Das Datenschutz-Risiko sitzt im Gratis-Account.

Wenn im Betrieb über KI und Datenschutz gesprochen wird, geht es meist um Modelle, Serverstandorte und Trainingsdaten. Die Stelle, an der tatsächlich etwas passiert, ist unscheinbarer: das private Chatbot-Konto, in das jemand schnell eine Kundenliste kopiert, weil es gerade praktisch ist.

Was dazu erhoben ist

Der Bitkom hat 2025 in 604 Unternehmen ab 20 Beschäftigten danach gefragt. Zusammengerechnet gehen vier von zehn Unternehmen davon aus, dass bei ihnen private KI-Konten im Einsatz sind — 8 Prozent sagen „verbreitet“, 17 Prozent „in Einzelfällen“, weitere 17 Prozent vermuten es.

Regeln dafür haben 23 Prozent. Im Jahr davor waren es 15 Prozent, die Richtung stimmt also. Trotzdem heißt das: In drei von vier Unternehmen entscheidet jede Person für sich, was sie in ein Eingabefeld schreibt.

Was nie in ein privates Konto gehört

Die Liste ist kurz und lässt sich gut aufhängen:

• Kunden- und Mitarbeiterdaten
• Bewerberdaten
• Gesundheitsdaten
• Geschäftsgeheimnisse und Kalkulationen
• Zugangsdaten

Alles darin ist entweder personenbezogen oder wettbewerbsrelevant. Bei einem geschäftlichen Zugang mit Vertrag ist geregelt, was mit diesen Daten geschieht. Bei einem privaten Konto ist es das nicht — und zwar unabhängig davon, wie sorgfältig die Person arbeitet.

Was die KI-Verordnung von dir erwartet

Zwei Punkte betreffen auch kleine Betriebe.

Artikel 4, KI-Kompetenz. Seit dem 02.02.2025 gilt die Pflicht, dafür zu sorgen, dass die Menschen, die KI-Systeme im Unternehmen einsetzen, mit ihnen umgehen können. Die FAQ der EU-Kommission stellt klar, dass das auch dann greift, wenn im Haus nur ein Chatbot genutzt wird. Ein Zertifikat verlangt niemand: Eine interne Aufzeichnung der Schulung genügt. Der Wortlaut wurde durch den Digital Omnibus — Verordnung (EU) 2026/1744, in Kraft seit dem 27.07.2026 — abgeschwächt auf „Maßnahmen ergreifen“. Die Pflicht besteht weiter.

Artikel 50, Offenlegung. Seit dem 02.08.2026 müssen Menschen erkennen können, dass sie mit einem KI-System sprechen, und künstlich erzeugte Inhalte müssen gekennzeichnet sein. Wenn du einen Chatbot im Kundenkontakt einsetzt, betrifft dich das direkt.

Zuständig für die Marktüberwachung in Deutschland ist seit dem 29.07.2026 die Bundesnetzagentur.

Der Nachmittag, der das erledigt

Vier Schritte, in dieser Reihenfolge:

1. Geschäftliche Lizenz. Ein Zugang, der für die betriebliche Nutzung vorgesehen ist, mit Administration und nachvollziehbaren Einstellungen.
2. Auftragsverarbeitungsvertrag. Der Vertrag, der regelt, was der Anbieter mit deinen Daten tun darf. Ohne ihn fehlt die Grundlage für jede weitere Aussage zum Datenschutz.
3. KI-Richtlinie auf einer Seite. Was darf rein, was nicht, wer schaut vor dem Versand drüber, wen fragst du im Zweifel. Eine Seite, die jeder gelesen hat, wirkt mehr als zwanzig, die abgeheftet sind.
4. Schulung mit interner Aufzeichnung. Eine Stunde, Datum, Teilnehmerliste, Inhalt. Damit ist Artikel 4 abgedeckt.

Die Reihenfolge ist nicht beliebig: Lizenz und Vertrag schaffen die Grundlage, auf der Richtlinie und Schulung überhaupt etwas beschreiben können. In derselben Bitkom-Befragung stehen die beiden größten Hürden für KI im Unternehmen gleichauf: fehlendes Know-how und rechtliche Unsicherheit, jeweils 53 Prozent. Genau daran arbeiten die Schritte 3 und 4.

Das ist überschaubar — und es ist die Grundlage dafür, dass die Leute im Betrieb KI überhaupt entspannt nutzen können. Solange die Regeln fehlen, entsteht entweder ein Verbot, das umgangen wird, oder eine Nutzung, die niemand überblickt.

Wenn danach die Frage aufkommt, wo die Kundendaten eigentlich liegen sollen, damit sie niemand erst herauskopieren muss: In yourBeez OS liegen sie an einem Ort, aus dem heraus gearbeitet wird — statt in Ausschnitten, die jemand mitnimmt.

Quellen

• Bitkom, Pressemitteilung „Beschäftigte nutzen vermehrt Schatten-KI“, 21.10.2025, und Studienbericht „Künstliche Intelligenz in Deutschland“, 10.02.2026 (604 Unternehmen ab 20 Beschäftigten). https://www.bitkom.org/Presse/Presseinformation/Beschaeftigte-nutzen-Schatten-KI
• Europäische Kommission, FAQ „AI literacy“ zu Art. 4 der KI-Verordnung, Stand 27.07.2026. https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
• Verordnung (EU) 2026/1744 („Digital Omnibus on AI“), in Kraft seit 27.07.2026. https://eur-lex.europa.eu/eli/reg/2026/1744/oj
• Art. 50 KI-Verordnung (Offenlegung seit 02.08.2026), AI Act Explorer. https://artificialintelligenceact.eu/article/50/
• BMDS, Pressemitteilung 47/2026 vom 29.07.2026 (Bundesnetzagentur als zentrale KI-Marktüberwachung). https://bmds.bund.de/aktuelles/pressemitteilungen/detail/neues-ki-gesetz-tritt-in-kraft