Bevor wir uns mit den Risiken befassen, sollte man eine grundlegende Unterscheidung treffen – eine, die den meisten Menschen völlig entgeht.

Szenario eins: AI in Ihre CRM integriert und läuft direkt darin. Zoho Zia beispielsweise analysiert Ihre Geschäfte, schlägt nächste Schritte im Vertriebsprozess vor oder erstellt Gesprächszusammenfassungen direkt in der CRM . Ihre Daten verlassen die Plattform nicht – sie werden in derselben Umgebung verarbeitet, in der sie gespeichert sind.

Szenario zwei. Ein Mitarbeiter Ihres Teams entnimmt Daten aus dem CRM übermittelt sie an eine externe AI manuell oder über eine Integration. Dabei kann es sich um ChatGPT Browser, ein Copilot-Plugin, eine Automatisierungslösung eines Drittanbieters oder eine API handeln. In diesem Fall verlassen die Daten physisch Ihr System und gelangen in die Infrastruktur eines anderen Anbieters.

Beide Ansätze sind gängig. Beide führen zu Ergebnissen. Der zweite Ansatz birgt jedoch grundlegend andere Risiken in Bezug auf Sicherheit, Compliance und Kontrolle.

Die häufigste Ausprägung von Szenario zwei ist die sogenannte AI“: Mitarbeiter nutzen externe AI auf eigene Faust – ohne offizielle Genehmigung des Unternehmens, ohne dass die IT-Abteilung davon Kenntnis hat und ohne Richtlinien, die regeln, welche Daten weitergegeben werden dürfen. Studien zufolge tun dies regelmäßig zwischen 40 und 60 Prozent der Büroangestellten. Die meisten ihrer Unternehmen haben davon keine Ahnung und es gibt keine entsprechenden Vorschriften.

Zoho ist eines der deutlichsten Beispiele für das, was in der Branche als „Privacy-First“-Ansatz bezeichnet wird. Damit dies jedoch nicht wie ein Werbeslogan klingt, wollen wir uns einmal ansehen, was dies in der Praxis bedeutet.

für viele Organisationen.

AI innerhalb der Plattform verbleibt. Zoho Zia und andere AI in Zoho CRM Daten innerhalb der Zoho-eigenen Infrastruktur. Ihre Pipeline, Ihre Geschäfte und Ihre Kontakte werden nicht an Systeme von Drittanbietern weitergeleitet, um Antworten zu generieren.

OpenAI eine andere Philosophie. Der Schwerpunkt liegt hier auf der rohen Leistungsfähigkeit generativer AI GPT-4 und neuere Modelle bieten eine Qualität bei der Textgenerierung, -analyse und -synthese, die derzeit in Bezug auf die Anwendungsbreite ihresgleichen sucht.

Genau aus diesem Grund haben sichAPI – oder einfach ChatGPT Browser – in Unternehmensumgebungen so stark verbreitet. Es ist schnell, leicht zugänglich und liefert sofortige Ergebnisse.

Es gibt jedoch einige Dinge, die man wissen sollte, bevor man Geschäftsdaten darüber leitet.

API ChatGPT Web) und die API unterschiedliche Nutzungsbedingungen. Wenn Mitarbeiter ChatGPT ein kostenloses oder Plus im Browser nutzen, OpenAI diese Unterhaltungen standardmäßig zur Verbesserung seiner Modelle verwenden. Diese Funktion lässt sich in den Einstellungen deaktivieren – standardmäßig ist sie jedoch aktiviert, und die meisten Nutzer sind sich dessen nicht bewusst.

Die API anders. Wenn Sie API OpenAI API OpenAI zugreifen, werden die Modelle standardmäßig nicht mit den von Ihnen übermittelten Daten trainiert. Dies gilt jedoch nur für API direkte API . Wenn Sie ein Drittanbieter-Tool verwenden, das OpenAI Hintergrund auf OpenAI läuft, hängen die Bedingungen davon ab, wie dieses Tool konfiguriert ist – wobei es möglich ist, dass die gleichen Schutzmaßnahmen gelten oder auch nicht.

Datenaufbewahrung. OpenAI die über die API übermittelten Daten standardmäßig bis zu 30 Tage API zu Zwecken der Sicherheitsüberwachung und Missbrauchserkennung; danach werden sie gelöscht. Bei ChatGPT hängt die Aufbewahrungsdauer davon ab, ob der Konversationsverlauf aktiviert ist.

Interner Zugriff. Wie jeder große Technologieanbieter OpenAI auch OpenAI interne Teams, die auf bestimmte Daten zugreifen können – beispielsweise um mögliche Verstöße gegen Richtlinien zu überprüfen. Dies ist branchenüblich, sollte jedoch berücksichtigt werden, wenn vertrauliche Geschäftsinformationen über das System übermittelt werden.

Enterprise-Tarif. OpenAI Enterprise-Konditionen mit strengeren Datenschutzgarantien, ohne Modelltraining anhand von Kundendaten und mit der Möglichkeit, eine Datenverarbeitungsvereinbarung (DPA) abzuschließen. Wenn Ihr Unternehmen OpenAI ernsthaft OpenAI den geschäftlichen Einsatz in Betracht zieht, beginnt mit dem Enterprise-Tarif die eigentliche Diskussion über Datensicherheit.

Es geht nicht darum, dass OpenAI eine unsichere Option oder ein schlechtes Unternehmen OpenAI . Der Punkt ist, dass Leistungsfähigkeit und Datenkontrolle zwei verschiedene Aspekte sind – und dass jedes Unternehmen den Kompromiss zwischen beiden bewusst abwägen muss, anstatt sich einfach auf die Standardlösung zu verlassen.

Lassen Sie uns konkret werden. Dies sind die Szenarien, in denen das Fehlen einer klaren AI echte Probleme verursacht.

B2B SaaS Agenturen

Ein Vertriebsleiter erstellt ein Angebot für einen Unternehmenskunden. Er fügt die Details des Geschäfts in ChatGPT ein ChatGPT Budget, technische Anforderungen, Namen der Entscheidungsträger, Zeitplan. Innerhalb von Sekunden erhält er ein übersichtliches, gut strukturiertes Angebot.

Das Problem: Diese Daten unterliegen wahrscheinlich einer Geheimhaltungsvereinbarung oder sind zumindest wettbewerbsrelevant. Würde ein Wettbewerber Zugriff auf ähnliche Informationen erhalten, würde er Ihre Preisstruktur, Ihre Kunden und Ihre Pipeline kennen. Das Risiko ist nicht hypothetisch – es hängt davon ab, wie die Daten auf der anderen Seite verarbeitet und gespeichert werden.

Gesundheitswesen

Eine medizinische Klinik nutzt AI automatisch Zusammenfassungen von Arztbesuchen zu erstellen oder Antworten im Support-Chat zu generieren. Wenn diese Anfragen Patientendaten enthalten – selbst ohne Namen, sondern nur plus Symptomen plus ID –, kann dies in den USA einen HIPAA oder in Europa einen GDPR darstellen. Die Aufsichtsbehörden akzeptieren „das war uns nicht bewusst“ nicht als Rechtfertigung.

Fintech

Ein Analyst übermittelt Finanztransaktionsdaten oder KYC-Unterlagen an AI Musteranalyse. Diese Daten unterliegen einer strengen behördlichen Aufsicht. Die Frage ist nicht nur, ob die AI diese Daten AI , sondern auch, ob Ihr Anbieter über die erforderlichen Zertifizierungen und unterzeichneten Vereinbarungen verfügt, um solche Informationen überhaupt verarbeiten zu dürfen.

E-Commerce

Personenbezogene Daten von Kunden: E-Mail-Adressen, Lieferadressen, Bestellhistorie. Gemäß GDPR ist Ihr Unternehmen der Datenverantwortliche. Wenn Sie diese Daten an einen externen AI weitergeben, AI eine ordnungsgemäße Datenschutzvereinbarung mit diesem Anbieter vorliegt, verstoßen Sie gegen die Vorschriften – unabhängig davon, ob tatsächlich Daten „durchgesickert“ sind.

Shadow AI das häufigste Risiko

All diese Szenarien können nicht durch offizielle Integrationen, sondern durch die ganz normalen täglichen Handlungen einzelner Mitarbeiter eintreten. Ein Vertriebsmitarbeiter, ein Analyst, ein Support-Mitarbeiter – jeder von ihnen könnte täglich Geschäftsdaten an externe AI weiterleiten, ohne zu begreifen, dass Datenverwaltung überhaupt ein relevantes Thema ist.

Solange ein Unternehmen keine klaren Regeln festlegt, geht dies ungehindert weiter.

Wenn Ihr Unternehmen in der EU tätig ist oder mit Kunden in der EU zusammenarbeitet, GDPR für Sie, unabhängig davon, wo sich der Hauptsitz Ihres Unternehmens befindet.

Die wichtigsten Punkte, die man im Zusammenhang mit AI verstehen sollte:

Sie bleiben der für die Datenverarbeitung Verantwortliche. Auch wenn Sie Daten an ein externes AI übermitteln, liegt die Verantwortung für deren Verarbeitung weiterhin bei Ihnen. Der AI wird zum Auftragsverarbeiter – und Sie sind verpflichtet, eine unterzeichnete Datenverarbeitungsvereinbarung mit ihm abzuschließen.

Eine DPA ist nicht nur reine Formalität. Darin muss Folgendes festgelegt werden: welche Daten verarbeitet werden, zu welchem Zweck, wie lange sie aufbewahrt werden, wer Zugriff darauf hat, wie mit Datenschutzverletzungen umgegangen wird und wo sich die Server physisch befinden. Wenn ein Anbieter eine DPA nicht unterzeichnen kann oder will, ist das ein Warnsignal, das man ernst nehmen sollte.

Grenzüberschreitende Datenübermittlungen. Nach GDPR ist die Übermittlung personenbezogener Daten von EU-Bürgern in Drittländer – einschließlich der USA – nur unter bestimmten Voraussetzungen zulässig. OpenAI verfügt als US-amerikanisches Unternehmen über entsprechende Mechanismen (Standardvertragsklauseln), doch deren Vorhandensein muss überprüft und darf nicht einfach vorausgesetzt werden.

HIPAA. Im US-Gesundheitswesen ist die Vorgabe klar: Jeder Anbieter, der geschützte Gesundheitsdaten (Protected Health Information, PHI) verarbeitet, muss eine Geschäftspartnervereinbarung (Business Associate Agreement, BAA) unterzeichnen. Keine BAA, keine HIPAA . Punkt.

Unabhängig davon, welches AI Sie prüfen – ob in Ihr CRM integriert CRM extern –, sollten Sie sich diese Fragen stellen, bevor Sie es mit Ihren Geschäftsdaten verknüpfen.

Zur Datenspeicherung

• Wo werden die Daten physisch gespeichert (Standort des Rechenzentrums, Land)?

• Wie lange speichert der Anbieter die Daten nach der Verarbeitung?

• Gibt es ein Verfahren, um die Löschung zu beantragen?

• Was geschieht mit den Daten, wenn der Vertrag ausläuft?

Zum Modelltraining

• Werden meine Daten zum Trainieren von AI verwendet?

• Kann man das deaktivieren – und wie genau?

• Gilt das für alle Produkte des Anbieters oder nur für bestimmte Tarife?

Über Zugang und Sicherheit

• Wer innerhalb des Unternehmens des Anbieters hat Zugriff auf meine Daten?

• Unter welchen Umständen kann der Anbieter meine Anfragen oder Daten einsehen?

• Über welche Sicherheitszertifizierungen verfügt der Anbieter (SOC 2, ISO 27001)?

• Wie läuft das Verfahren zur Meldung von Datenschutzverletzungen ab?

Zum Thema Compliance

• Wird der Anbieter eine Datenverarbeitungsvereinbarung unterzeichnen?

• Verfügen sie über GDPR Übermittlungsmechanismen (z. B. Standardvertragsklauseln)?

• Für den Gesundheitsbereich: Werden sie eine Vereinbarung über die Zusammenarbeit mit einem Geschäftspartner unterzeichnen?

Zu den Besonderheiten der Integration

• Welche Daten werden AI jeder Anfrage an AI übermittelt – und lässt sich dies einschränken?

• Ist es möglich zu steuern, welche CRM an die AI weitergeleitet werden AI welche nicht?

• Gibt es Protokolle, aus denen hervorgeht, wer wann welche Daten an die AI gesendet hat?

Wenn die meisten dieser Fragen in der öffentlichen Dokumentation des Anbieters nicht eindeutig beantwortet werden – oder sein Support-Team sie nicht beantworten kann –, ist das Grund genug, inne zu halten.