KI & Datenschutz 2025: Wie Sie LLMs DSGVO-konform nutzen – und Schatten-KI im Unternehmen in den Griff bekommen

Die Wahrscheinlichkeit ist hoch, dass in Ihrem Unternehmen längst jemand KI nutzt – ganz ohne Richtlinie, Freigabe oder AV-Vertrag.

Im Marketing werden Texte mit ChatGPT poliert, im Vertrieb landen Kundendaten in Prompts, in der Entwicklung wird Code über KI-Tools gegengecheckt. Gut gemeint, aber aus Sicht von DSGVO, EU-KI-Verordnung und Unternehmens-Compliance ist das eine tickende Zeitbombe: Schatten-KI.

Gleichzeitig wäre es absurd, auf die Produktivitätsgewinne moderner Large Language Models (LLMs) zu verzichten. Die Kunst liegt darin, KI und Datenschutz zusammenzubringen – mit einem klaren Rahmen, der Innovation zulässt und Risiken begrenzt.

Als zertifizierte KI-Expertin (MMAI® Business School Zertifikat, Academy4AI) und zukünftiges Mitglied im KI Bundesverband begleite ich Unternehmen genau bei dieser Schnittmenge aus Technologie, Recht und Governance – und als WooCommerce-Spezialistin & WordPress Entwicklerin für Mittelstand und Industrie kenne ich die Praxisperspektive aus Projekten sehr genau.

In diesem Artikel geht es darum:

• wie DSGVO und EU-KI-Verordnung (AI Act) zusammenwirken,
• welche Risiken bei der Nutzung von ChatGPT, Claude, Gemini & Co. wirklich relevant sind,
• welche Praxisregeln Sie für eine datenschutzfreundliche KI-Nutzung einführen sollten,
• und warum eine Plattform wie InnoGPT eine spannende Option ist, wenn Sie Ihren Teams eine DSGVO-konforme KI-Umgebung bereitstellen möchten.

Ich teile in diesem Artikel meine fachliche Perspektive als zertifizierte KI-Expertin. Dieser Beitrag ersetzt jedoch keine individuelle Rechtsberatung. Wenn Sie eine verbindliche datenschutzrechtliche Einschätzung benötigen, empfehle ich, eine qualifizierte Rechtsanwältin oder einen Datenschutzbeauftragten einzubeziehen.

1. Der verbindliche Rechtsrahmen 2025: DSGVO + EU-KI-Verordnung (AI Act)

1.1 DSGVO bleibt die Basis für alle personenbezogenen Daten

Sobald Sie personenbezogene Daten in KI-Systeme einspeisen – sei es zum Training, zur Anfragebeantwortung oder zur Analyse – gilt die DSGVO. Sie müssen u. a.:

• eine Rechtsgrundlage nach Art. 6 DSGVO haben,
• Transparenz gegenüber Betroffenen gewährleisten,
• Datenminimierung beachten,
• technische und organisatorische Maßnahmen (TOMs) umsetzen,
• und ggf. Datenschutz-Folgenabschätzungen (DSFA) durchführen. (Handelsblatt Live)

Die deutsche Datenschutzkonferenz (DSK) hat 2024 eine ausführliche Orientierungshilfe „KI und Datenschutz“ veröffentlicht. Sie macht klar: Wer KI-Anwendungen auswählt und einsetzt, ist verantwortlich dafür, dass diese Auswahl datenschutzkonform erfolgt – inklusive Providerwahl, Datenflüssen und Konfiguration. (Datenschutzkonferenz)

Der EDPB (European Data Protection Board) hat mit seiner ChatGPT-Taskforce zudem konkrete Fragen zur Rechtmäßigkeit von Web Scraping, Transparenz und Richtigkeitsanforderungen bei LLMs adressiert. (EDPB)

Kurz gesagt: Auch wenn KI neu ist – datenschutzrechtlich ist sie kein rechtsfreier Raum.

1.2 EU-KI-Verordnung (AI Act): Risk-based & Governance-getrieben

Mit der EU-KI-Verordnung (Regulation (EU) 2024/1689) hat die EU 2024 den weltweit ersten umfassenden Rechtsrahmen für KI-Systeme beschlossen. Der AI Act ist seit 1. August 2024 in Kraft und baut einen risikobasierten Ansatz auf: von minimalem Risiko über begrenztes Risiko bis hin zu Hochrisiko-KI und verbotenen Praktiken. (EUR-Lex)

Wichtige Punkte:

• Einige Verbote bestimmter KI-Praktiken (z. B. bestimmte Formen manipulativer Systeme) und Anforderungen an KI-Kompetenz / AI Literacy gelten bereits seit 2. Februar 2025. (Künstliche Intelligenz Gesetz EU)
• Der Großteil der Pflichten – insbesondere für Hochrisiko-KI – wird schrittweise bis 2. August 2026 wirksam, mit weiteren Konkretisierungen und Leitlinien durch die EU-Kommission und das neue European AI Office. (AI Act Service Desk)
• Der AI Act schafft u. a. Vorgaben zu Risikomanagement, Datenqualität, Logging, technischer Dokumentation, Transparenz, menschlicher Aufsicht und Governance-Strukturen. (EUR-Lex)

Aktuell diskutiert die EU, bestimmte Pflichten für Hochrisiko-KI bis 2027 zu strecken, um Unternehmen mehr Umsetzungszeit zu geben. Das ist Stand heute (11. Dezember 2025) ein politischer Vorschlag, der noch das Gesetzgebungsverfahren durchlaufen muss. (Reuters)

Wichtig für Sie:
Die DSGVO bleibt voll anwendbar, der AI Act ergänzt sie. Im Zweifel gilt:

„AI Act regelt was ein KI-System können darf – die DSGVO regelt, wie Sie mit personenbezogenen Daten umgehen dürfen.“ (Handelsblatt Live)

1.3 AI Literacy & Governance-Pflichten: Warum Unternehmen seit 2025 nachweislich KI-Kompetenz brauchen

Mit der EU-KI-Verordnung kommt erstmals ein klarer Rahmen für die organisatorische Verantwortung von Unternehmen, die KI-Systeme einsetzen – unabhängig davon, ob sie eigene Modelle entwickeln oder externe Tools nutzen.

Zwei Punkte sind seit 2025 besonders wichtig:

AI-Literacy-Pflicht (Art. 4 AI Act) – seit Februar 2025 anwendbar

Unternehmen, die KI-Systeme bereitstellen oder einsetzen („Provider“ und vor allem „Deployers“), müssen sicherstellen, dass ihre Mitarbeitenden ein ausreichendes Maß an KI-Kompetenz besitzen. Das bedeutet in der Praxis:

• Mitarbeitende müssen verstehen, wie KI grundsätzlich funktioniert, wo Risiken liegen und wie sie sicher damit arbeiten.
• Unternehmen müssen Schulungen, Awareness-Maßnahmen und interne Leitlinien bereitstellen.
• Diese Maßnahmen müssen so dokumentiert werden, dass sie im Rahmen der Rechenschaftspflicht nachweisbar sind.

Mit anderen Worten:

„KI nutzen“ geht seit Februar 2025 untrennbar mit „KI-Kompetenz nachweisen“ einher.

AI-Governance – seit August 2025 für General-Purpose-KI relevant

Mit dem Anwendungsstart der Regelungen zu General Purpose AI (GPAI) im August 2025 gelten zusätzliche organisatorische Anforderungen – insbesondere für Anbieter, aber mittelbar auch für Unternehmen, die solche Systeme produktiv einsetzen:

• strukturierte Dokumentation der eingesetzten Modelle,
• Monitoring und Logging der Nutzung,
• Prozesse für Vorfallmanagement, Risiken und Beschwerden,
• klare Rollen und Verantwortlichkeiten im KI-Einsatz.

Auch wenn der volle Pflichtenkanon für Hochrisiko-KI erst 2026/2027 greift, ist klar:
Ohne ein KI-Governance-Konzept – also dokumentierte Zuständigkeiten, Richtlinien, Prozesse und Trainings – wird es für Unternehmen zunehmend schwierig, AI-Act- und DSGVO-konforme Nutzung glaubhaft nachzuweisen.

2. Was Aufsichtsbehörden zu KI & LLMs konkret sagen

Damit es greifbar wird, lassen Sie uns kurz auf drei zentrale Quellen schauen:

1. DSK-Orientierungshilfe „KI und Datenschutz“ (2024) – gibt Unternehmen und Behörden Kriterien an die Hand, wie sie KI-Systeme auswählen und einsetzen sollen: Zweckbindung, Rechtsgrundlage, Datenminimierung, Transparenz, Auftragsverarbeitung, technische und organisatorische Maßnahmen. (Datenschutzkonferenz)
2. EDPB ChatGPT Taskforce Report (Mai 2024) – beleuchtet u. a.:
   • wie Training über Web Scraping personenbezogener Daten rechtlich zu bewerten ist,
   • welche Transparenz- und Informationspflichten gegenüber Nutzer:innen bestehen,
   • welche Anforderungen an Richtigkeit und Fairness bei LLM-Antworten gestellt werden. (EDPB)
3. Nationale Merkblätter, z. B. HWR Berlin / Datenschutzbeauftragte – zeigen sehr konkret, welche Daten bei der Nutzung generativer KI anfallen und wie sich diese Nutzung datenschutzfreundlich gestalten lässt (z. B. keine direkten Identifikatoren, Pseudonymisierung, keine sensiblen Daten in frei verfügbare Tools). (Datenschutz HWR Berlin)

Die Botschaft ist überall ähnlich:

• Grundsatz: So wenig personenbezogene Daten wie möglich in KI-Systeme geben.
• Unternehmen brauchen klare Regeln, welche Tools wie genutzt werden dürfen.
• „Nur mal schnell ausprobieren“ ist kein Rechtsgrund.

3. Typische Risiken: Wie Schatten-KI im Unternehmen entsteht

Einige typische Situationen, die ich immer wieder sehe:

• Marketing lädt Kundendaten (z. B. CRM-Export) in eine beliebige KI-Web-App, um „schnell Segmente zu bilden“.
• HR lässt Arbeitsverträge oder Bewerbungen von ChatGPT beurteilen – inklusive vollständiger Personendaten.
• Vertrieb kopiert komplette E-Mail-Verläufe mit personenbezogenen Informationen in LLMs, um „bessere Antworten“ zu formulieren.
• Fachbereiche nutzen kostenlose LLM-Tools ohne Unternehmensaccount, ohne AV-Vertrag, ohne zu wissen, wo Daten verarbeitet werden.

Aus Datenschutzsicht sind das gleich mehrere Problemfelder:

• ungeklärte Rollen & Verantwortlichkeiten (Controller / Processor),
• mögliche Drittlandübermittlungen (z. B. USA),
• unklare Speicherung und Trainingsnutzung der Daten,
• fehlende oder unzureichende Information der Betroffenen.

Genau diese Fälle haben Datenschutzaufsichtsbehörden in den letzten Monaten verstärkt in den Blick genommen – bis hin zu kurzfristigen Einschränkungen und Prüfungen bei einzelnen Anbietern. (StreamLex)

4. 10 Grundregeln: LLMs datenschutzfreundlich nutzen (Solo & im Team)

Ob Einzelunternehmer:in oder Mittelstands-IT – folgende Regeln sind in der Praxis sehr hilfreich, um LLMs DSGVO-freundlich zu nutzen:

1. Keine sensiblen personenbezogenen Daten in Consumer-Accounts
   Gesundheitsdaten, besondere Kategorien nach Art. 9 DSGVO, vertrauliche Mitarbeiterinformationen, interne Verträge usw. haben in frei zugänglichen KI-Frontends nichts verloren. (Datenschutz HWR Berlin)
2. Pseudonymisieren oder anonymisieren, wo immer möglich
   Statt „Max Mustermann, IBAN, Projekt XY bei Kunde Z“ lieber: „Kunde A, Budget B, Projekt im Bereich Maschinenbau, Exportland D“.
3. Klare Tool-Strategie: privat vs. beruflich trennen
   Kein „Ich nehme eben meinen privaten ChatGPT-Account“. Definieren Sie freigegebene Tools – und sperren Sie im Zweifel problematische Domains am Firmen-Proxy. (Landesdatenbank NRW)
4. Unternehmenseigene Richtlinie („AI Policy“) erstellen
   Kurz, verständlich, praxisnah: Welche Tools sind erlaubt? Welche Daten dürfen rein? Wer ist Ansprechpartner:in bei Fragen? Eine KI-Richtlinie ist heute kein „nice to have“ mehr, sondern ein zentrales Element von KI-Governance.
5. Rechtsgrundlage klären
   Im Unternehmen werden Sie sich oft auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO), Vertragserfüllung oder ggf. Einwilligungen stützen. Wichtig ist eine saubere Dokumentation im Verzeichnis der Verarbeitungstätigkeiten. (Datenschutzkonferenz)
6. DSFA prüfen – insbesondere bei sensiblen Szenarien
   Wenn KI-Systeme massiv in Geschäftsprozesse eingreifen oder Profiling-Elemente enthalten, wird eine Datenschutz-Folgenabschätzung häufig Pflicht. (Datenschutzkonferenz)
7. Protokollieren und nachvollziehbar machen
   Wer nutzt welches System wofür? Logging ist nicht nur ein IT-Sicherheits-, sondern auch ein Governance-Thema – und passt gut zur dokumentationsorientierten Logik des AI Act. (EUR-Lex)
8. Modelle & Provider bewusst auswählen
   Prüfen Sie: Hosting (EU/EWR?), AV-Vertrag, Speicher- und Trainingspolitik, Transparenz, technische Sicherheitsfeatures. Einige Anbieter werben mittlerweile explizit mit „Zero-Retention“ und „kein Training auf Kundendaten“. (ASCOMP)
9. Mitarbeitende schulen – seit Februar 2025 auch rechtlich erwartet
   Kurztrainings, Live-Demos, kleine Use-Case-Workshops – Ziel: Verständnis, wo Chancen liegen und wo rote Linien verlaufen.
   Seit Februar 2025 verlangt der EU KI-Verordnung (EU AI Act) ausdrücklich, dass Unternehmen ein ausreichendes Maß an KI-Kompetenz sicherstellen (AI Literacy). Schulungen, interne Leitlinien und dokumentierte Teilnahme werden damit faktisch zu einem verbindlichen Bestandteil von KI-Compliance – vergleichbar mit Datenschutz- oder Informationssicherheits-Trainings.
10. KI & Datenschutz mit Ihrer bestehenden Web- und SEO-Strategie verzahnen
    Wer bereits sauber mit technischer SEO, Performance und strukturierter Datenpflege arbeitet, hat eine gute Basis für saubere KI-Integrationen. Kennen Sie eigentlich meinen Leitfaden zur technischen SEO sowie meinen Artikel zu den wichtigsten SEO-Trends 2024 – denn Sichtbarkeit, Vertrauen und rechtssichere Technologien greifen ineinander. (saskialund.de)

5. Warum Consumer-Accounts (kostenfreie oder Basis-Konten) von ChatGPT & Co für Unternehmen heikel sind

Selbst bei Verbesserungen in den Datenschutzeinstellungen bleibt die Nutzung klassischer Consumer-Accounts in vielen Unternehmenskontexten problematisch:

• Datenflüsse in Drittländer und komplexe Subprozessorketten,
• eingeschränkte oder fehlende Auftragsverarbeitungsverträge,
• unklare Transparenz für Betroffene,
• teilweise Nutzung von Eingaben zum Modelltraining (je nach Anbieter / Tarif), auch wenn viele Anbieter hier mittlerweile „Opt-out“ oder Business-Optionen bieten. (eRecht24)

Das heißt nicht, dass Sie solche Tools gar nicht nutzen dürfen, aber:

• Im Unternehmenskontext sind sie oft nur mit erheblichem Abstimmungsaufwand, Vertragsprüfung und zusätzlichen Maßnahmen sauber abzusichern.
• Besonders im unternehmerischen Kontext lohnt sich daher häufig ein Schritt hin zu dedizierten KI-Plattformen, die explizit für DSGVO-konforme Nutzung ausgelegt sind.

6. Datenschutzkonforme KI-Plattformen – InnoGPT im Fokus

Es gibt inzwischen Plattformen, die verschiedene LLMs in einer EU-gehosteten, DSGVO-orientierten Umgebung bündeln. Eine davon ist InnoGPT.

6.1 Was zeichnet InnoGPT aus?

Aus öffentlich verfügbaren Beschreibungen ergibt sich in der Kurzfassung:

• InnoGPT bündelt führende Sprachmodelle (z. B. GPT-4, GPT-5, Gemini, Claude, Mistral etc.) in einer Plattform, die speziell auf deutsche und europäische Unternehmen zielt. (sysbus.eu)
• Die Plattform setzt auf Hosting in Europa und wirbt mit einer vertraglich abgesicherten „Zero-Retention-Policy“, d. h. Eingaben der Kundschaft werden nicht zum Training der KI-Modelle verwendet und ausschließlich auf europäischen Servern verarbeitet – die Eingaben landen also nicht beim ursprünglichen Drittlandanbieter. (ASCOMP)
• Sie adressiert typische Unternehmensanforderungen wie Team-Funktionalitäten, Workflows und Integration in bestehende Prozesse.

Wenn Sie sich das konkret ansehen möchten, nutzen Sie gern den nachfolgenden Link:

InnoGPT kennenlernen (Partnerlink)

Für Unternehmen, die Schatten-KI ablösen und gleichzeitig ihren Teams moderne Tools an die Hand geben möchten, ist genau dieser Ansatz spannend:

Ihre Teams arbeiten weiterhin mit starken Modellen – aber in einer kontrollierten, dokumentierbaren und DSGVO-freundlichen Umgebung.

7. Praxisbeispiele: Wie Mittelstand & Industrie InnoGPT nutzen könnten

Einige Szenarien, die ich aus Projekten und Diskussionen mit Kund:innen kenne:

1. Technischer Vertrieb & Angebotserstellung
   • Fachtexte, Produktbeschreibungen und Angebote werden über InnoGPT vorbereitet.
   • Intern genutzte Dokumente können über Retrieval-Techniken eingebunden werden, ohne dass das Unternehmen die Kontrolle über die Daten verliert. (arXiv)
2. Wissensmanagement & Dokumentation
   • Interne Richtlinien, Manuals und SOPs werden in einer sicheren Umgebung für Q&A nutzbar gemacht.
   • Mitarbeitende stellen Fragen wie „Welche Prüfschritte gelten für Produktlinie X?“ – InnoGPT liefert Antworten auf Basis interner Dokumente, ohne diese an externe Trainingssysteme abzugeben. (arXiv)
3. Marketing & Content für B2B-Websites und Shops
   • Content-Entwürfe für WooCommerce-Shops, Produktseiten und Blogartikel werden erstellt, mit anschließender fachlicher Prüfung.
   • Aufgrund der Speicherung und Verarbeitung in Europa lässt sich das deutlich besser in eine bestehende Datenschutz- und Compliance-Strategie integrieren als der Einsatz verstreuter Consumer-Tools. (Capterra)

8. Governance & KI-Strategie: Vom Einzeltool zur Unternehmenslösung

Wenn Sie KI im Unternehmen nicht dem Zufall überlassen möchten, braucht es mehr als ein Tool:

1. Bestandsaufnahme
   • Wer nutzt bereits welche KI-Tools wofür?
   • Welche Daten fließen wohin?
2. Zielbild definieren
   • Welche Use Cases sollen offiziell unterstützt werden (z. B. Text, Code, Recherche, Meeting-Notizen)?
   • Wie fügt sich KI in Ihre bestehende Digital- & SEO-Strategie ein?
3. Tool-Landschaft konsolidieren
   • Statt fünf verschiedener KI-Dienste im Schattenbetrieb: eine freigegebene Plattform, z. B. InnoGPT, ergänzt um klar definierte Spezialtools.
4. Richtlinien & Prozesse verankern
   • AI Policy, AV-Verträge, Verzeichnis der Verarbeitungstätigkeiten, Schulungen.
   • KI-Richtlinie, Rollenmodell, Eskalations- und Freigabeprozesse.
5. Monitoring & kontinuierliche Anpassung
   • AI Act-Umsetzung, neue Leitlinien der Aufsichtsbehörden, technische Weiterentwicklungen – Governance ist kein einmaliges Projekt, sondern ein laufender Prozess. (AKEuropa)

Warum das mehr als „Best Practice“ ist:
Der AI Act verlangt – schrittweise über 2025–2027 – ein dokumentiertes Governance-System für Unternehmen, die KI einsetzen. Ohne intern verankerte KI-Governance-Struktur (Richtlinien, Schulungen, Monitoring) wird es mittelfristig sehr schwer, gegenüber Aufsichtsbehörden und Geschäftspartnern nachzuweisen, dass KI-Einsatz kontrolliert, verantwortungsvoll und compliant erfolgt.

9. Checkliste: KI im Unternehmen DSGVO- & AI-Act-ready machen

Eine kurze Checkliste, mit der Sie heute starten können:

1. Inventur machen – Wo wird im Unternehmen bereits KI genutzt (Tools, Datenarten, Prozesse)?
2. Risikobewertung durchführen – Welche Einsätze sind unkritisch, welche berühren sensible Daten oder Kernprozesse?
3. Rechtsgrundlagen & Verträge prüfen – DSGVO, AV-Verträge, Datenflüsse, Drittlandübermittlungen.
4. Freigegebene Plattform definieren – z. B. InnoGPT als zentrale, DSGVO-konforme KI-Lösung für Teams
5. AI Policy verabschieden – verständlich, praxisnah, mit Beispielen und Dos & Don’ts.
6. Schulung & Enablement – Mitarbeitende befähigen, KI zielgerichtet, verantwortungsvoll und effizient zu nutzen – und diese Trainings dokumentieren (AI Literacy).
7. Dokumentation & Monitoring – Logik des AI Act und der DSGVO ernst nehmen: dokumentieren, evaluieren, nachschärfen. (EUR-Lex)

Quellen

1. Datenschutzkonferenz (DSK), Orientierungshilfe „KI und Datenschutz“ (Stand 06.05.2024) – Kriterien für Auswahl und Einsatz von KI-Anwendungen in Unternehmen und Behörden. (Datenschutzkonferenz)
2. European Data Protection Board (EDPB), „Report of the work undertaken by the ChatGPT Taskforce“ (24.05.2024) – Erste abgestimmte europäische Bewertung der Datenverarbeitungspraxis von ChatGPT im Lichte der DSGVO. (EDPB)
3. Merkblatt „Nutzung von generativer KI und Datenschutz“ (Hochschule / Datenschutzbeauftragter, Stand 04/2024) – Praxisleitfaden zur Nutzung generativer KI, insbesondere ChatGPT, aus Sicht des Datenschutzes. (Datenschutz HWR Berlin)
4. eRecht24, „Ist ChatGPT datenschutzkonform nutzbar?“ (2025) – Einordnung zur datenschutzfreundlichen Nutzung von ChatGPT, inkl. Hinweise zu Trainingsnutzung und Einstellungen. (eRecht24)
5. Regulation (EU) 2024/1689 – Artificial Intelligence Act (AI Act) – Offizieller EU-Rechtsrahmen für KI, u. a. mit risikobasiertem Ansatz, Governance-Pflichten und Anwendungszeitleiste. (EUR-Lex)
6. EU AI Act Service Desk & FPF Timeline – Übersicht über die stufenweise Anwendung des AI Act bis 2026/2027. (AI Act Service Desk)
7. Reuters & Le Monde (2025), Berichte zu Vorschlägen der EU-Kommission zur zeitlichen Streckung von Hochrisiko-Pflichten des AI Act – Hinweise auf geplante Verzögerung bestimmter Regelungen bis 2027. (Reuters)
8. Handelsblatt Live, „KI und Datenschutz: So nutzen Sie KI-Systeme DSGVO-konform“ (2025) – Einordnung des Zusammenspiels von DSGVO, BDSG und AI Act im Unternehmenskontext. (Handelsblatt Live)
9. ASCOMP, sysbus.eu, Capterra – Informationen zu InnoGPT als DSGVO-orientierter KI-Plattform mit EU-Hosting und Zero-Retention-Ansatz. (ASCOMP, sysbus.eu, Capterra)
10. arXiv – Fachartikel zu Retrieval-basierten KI-Anwendungen und Wissensmanagement-Szenarien im Unternehmenskontext. (arXiv)
11. AKEuropa – Analysen und Hintergrundberichte zur praktischen Umsetzung des AI Act in Europa. (AKEuropa)

Hinweis: Dieser Artikel bietet eine fachliche Orientierung zur DSGVO- und AI-Act-konformen Nutzung von KI-Systemen. Er ersetzt keine rechtliche Beratung. Für verbindliche Bewertungen sollten Sie juristische Expertise einbeziehen.