Das Problem: ChatGPT im Unternehmen ist ein Risiko #
Jeden Tag nutzen Millionen von Mitarbeitern ChatGPT, um E-Mails zu schreiben, Dokumente zusammenzufassen und Berichte zu erstellen. Das scheint harmlos. Doch laut einem Report von 2025 fuegen 77% der Mitarbeiter Unternehmensdaten in KI-Dienste wie ChatGPT ein — und 82% tun dies mit privaten Accounts, ausserhalb der Kontrolle des Unternehmens.
Dieses Phaenomen nennt sich Shadow AI: die unautorisierte Nutzung von KI-Werkzeugen am Arbeitsplatz. Und der Schaden kann enorm sein.
Der Fall Samsung: Quellcode landet in ChatGPT #
Im Jahr 2023 haben drei Samsung-Ingenieure in ChatGPT eingefuegt:
- Proprietaeren Quellcode von Halbleitern zur Fehlersuche
- Vertraulichen Code zur Loesung von Geraeteproblemen
- Eine komplette Aufzeichnung einer internen Besprechung zur Protokollerstellung
Ergebnis: Samsung hat saemtliche generativen KI-Werkzeuge auf Firmengeraeten und im Unternehmensnetzwerk verboten. Sie sind nicht die Einzigen: JP Morgan, Goldman Sachs, Apple, Deutsche Bank und Bank of America haben dasselbe getan.
DSGVO und ChatGPT: Was Ihrem Unternehmen droht #
Die 15-Millionen-Strafe in Italien #
Im Dezember 2024 hat die italienische Datenschutzbehoerde OpenAI eine Strafe von 15 Millionen Euro auferlegt — die erste bedeutende Sanktion weltweit gegen ein Unternehmen fuer generative KI. Die beanstandeten Verstoesse:
- Keine Rechtsgrundlage fuer die Verarbeitung personenbezogener Daten zum Training von ChatGPT
- Keine Meldung der Datenschutzverletzung vom Maerz 2023
- Unzureichende Datenschutzerklaerung: nur auf Englisch und zu vage
- Keine Altersueberpruefung zum Schutz Minderjaehriger
Was passiert, wenn ein Mitarbeiter Daten in ChatGPT einfuegt #
Aus Sicht der DSGVO bleibt das Unternehmen verantwortlich — auch wenn der Mitarbeiter ohne Genehmigung gehandelt hat. Personenbezogene Daten (von Kunden, Mitarbeitern, Patienten) ohne Rechtsgrundlage in ChatGPT einzufuegen, stellt einen DSGVO-Verstoss durch den Verantwortlichen dar.
Moegliche Konsequenzen:
- Meldepflicht an die Aufsichtsbehoerde innerhalb von 72 Stunden (Art. 33 DSGVO)
- Bussgelder bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes
- Unkalkulierbarer Reputationsschaden
Das Problem der Datenuebermittlung in die USA #
ChatGPT verarbeitet Daten auf US-amerikanischer Infrastruktur. Das EU-US Data Privacy Framework wurde 2025 bestaetigt, doch die Organisation NOYB von Max Schrems hat bereits eine Klage vor dem Europaeischen Gerichtshof angekuendigt. Wird das Framework fuer ungueltig erklaert — wie beim Privacy Shield im Jahr 2020 — wuerde jede Uebermittlung personenbezogener Daten an OpenAI potenziell rechtswidrig.
KI-Verordnung: Die neuen Pflichten fuer KMU #
Die EU-Verordnung ueber kuenstliche Intelligenz (KI-Verordnung, VO (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten und wird schrittweise angewendet:
| Datum | Was sich aendert |
|---|---|
| Februar 2025 | Verbot inakzeptabler KI-Praktiken + KI-Kompetenzpflicht fuer alle |
| August 2025 | Pflichten fuer allgemeine KI-Modelle (GPAI) |
| August 2026 | Vollstaendige Pflichten fuer Hochrisiko-KI-Systeme, Transparenz, menschliche Aufsicht |
Die KI-Kompetenzpflicht gilt bereits #
Seit dem 2. Februar 2025 muss jedes Unternehmen, das KI-Werkzeuge einsetzt, sicherstellen, dass sein Personal ein “ausreichendes Mass an KI-Kompetenz” besitzt. Das gilt fuer alle — vom KMU mit 5 Mitarbeitern bis zum Grosskonzern.
Das Risiko liegt nicht im Werkzeug, sondern in der Nutzung #
Dasselbe ChatGPT kann sein:
- Minimales Risiko: zum Verfassen von E-Mail-Entwuerfen oder fuer Brainstorming
- Hohes Risiko: bei der Auswahl von Bewerbern, der Bonitaetsbewertung oder bei Entscheidungen, die Personen betreffen
Wenn Sie KI fuer Entscheidungen einsetzen, die Menschen betreffen, greifen strenge Pflichten: Folgenabschaetzung, menschliche Aufsicht, Registrierung in der EU-Datenbank.
Sanktionen der KI-Verordnung #
| Verstoss | Hoechststrafe |
|---|---|
| Verbotene Praktiken | 35 Millionen Euro oder 7% des Umsatzes |
| Hochrisiko-Systeme | 15 Millionen Euro oder 3% des Umsatzes |
| Falsche Angaben gegenueber Behoerden | 7,5 Millionen Euro oder 1% des Umsatzes |
Fuer KMU wird die Sanktion stets auf den niedrigeren Betrag aus Festbetrag und Umsatzprozentsatz berechnet. Doch auch der niedrigere Betrag kann erheblich sein.
Die Loesung: Private KI #
Private KI loest das Problem an der Wurzel: Die Daten verlassen niemals den Unternehmensbereich.
Anstatt Daten an amerikanische Server zu senden, laeuft ein privates KI-System auf kontrollierter Infrastruktur — europaeisch, on-premise oder im Rechenzentrum Ihres zertifizierten Anbieters. Die Sprachmodelle (LLM) werden lokal ausgefuehrt, die Dokumente bleiben dort, wo sie sind, und keine Daten fliessen in das Training von Drittanbieter-Modellen.
Was sich mit privater KI aendert #
| ChatGPT (Cloud) | Private KI | |
|---|---|---|
| Wohin gehen die Daten | US-Server (OpenAI) | Kontrollierte Infrastruktur |
| Training mit Ihren Daten | Moeglich (kostenlose Stufe) | Niemals |
| DSGVO-Konformitaet | Komplex, riskant | Nativ |
| KI-Verordnung-Konformitaet | Verantwortung des Nutzers | Im Design integriert |
| Uebermittlung ausserhalb der EU | Ja | Nein |
| Zugriffskontrolle | Eingeschraenkt | Vollstaendig |
| Audit Trail | Teilweise | Vollstaendig |
So funktioniert PRISMA, der private KI-Stack von HTX #
Wir bei HTX haben PRISMA entwickelt — eine private KI-Plattform, konzipiert fuer Unternehmen, die sensible Daten verarbeiten.
Wo PRISMA betrieben wird #
PRISMA kann im Data Center des BIC Incubatori FVG betrieben werden, dem zertifizierten Inkubator der Region Friaul-Julisch Venetien. Dedizierte Infrastruktur, redundante Konnektivitaet, physische und logische Sicherheit. Fuer Workloads, die hoehere Rechenleistung erfordern, nutzen wir TriesteValley HPC, den Hochleistungsrechen-Cluster mit NVIDIA-GPUs.
Was PRISMA leistet #
- KI-Unternehmens-Chat: Ein KI-Assistent, der ausschliesslich auf Basis Ihrer internen Dokumente antwortet (RAG — Retrieval Augmented Generation)
- Text-to-SQL (MANTA): Stellen Sie Fragen in natuerlicher Sprache an Ihre Datenbanken und erhalten Sie praezise Antworten — ohne Code zu schreiben
- KI-Klassifikation (KOI): Modelle, die auf Ihren Daten trainiert werden, um zu klassifizieren, zu kategorisieren und zu entscheiden — mit voller Transparenz und menschlicher Aufsicht
- Keine Daten verlassen das System: Alles bleibt auf europaeischer Infrastruktur unter Ihrer Kontrolle
Warum Triest #
HTX ist im Wissenschaftspol von Triest angesiedelt — der europaeischen Stadt mit der hoechsten Forscherdichte pro Einwohner (37 pro 1.000 Beschaeftigte). Im April 2025 wurde hier der AGORAI Innovation Hub gegruendet, die Partnerschaft zwischen Generali und Google Cloud fuer KI. Unser Oekosystem umfasst SISSA, ICTP, die Universitaet Triest, Fincantieri und illycaffe'.
Was Sie jetzt tun sollten: 5 Schritte fuer Ihr Unternehmen #
- Fuehren Sie ein Audit der KI-Werkzeuge durch, die von Mitarbeitern genutzt werden — einschliesslich nicht autorisierter Tools
- Klassifizieren Sie die Nutzung nach Risikostufe gemaess der KI-Verordnung (minimal, begrenzt, hoch)
- Starten Sie die KI-Kompetenzschulung — sie ist seit Februar 2025 bereits verpflichtend
- Erstellen Sie eine Unternehmensrichtlinie zur KI-Nutzung, die klar definiert, was erlaubt ist und was nicht
- Pruefen Sie eine private KI-Loesung, die Ihre Daten unter Ihrer Kontrolle haelt
Moechten Sie mehr erfahren? #
Wenn Sie verstehen moechten, wie private KI in Ihrem Unternehmen funktionieren kann — ohne DSGVO-Risiken, ohne Datenuebermittlung ausserhalb der EU, ohne Shadow AI — schreiben Sie uns. Wir antworten innerhalb von 24 Stunden.
Dieser Artikel wurde vom Team von HTX — Human Technology eXcellence — verfasst. Wir entwickeln private KI-Systeme fuer Gesundheitswesen und Industrie, aus unserem Rechenzentrum in Triest.