Die Frage «Welche Daten dürfen in ChatGPT?» kommt in den meisten Firmen zu spät. Sie wird gestellt, wenn die Offerte, der Kundenmail-Verlauf und das halbe Sitzungsprotokoll längst drin waren. Nicht aus Böswilligkeit, sondern weil das Tool praktisch ist und niemand je gesagt hat, was gilt.
Ein typischer Fall aus unserer Arbeit: Ein Verkaufsleiter will eine Offerte sprachlich verbessern und kopiert sie in ChatGPT. Komplett, mit Kundenname, Ansprechpartner, Preisen und Rabattstruktur. Für ihn war das ein Textproblem. Dass er gerade Kundendaten und die eigene Kalkulation an einen Dritten übermittelt hat, kam ihm nicht in den Sinn, und ehrlicherweise: Warum sollte es? Niemand hatte ihm je gesagt, wo die Grenze verläuft.
Wir sehen dieses Muster in fast jedem Gespräch zur KI-Einführung. Die Geschäftsleitung diskutiert, ob man ChatGPT erlauben soll. Die Belegschaft hat die Frage längst beantwortet, auf privaten Konten, mit Firmendaten. Die Debatte über das Ob ist damit erledigt, sie wurde nur nicht im Sitzungszimmer geführt. Übrig bleibt die Frage, um die es geht: welche Daten rein dürfen und welche nicht.
Und die lässt sich beantworten, mit drei Listen, die auf eine A4-Seite passen. Eine Tool-Liste brauchst du dafür nicht. Der Reihe nach.
Welche Daten dürfen in ChatGPT?
Öffentliche Informationen dürfen in jedes KI-Tool. Interne Arbeitsdokumente dürfen in ein Firmenkonto, dessen Vertrag das Training mit deinen Eingaben ausschliesst und die Auftragsbearbeitung regelt. Personendaten von Kunden oder Mitarbeitenden und echte Geschäftsgeheimnisse gehören nur in Umgebungen, die du vertraglich und technisch im Griff hast. In private Gratis-Konten gehören sie nie.
Das ist die kurze Antwort. Sie hat einen Haken, und der ist der eigentliche Punkt dieses Artikels: Die Antwort setzt voraus, dass du weisst, welche deiner Daten öffentlich, intern oder vertraulich sind. Genau diese Entscheidung fehlt in vielen KMU. ChatGPT hat diese Lücke nicht geschaffen, es macht sie nur zum ersten Mal teuer sichtbar.
Warum die Tool-Liste nicht funktioniert
Der erste Reflex vieler Firmen ist eine Tool-Liste. ChatGPT erlaubt, ein anderes Tool gesperrt, ein drittes wird geprüft. Das fühlt sich nach Kontrolle an und ist keine.
Aus zwei Gründen. Erstens altert die Liste schneller, als du sie pflegen kannst. Laufend tauchen neue Tools auf, die bestehenden bauen neue Funktionen ein, und die KI steckt inzwischen in Software, die auf keiner Liste steht, vom Mail-Programm bis zum CRM. Zweitens beantwortet die Liste die falsche Frage. Ob ein Tool zugelassen ist, sagt nichts darüber, was hineindarf. Die Offerte mit Kundennamen ist im erlaubten Tool genauso falsch wie im gesperrten.
Stabiler ist die umgekehrte Sortierung: nicht nach Tools, sondern nach Daten. Drei Kategorien reichen.
- Grün, darf überall hin: alles, was heute schon öffentlich ist oder problemlos sein könnte. Website-Texte, publizierte Preise, allgemeine Entwürfe ohne Namen und ohne Kundenbezug. Die Faustregel: Was du ohne Zögern einem Journalisten schicken würdest, ist grün. Damit darf jeder arbeiten, auch im privaten Konto.
- Orange, nur im Firmenkonto: interne Arbeitsinhalte ohne Personendaten. Prozessbeschreibungen, Konzeptentwürfe, Code ohne Zugangsdaten, anonymisierte Zahlen. Erlaubt, aber nur in der Umgebung, für die ein Vertrag mit dem Anbieter existiert.
- Rot, gar nicht: Personendaten von Kunden und Mitarbeitenden, alles unter NDA, Geschäftsgeheimnisse, Zugangsdaten, Preiskalkulationen. Was hier steht, geht in kein externes KI-Tool, bis jemand mit Entscheidungsbefugnis eine geprüfte Ausnahme definiert.
Der häufigste Einwand gegen die rote Liste lautet: «Dann anonymisieren wir halt.» Der Gedanke ist richtig, die Umsetzung wird regelmässig unterschätzt. Den Kundennamen zu löschen reicht selten. Wenn die Offerte die Branche, den Standort und das Projektvolumen nennt, weiss jeder Leser aus deiner Region, um wen es geht. Anonymisieren heisst, den Fall unkenntlich zu machen, nicht nur das Namensfeld zu leeren. Wer das sauber macht, verschiebt Inhalte legitim von Rot nach Orange. Wer es halbherzig macht, hat dieselben Daten drin und zusätzlich das gute Gewissen, das die Vorsicht abstellt.
Wer schon einmal eine Datenklassifizierung aufgesetzt hat, erkennt das Prinzip: Es ist dieselbe Übung, nur mit einem konkreten Anlass. In unserer Erfahrung ist die KI-Frage sogar der beste Anlass, den diese Übung je hatte. Vorher war Klassifizierung ein Papierthema, jetzt entscheidet sie täglich, was in ein fremdes Rechenzentrum fliesst.
Personendaten: das Gesetz gilt längst
Ein verbreiteter Irrtum lautet: Solange die Schweiz kein KI-Gesetz hat, ist die Sache rechtlich offen. Das Gegenteil stimmt.
Der Eidgenössische Datenschutzbeauftragte hat es festgehalten: Das Datenschutzgesetz ist technologieneutral formuliert und direkt auf KI-gestützte Datenbearbeitungen anwendbar. Wer Personendaten in ein KI-Tool gibt, bearbeitet Personendaten, mit allen Pflichten, die das nDSG kennt: Transparenz über Zweck und Datenquellen, Verhältnismässigkeit, Auskunftsrechte der Betroffenen.
Ein eigenes KI-Gesetz wird daran wenig ändern. Der Bundesrat hat im Februar 2025 entschieden, die KI-Konvention des Europarats zu übernehmen und sektoriell nachzuschärfen, statt ein horizontales KI-Gesetz nach EU-Vorbild zu bauen. Übersetzt heisst das: Es kommt keine neue Grundregel, auf die du warten könntest. Die Regel, die für deine Kundendaten gilt, gilt seit September 2023.
Praktisch bedeutet das: Sobald Personendaten in ein KI-Tool wandern, bearbeitet der Anbieter sie in deinem Auftrag. Dafür braucht es einen Vertrag, der das regelt, und eine Antwort auf die Frage, in welches Land die Daten fliessen. Bei einem privaten Gratis-Konto hast du beides nicht. Es gibt keinen Auftragsbearbeitungsvertrag zwischen deiner Firma und dem Anbieter, weil deine Firma gar nicht Vertragspartei ist. Der Mitarbeiter ist es, als Konsument. Das gilt intern genauso: Der Lebenslauf eines Bewerbers oder die Lohnliste haben in einem KI-Tool ohne geregelte Vertragsgrundlage nichts verloren.
Das Konto entscheidet mehr als das Tool
Damit sind wir beim Teil, der in den meisten Diskussionen fehlt. «ChatGPT» ist keine einzelne Sache. Hinter demselben Produktnamen stehen verschiedene Vertragsverhältnisse, und der Unterschied liegt nicht in der Technik, sondern im Kleingedruckten.
Ein privates Gratis-Konto ist ein Konsumentenverhältnis. Der Anbieter schuldet dem einzelnen Nutzer etwas, deiner Firma nichts. Ein Business-Abo ist ein Geschäftsvertrag, mit Bestimmungen zur Datenbearbeitung, üblicherweise mit der Zusicherung, dass Eingaben nicht für das Training verwendet werden, und mit administrativen Kontrollen, wer was darf.
Bevor du ein KI-Tool fürs Team freigibst, brauchst du deshalb genau zwei Antworten aus dem Vertrag, nicht aus dem Marketing: Wird mit euren Eingaben trainiert? Und wo liegen die Daten? Wenn du diese zwei Antworten nicht findest oder nicht verstehst, ist das kein Detailproblem, sondern die Antwort. Dann ist das Tool für Oranges und Rotes nicht bereit.
Das Firmenkonto bringt noch etwas mit, das im Konsumentenverhältnis fehlt: Sichtbarkeit. Du siehst, wer das Tool nutzt, du kannst Konten sperren, wenn jemand geht, und du kannst Aufbewahrungsfristen für Verläufe setzen. Das klingt nach Verwaltung, ist aber der Unterschied zwischen «wir vermuten, dass das Team KI nutzt» und «wir wissen es und haben es geregelt». Die zweite Aussage kannst du einem Kunden ins Gesicht sagen, wenn er im Security-Fragebogen nach eurem KI-Umgang fragt. Die erste besser nicht.
Die Konsequenz daraus ist unbequem für alle, die auf ein Verbot hoffen: Ein Verbot ohne Alternative erzeugt genau die Situation, die du verhindern willst. Die Arbeit verschwindet nicht, sie verschiebt sich auf private Konten und private Geräte, wo du weder Vertrag noch Einblick hast. Das Firmenkonto ist darum keine Komfortfrage. Es ist die Schutzmassnahme mit dem grössten Hebel. Wer M365 im Haus hat, kennt dieselbe Logik übrigens schon von der Copilot-Einführung: Die Reihenfolge entscheidet, nicht das Produkt.
Eine Seite reicht für den Anfang
Mal ehrlich: Das meiste, was zu diesem Thema kursiert, ist zu gross gedacht. Du brauchst kein KI-Kompetenzzentrum und kein 20-seitiges Regelwerk, um die ChatGPT-Frage zu beantworten. Du brauchst eine Seite mit den drei Listen, mit fünf konkreten Beispielen aus deinem eigenen Betrieb pro Liste. Also nicht «vertrauliche Informationen», sondern konkret: «unsere Marge pro Auftrag», «alles mit einem Kundennamen drin».
Wie du die Seite einführst, entscheidet über ihre Wirkung. Als Anhang einer Rundmail stirbt sie ungelesen. Was funktioniert: fünfzehn Minuten im nächsten Teammeeting, mit den eigenen Beispielen, und mit dem ehrlichen Satz dazu, dass es nicht um Kontrolle geht, sondern darum, dass niemand aus Versehen Kundendaten an einen Anbieter schickt. Die Belegschaft ist dabei meistens erleichtert. Die meisten wussten längst, dass die Grauzone existiert, und hätten gerne früher gewusst, was gilt.
Dazu zwei Festlegungen: ein Firmenkonto, damit die orange Liste einen legalen Ort hat, und eine Person, die Grenzfälle entscheidet, damit «weiss nicht» nicht automatisch «mach einfach» heisst. Warum das keine gesetzliche Pflicht ist und trotzdem nicht warten kann, haben wir im Beitrag zur KI-Richtlinie aufgeschrieben. Und wenn du die Übung strukturiert angehen willst, von der Datenordnung bis zur Weisung, ist das der Kern unserer KI-Governance-Arbeit. Ein Erstgespräch reicht, um zu sehen, wie gross die Übung bei euch ist. Meistens ist sie kleiner als befürchtet.
Der Test für deine Firma ist einfach. Frag drei Leute aus verschiedenen Abteilungen, was bei euch auf der roten Liste stünde. Wenn du drei verschiedene Antworten bekommst, hast du keine KI-Frage, sondern eine Ordnungsfrage, und jetzt einen guten Grund, sie zu klären.
Was stünde bei euch auf der roten Liste?
