeauftragter für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, dazu befragt.

Hinweise einer Datenschutzaufsicht zu ChatGPT

Worauf sollten Unternehmen bei einer Datenschutz-Folgenabschätzung (DSFA) für ChatGPT achten?

Um die möglichen Risiken durch die Nutzung eines KI-basierten Dienstes wie ChatGPT zu minimieren, sollten Unternehmen den Zweck, für den ein solcher Dienst genutzt werden darf, möglichst eng begrenzen.

Aus Sicht des Datenschutzes bedeutet dies auch, den Personenbezug so gering wie möglich zu halten. Viele KI-Anwendungen benötigen gar keinen direkten Personenbezug, vielmehr reicht die Verwendung von Pseudonymen oder noch besser anonymen Daten völlig aus.

Wichtig ist es zudem, einem Dienst wie ChatGPT die Übernahme der Eingabedaten (Prompts) in den Trainingsdatenbestand zu verbieten. Hierzu gibt es spezielle Einstellungen, die OpenAI inzwischen vorgesehen hat.

Insgesamt sollten Unternehmen einen solchen Dienst nur zur schnellen Recherche und zur Vorbereitung menschlichen Entscheidens verwenden und nicht etwa für eine automatisierte Entscheidung im Einzelfall oder Profiling.

Ich möchte an dieser Stelle nochmals auf die sogenannte Hambacher Erklärung zur Künstlichen Intelligenz verweisen, deren Lektüre ich nur empfehlen kann.

Können Sie bereits etwas zu den Nutzungsbedingungen von ChatGPT sagen?

Wir sind noch in der Prüfung, jedoch kann man schon sagen, dass die Nutzungsbedingungen vieles offen lassen. Alleine ein Verweis auf derartige Nutzungsbedingungen wird also aus Datenschutzsicht nicht ausreichen, um hinreichende Transparenz für die Nutzung herzustellen.

Was sollten interne Richtlinien im Unternehmen zu ChatGPT mit Blick auf die Datenschutz-Grundverordnung (DSGVO) enthalten? Kann man hier schon etwas empfehlen?

Was man schon sagen kann: Grundsätzlich sollten Unternehmen solche Dienste, wenn überhaupt, nur für die Unternehmenszwecke verwenden und freigeben. Eine Privatnutzung am Arbeitsplatz sollte nicht erlaubt werden, um die Daten der Beschäftigten keinem möglichen Datenrisiko auszusetzen.

Vertrauliche und personenbezogene Daten sollten in entsprechende Dienste nicht eingegeben werden. Das gilt insbesondere auch für sensible Daten iSd Art. 9 DS-GVO.

Zudem sollte die Weitergabe der Ergebnisse eines solchen Dienstes an unbefugte Dritte ausgeschlossen werden.

Was sollte in einer Schulung zu ChatGPT nicht vergessen werden?

Natürlich sollten die internen Richtlinien des Unternehmens nicht nur aufgestellt, sondern auch in einer Schulung vermittelt werden. Wichtig ist zudem der Hinweis: ChatGPT kann auch falsche Ergebnisse liefern. Man muss also immer nachprüfen.

Und: Spaß mit der offenen Version ist eine Sache, sachorientierte Ergebnisse zu erreichen, eine andere.

Kann die KI Taskforce schon etwas sagen zur Prüfung von ChatGPT? Bis wann rechnen Sie mit ersten Ergebnissen?

Wir sind noch mit der Prüfung der umfangreichen Antworten von OpenAI befasst. Es hat sich schon gezeigt, dass unsererseits wohl Bedarf an zusätzlichen Nachfragen besteht, der Abstimmungs- und Auswertungsprozess wird also noch einige Zeit dauern.

Fragenkatalog zu ChatGPT liefert Beispiel für eine KI-Prüfung

Es lohnt sich, den Fragenkatalog, den die Aufsichtsbehörden für den Datenschutz zur Beantwortung an OpenAI geschickt haben, genauer anzusehen. Man findet darin zentrale Fragen, die der Datenschutz an einen KI-basierten Dienst stellt. Damit kann der Fragenkatalog auch eine Hilfe sein, wenn ein Unternehmen selbst einen KI-Dienst hinterfragen will, zum Beispiel für eine Datenschutz-Folgenabschätzung (DSFA) nach DSGVO.

Es zeigt sich also: Als Unternehmen sollte man zurückhaltend bei der Nutzung eines Dienstes wie ChatGPT sein. Noch ist vieles offen. Alleine ein Verweis auf Nutzungsbedingung, eine Schulung und eine interne Risikoanalyse wird nicht ausreichen. Es empfiehlt sich, die weiteren Ergebnisse der Datenschutzaufsichtsbehörden genau zu beachten. Wir werden weiter berichten.

(ID:49658496)