DSGVO-konforme ChatGPT-Alternative: Was Unternehmen prüfen sollten

Nicht nur das Produkt, sondern den Einsatz prüfen

Ob eine ChatGPT-Alternative DSGVO-konform eingesetzt werden kann, hängt vom konkreten Verarbeitungsvorgang ab. Bei personenbezogenen Daten sind unter anderem Rechtsgrundlage, Verantwortlichkeiten, Transparenz und Betroffenenrechte zu klären. Auch die Nutzung von Eingaben für Training und die Speicherung von Gesprächsverläufen gehören in die Prüfung. Die Orientierungshilfe der Datenschutzkonferenz zu KI und Datenschutz beschreibt diese Auswahl- und Einsatzfragen.

Beziehe die zuständigen Datenschutz- und Sicherheitsverantwortlichen früh ein. Bei voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung erforderlich. Dieser Leitfaden ist eine Orientierung für die Projektplanung, keine individuelle Rechtsberatung oder Zertifizierung eines Angebots.

Den Weg einer Anfrage vollständig aufzeichnen

Nimm einen konkreten Ablauf, etwa eine Frage zu einem internen Handbuch. Zeichne auf, welche Systeme dabei angesprochen werden: Anmeldung, Dokumentensuche, Texterkennung, Modell, Protokollierung und mögliche externe Recherche. Prüfe jeden Schritt getrennt. Der Standort der Chatoberfläche beschreibt noch nicht den gesamten Weg.

Fragen für das Projektgespräch: Welche Inhalte werden tatsächlich übertragen? Welche bleiben gespeichert? Wer kann sie einsehen? Wie werden Änderungen und Löschungen in Suchindizes und Sicherungen behandelt? Bitte um eine Beschreibung der vorgesehenen Konfiguration, die sich an euren Beispielen nachvollziehen lässt.

Cloud, Private Cloud und On-Premise unterscheiden

Cloud-KI kann schnell zugänglich sein. Für einen Unternehmenseinsatz müssen die angebotenen Einstellungen und Vereinbarungen zu eurem Vorhaben passen. Eine exklusive Umgebung kann die technische Trennung erleichtern; die tatsächliche Ausgestaltung bleibt entscheidend.

On-Premise-KI erlaubt eine Bereitstellung in der eigenen Infrastruktur. Das beseitigt nicht automatisch alle Datenschutzfragen. Auch lokale Anwendungen brauchen angemessene Zugriffe, nachvollziehbare Datenwege und geregelte Zuständigkeiten. Externe Recherche, Supportzugriffe oder zusätzliche APIs müssen gesondert betrachtet werden.

Diese Punkte gehören in dein Auswahlgespräch

• Aufgabe: Welche Ergebnisse soll die KI liefern, und welche Aktionen sind ausgeschlossen?
• Daten: Welche Dokumente und Datenfelder werden wirklich benötigt?
• Zugriff: Welche Quellen dürfen einzelne Teams oder Rollen sehen?
• Verarbeitung: Wo laufen Anwendung, Suche und Modell, und welche Dienstleister sind beteiligt?
• Vereinbarungen: Welche Verträge und Nachweise benötigt eure zuständige Stelle für den konkreten Einsatz?
• Lebenszyklus: Wie werden Daten aktualisiert, gelöscht, exportiert und gesichert?
• Freigabe: Wer prüft die Ergebnisse und entscheidet über die produktive Nutzung?

Datenschutzanforderungen in konkrete Tests übersetzen

Starte mit geeigneten, nicht vertraulichen Testdaten. Lege beispielsweise zwei Dokumentensammlungen für unterschiedliche Rollen an. Prüfe, ob eine Frage tatsächlich nur erlaubte Quellen nutzt. Entferne anschließend ein Testdokument und kontrolliere, wie die Änderung im System wirksam wird. Halte erwartetes und beobachtetes Verhalten fest.

Bei LXI planen wir eine ChatGPT-Alternative für Unternehmen anhand solcher Anforderungen. Beschreibe in der Projektanfrage den Ablauf und die gewünschte Infrastruktur. Personenbezogene Originaldaten und Geheimnisse gehören nicht in das erste Kontaktformular.