Kostenlose KI im Büro: Was passiert, wenn Mitarbeiter Kundendaten hineinkopieren

Niemand will etwas Falsches tun. Die KI ist schnell, kostenlos und auf dem Handy sowieso installiert. Typische Fälle:

• Eine Mitarbeiterin kopiert die Beschwerde eines Kunden mit Name, Adresse und Auftragsnummer in einen kostenlosen Chat, um eine freundliche Antwort zu bekommen.
• In der Praxis wird ein Arztbrief in eine KI-App eingefügt, damit sie ihn „in einfache Worte“ übersetzt.
• Ein Mitarbeiter lädt eine Excel-Liste mit Kundendaten hoch, damit die KI daraus eine Auswertung macht.

Manchen ist gar nicht klar, dass die Daten damit den Betrieb verlassen. Andere wissen es und denken: „Das merkt doch eh keiner.“

Was Sie in einen KI-Chat eingeben, wird auf den Servern des Anbieters verarbeitet, häufig außerhalb der EU. Bei kostenlosen Angeboten werden Eingaben oft auch zum Training der KI verwendet. Ein Vertrag, der regelt, was der Anbieter mit den Daten Ihrer Kunden tun darf, existiert nicht. Den verlangt die Datenschutz-Grundverordnung aber, wenn ein Dienstleister personenbezogene Daten für Sie verarbeitet (Art. 28 DSGVO).

Besonders streng ist es bei Gesundheitsdaten. Sie gehören zu den besonderen Kategorien nach Art. 9 DSGVO. In Arztpraxen und anderen Berufen mit Schweigepflicht kommt das Strafrecht hinzu: Wer ein fremdes Geheimnis unbefugt offenbart, kann sich nach § 203 StGB strafbar machen. Das gilt auch für die Mitarbeiter der Praxis.

Vielleicht nicht sofort. Aber Daten, die einmal draußen sind, lassen sich nicht zurückholen. Kommt es zu einer Datenpanne, muss der Betrieb sie in der Regel innerhalb von 72 Stunden der Datenschutzbehörde melden (Art. 33 DSGVO) und bei hohem Risiko auch die Betroffenen informieren (Art. 34 DSGVO). Auffallen kann es auch durch eine Beschwerde, ein Auskunftsersuchen eines Kunden oder einen ehemaligen Mitarbeiter.

Verantwortlich ist dann der Betrieb (Art. 24 DSGVO), nicht der Mitarbeiter, der den Text kopiert hat. Die Datenschutz-Grundverordnung sieht Bußgelder vor, die sich nach Schwere und Größe des Betriebs richten (Art. 83 DSGVO). Oft wiegt der Vertrauensverlust bei Kunden schwerer.

Wer KI im Betrieb einsetzt, muss nach der europäischen KI-Verordnung Maßnahmen ergreifen, damit Inhaber und Mitarbeiter den Umgang damit lernen (Art. 4 KI-VO, seit dem 27. Juli 2026 in überarbeiteter Fassung). Dazu gehört auch zu wissen, welche Daten in welche KI dürfen. Eine kurze Schulung und eine schriftliche Regel sind ein guter Anfang.

Ein Verbot allein hilft selten. Die Arbeit bleibt, und die KI ist zu praktisch. Besser ist eine Lösung, die Sie erlauben können: mit Vertrag zur Auftragsverarbeitung, Verarbeitung in der EU, ohne Training mit Ihren Daten und mit klaren Rechten, wer was sehen darf. Dann gibt es keinen Grund mehr, heimlich den kostenlosen Chat zu benutzen.

1. 1Offen fragen, wer im Betrieb schon KI nutzt und wofür. Ohne Vorwurf, sonst erfahren Sie es nicht.
2. 2Eine klare Regel aufschreiben: Was darf in welche KI, was nie. Kundendaten, Patientendaten und Personalsachen gehören nicht in kostenlose Chats.
3. 3Eine erlaubte Lösung anbieten, mit Vertrag zur Auftragsverarbeitung und Verarbeitung in der EU. Wer nichts Besseres hat, nimmt das Kostenlose.
4. 4Kurz schulen: was KI kann, wo sie Fehler macht, welche Daten tabu sind. Das verlangt auch die KI-Verordnung.
5. 5Festlegen, wer bei einer Panne entscheidet und die Meldung an die Datenschutzbehörde übernimmt.

Ist kostenlose KI im Büro grundsätzlich verboten?

Nein. Für allgemeine Fragen und Texte ohne Bezug zu bestimmten Personen ist sie unproblematisch. Heikel wird es, sobald personenbezogene Daten von Kunden, Patienten oder Mitarbeitern hineinkommen.

Wer haftet, wenn ein Mitarbeiter Kundendaten in einen KI-Chat kopiert?

Gegenüber Kunden und Behörde ist der Betrieb als Verantwortlicher zuständig, nicht der einzelne Mitarbeiter. In Berufen mit Schweigepflicht, etwa in Arztpraxen, kann zusätzlich der Mitarbeiter persönlich strafrechtlich betroffen sein.

Reicht es, Namen wegzulassen?

Oft nicht. Auch ohne Namen lässt sich eine Person häufig erkennen, etwa über Adresse, Geburtsdatum, Auftragsnummer oder eine seltene Diagnose. Dann gelten die Daten weiter als personenbezogen.

Sollten wir KI also lieber ganz verbieten?

Ein Verbot ohne Alternative führt meist dazu, dass heimlich weitergemacht wird. Besser ist eine erlaubte Lösung mit klaren Regeln, bei der die Daten geschützt sind.