Den Datenschutz beim Einsatz von KI-Tools schützen
Was Sie in einen KI-Chatbot eingeben, ist für das Unternehmen sichtbar, das ihn betreibt. Online gespeicherte Anfragen können gehackt, durchgesickert oder versehentlich öffentlich zugänglich gemacht werden (UK NCSC).
Was Aufsichtsbehörden und Cybersicherheitsagenturen raten
- Sensible Informationen aus öffentlichen Chatbots heraushalten. Das britische National Cyber Security Centre empfiehlt, in Anfragen an öffentliche KI-Sprachmodelle keine sensiblen Informationen anzugeben und keine Anfragen zu stellen, die Probleme verursachen würden, wenn sie öffentlich würden (NCSC).
- Zuerst Nutzungsbedingungen und Datenschutzerklärung lesen. Laut NCSC werden Anfragen gespeichert und mit ziemlicher Sicherheit irgendwann für die Weiterentwicklung des Dienstes verwendet. Deshalb müsse man die Nutzungsbedingungen und die Datenschutzerklärung verstanden haben, bevor man sensible Fragen stellt (NCSC).
- Persönliche Angaben weglassen. Die spanische Datenschutzbehörde rät, personenbezogene Daten wie vollständigen Namen, Adresse, Telefonnummer, Ausweisnummer oder Bilder von Personen sowie sensible Informationen wie medizinische oder finanzielle Angaben nicht mit KI-Tools zu teilen, und empfiehlt, stattdessen einen fiktiven Fall zu beschreiben (AEPD).
- Keine Bilder anderer Personen verwenden, um neue Inhalte zu erzeugen, insbesondere keine Bilder von Kindern. Die Behörde warnt, dies könne gegen das Datenschutzrecht verstoßen und sogar eine Straftat sein (AEPD).
- Bei der Arbeit die Regeln der eigenen Organisation befolgen zu Informationen und Sicherheit und keine vertraulichen Informationen über die Organisation, ihre Beschäftigten oder ihre Kunden eingeben (AEPD).
- Einstellungen zum Chatverlauf. Eine Handreichung für Richterinnen und Richter sowie deren Unterstützungspersonal in England und Wales weist diese an, den Chatverlauf in öffentlichen KI-Chatbots zu deaktivieren, sofern diese Option verfügbar ist, da dies verhindern solle, dass ihre Daten zum Training des Chatbots verwendet werden. Sie warnt jedoch, selbst bei deaktiviertem Verlauf sei davon auszugehen, dass eingegebene Daten offengelegt würden (Handreichung der Justiz).
- Vorsicht bei KI-Tools, die von anderen verfasste Inhalte verarbeiten. Versteckter Text in einem Dokument, etwa einem Lebenslauf, kann von einem KI-System als Anweisung behandelt werden. Das NCSC nennt dies indirekte Prompt-Injection und erklärt, solche Angriffe ließen sich womöglich nie vollständig abschwächen (NCSC).
- Unternehmen müssen ihre Datenschutzversprechen einhalten. Die US-Handelsbehörde Federal Trade Commission hat „Model-as-a-Service“-Unternehmen, die KI-Modelle für die Nutzung durch andere entwickeln und hosten, gewarnt: Wenn sie ihre Datenschutzzusagen gegenüber Nutzern und Kunden nicht einhielten, darunter Zusagen, Kundendaten nicht für geheime Zwecke wie das Training ihrer Modelle zu verwenden, könnten sie nach den von der Behörde durchgesetzten Gesetzen haftbar sein (FTC).
- Wenn Sie glauben, dass mit Ihren Daten nicht ordnungsgemäß umgegangen wurde, wenden Sie sich in den meisten Fällen zunächst mit Ihrem Anliegen an die Organisation. Sind Sie im Vereinigten Königreich mit deren Antwort unzufrieden, können Sie sich anschließend beim Information Commissioner's Office beschweren (ICO).
Quellen
- ChatGPT and large language models: what's the risk?, UK National Cyber Security Centre, 14. März 2023.
- Prompt injection is not SQL injection (it may be worse), UK National Cyber Security Centre, 8. Dezember 2025.
- La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA, Spanische Datenschutzbehörde (AEPD), 27. Januar 2026.
- Artificial Intelligence (AI) – Judicial Guidance (October 2025), Courts and Tribunals Judiciary, 31. Oktober 2025.
- AI Companies: Uphold Your Privacy and Confidentiality Commitments, US Federal Trade Commission.
- Check if you can complain, UK Information Commissioner's Office.