Was darf ich in einen KI-Prompt eingeben?

Zwei Fragen entscheiden, ob eine Eingabe gefährlich wird: Um welche Daten geht es, und in welches System gehen sie? Beide musst du beantworten, eine allein genügt nicht.

Wichtig ist der Zeitpunkt. Für einen Datenschutzverstoß müssen Daten nicht erst im Training landen. Es genügt, personenbezogene Daten ohne Rechtsgrundlage an einen Anbieter zu übermitteln: Dort werden sie verarbeitet und gespeichert, je nach Anbieter und Tarif tagelang, wochenlang oder länger.

Die Eingabe-Matrix: vier Datenarten

Für die schnelle Entscheidung im Alltag nutzt der Lehrgang eine vereinfachte Eingabe-Matrix. Sie ordnet die Datenart einer Erlaubnis zu und ist eine erste Orientierung, keine rechtliche Bewertung deines Einzelfalls.

• Öffentliche Daten (veröffentlichte Pressemitteilungen, allgemeines Fachwissen): nach der Matrix unkritisch in der Eingabe.

• Echte anonymisierte Daten (aggregierte Statistiken ohne Rückschlussmöglichkeit): nach der Matrix ebenfalls unkritisch.

• Pseudonymisierte und personenbezogene Daten (Namen, E-Mail-Adressen, durch Kürzel ersetzte Einzelprofile): gesperrt für öffentliche KI. Der Lehrgang erlaubt sie nur in einem intern gesicherten System mit geschlossenem Auftragsverarbeitungsvertrag, das nicht auf Nutzerdaten trainiert. Diese Systemeigenschaften ersetzen die Prüfung der Rechtsgrundlage nicht.

• Geschäftsgeheimnisse (interne Strategien, unveröffentlichte Zahlen, Quellcode): nicht in öffentliche Tools, weil der rechtliche Schutz nach § 2 GeschGehG sonst entfallen kann.

Drei Kategorien, bei denen es ernst wird

• Personenbezogene Daten: Art. 4 Nr. 1 DSGVO erfasst jede Information über eine identifizierte oder identifizierbare Person. Der Name muss gar nicht fallen: Auch eine Umschreibung wie „die Teamleiterin im Einkauf, die seit März in Elternzeit ist“ zeigt eindeutig auf einen Menschen. Schwerer wiegen die besonderen Kategorien aus Art. 9 DSGVO: Gesundheitsdaten, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, ethnische Herkunft, sexuelle Orientierung. Im Personalbereich sind das etwa Krankmeldungen oder eine Schwerbehinderung. Solche Angaben gehören grundsätzlich nicht in einen Prompt.

• Geschäftsgeheimnisse: Nach § 2 Nr. 1 GeschGehG können unveröffentlichte Zahlen, Strategiepapiere oder Quellcode als Geschäftsgeheimnis geschützt sein, sofern sie wirtschaftlichen Wert haben und das Unternehmen sie angemessen geheim hält. Kopiert jemand sie ungeprüft in einen externen KI-Dienst, kann genau diese Geheimhaltung als unzureichend gelten. Dann kann der rechtliche Schutz entfallen. Umgekehrt ist die KI-Richtlinie deines Unternehmens selbst eine solche Geheimhaltungsmaßnahme.

• Sonstige vertrauliche Daten: Bei Kundendaten unter einer Vertraulichkeitsvereinbarung (NDA) droht ein Vertragsbruch. Berufsgeheimnisse in Arztpraxen, Kanzleien oder Steuerbüros sind noch heikler: Eine unbefugte Weitergabe kann strafbar sein (§ 203 StGB). Dazu kommen Insiderinformationen in börsennotierten Unternehmen.

Pseudonymisieren ist nicht anonymisieren

Pseudonymisierung nach Art. 4 Nr. 5 DSGVO tauscht direkte Identifikatoren gegen Platzhalter. Im Beispiel des Lehrgangs wird aus „Max Müller, geb. 12.05.1980, Gehalt 2.500 €“ ein „Mitarbeiter_A“ mit demselben Geburtsdatum und demselben Gehalt. Das Problem ist der Rest: Mit der Zuordnungstabelle oder genug Kontextwissen steht die Person wieder fest. Deshalb bleiben pseudonymisierte Daten rechtlich personenbezogen und unterliegen weiter der DSGVO. Namen zu streichen genügt also nicht.

Anonymisierung geht weiter: Die Daten sind so verändert, dass eine Identifizierung mit vernünftigem Aufwand nicht mehr möglich ist, der Personenbezug also dauerhaft weg. Der Lehrgang veranschaulicht das mit einer aggregierten Gehaltsangabe, etwa „In der Altersgruppe 40 bis 50 Jahre liegt das Durchschnittsgehalt bei 2.500 €“. Entscheidend bleibt nicht die Form des Satzes, sondern dass keine Identifizierung mit vernünftigem Aufwand möglich ist. Hinreichend anonymisierte Daten fallen aus dem Anwendungsbereich der DSGVO heraus. Vor der Eingabe prüfst du weiterhin Geheimhaltungspflichten und die betriebliche Freigabe des Systems. Für die Nutzung öffentlicher KI genügt Pseudonymisierung nach der Matrix des Lehrgangs nicht, dafür musst du die Daten anonymisieren.

Welches System: Training und Memorisation

Ob eine Eingabe zusätzlich ins Training wandert, entscheidet der Zugang. In kostenlosen und privaten Abos, auch in bezahlten wie ChatGPT Plus, können Anbieter Eingaben standardmäßig zur Verbesserung ihrer Modelle nutzen, sofern du nicht widersprichst. Für Business-, Enterprise- und API-Zugänge ist das nach der Anbieterpolitik, die der Lehrgang beschreibt, in der Regel ausgeschlossen. Diese Regeln wechseln regelmäßig, also prüfe sie, bevor du ein Werkzeug einsetzt.

Landen Daten im Training, kommt die Memorisation hinzu. Große Sprachmodelle merken sich Teile ihres Trainingsmaterials wörtlich und geben es unter Umständen später wieder aus. Nasr et al. (2023) haben genau das demonstriert: Mit gezielten Angriffen ließen sich auswendig gelernte Trainingsdaten sogar aus produktiv betriebenen Chatbots herausziehen, und die Schutzmechanismen der Anbieter hielten das nicht zuverlässig auf. Die Untersuchung betraf allgemeines Trainingsmaterial, keine Chat-Eingaben. Das Prinzip bleibt: Was im Modell steckt, holst du nicht sicher zurück.

Die Prüfung liegt bei dir, bevor du auf Senden drückst: Prompt und Anhänge auf Personenbezug und Geschäftsgeheimnisse durchsehen. Wer dafür am freigegebenen Tool vorbeiarbeitet, landet bei Schatten-KI und riskiert mehr als einen Datenschutzverstoß. Dieselbe Prüfung gilt für alles, was du dauerhaft im Profil hinterlegst, siehe Custom Instructions. Eingaberisiken sind Thema in Modul 9 des Lehrgangs Manager für KI-Kompetenzen (IHK).