Bevor wir uns mit den Risiken befassen, sollte man eine grundlegende Unterscheidung treffen – eine, die den meisten Menschen völlig entgeht.

Szenario eins: AI in Ihre CRM integriert und arbeitet innerhalb dieser. Zoho Zia beispielsweise analysiert Ihre Geschäfte, schlägt nächste Schritte im Vertriebsprozess vor oder erstellt Gesprächszusammenfassungen direkt in der CRM . Ihre Daten verlassen die Plattform nicht – sie werden in derselben Umgebung verarbeitet, in der sie gespeichert sind.

Szenario zwei. Ein Mitarbeiter Ihres Teams entnimmt Daten aus dem CRM übermittelt sie an eine externe AI entweder manuell oder über eine Integration. Dabei kann es sich um ChatGPT Browser, ein Copilot-Plugin, eine Automatisierungslösung eines Drittanbieters oder eine API handeln. In diesem Fall verlassen die Daten physisch Ihr System und gelangen in die Infrastruktur eines anderen Anbieters.

Beide Ansätze sind gängig. Beide führen zu Ergebnissen. Der zweite Ansatz birgt jedoch grundlegend andere Risiken in Bezug auf Sicherheit, Compliance und Kontrolle.

Die häufigste Ausprägung von Szenario zwei ist die sogenannte AI“: Mitarbeiter nutzen eigenmächtig externe AI – ohne offizielle Genehmigung des Unternehmens, ohne dass die IT-Abteilung davon Kenntnis hat und ohne Richtlinien, die regeln, welche Daten weitergegeben werden dürfen. Studien zufolge tun dies regelmäßig zwischen 40 und 60 Prozent der Büroangestellten. Die meisten ihrer Unternehmen haben davon keine Ahnung und es gibt keine entsprechenden Regeln.

Zoho ist eines der deutlichsten Beispiele für das, was in der Branche als „Privacy-First“-Ansatz bezeichnet wird. Damit dies jedoch nicht wie ein Werbeslogan klingt, wollen wir uns einmal ansehen, was dies in der Praxis bedeutet.

für viele Organisationen.

AI innerhalb der Plattform bleibt. Zoho Zia und andere AI innerhalb von Zoho CRM Daten in der eigenen Infrastruktur von Zoho. Ihre Pipeline, Ihre Geschäfte und Ihre Kontakte werden nicht an Systeme von Drittanbietern weitergeleitet, um Antworten zu generieren.

OpenAI eine andere Philosophie. Hier liegt der Schwerpunkt auf der rohen Leistungsfähigkeit generativer AI GPT-4 und neuere Modelle bieten eine Qualität bei der Textgenerierung, -analyse und -synthese, die hinsichtlich der Anwendungsbreite derzeit kaum ihresgleichen hat.

Genau aus diesem Grund haben sichAPI – oder einfach ChatGPT Browser – in Unternehmensumgebungen so stark verbreitet. Es ist schnell, leicht zugänglich und liefert sofortige Ergebnisse.

Es gibt jedoch einige Dinge, die man wissen sollte, bevor man Geschäftsdaten darüber leitet.

API ChatGPT Web) und die API unterschiedliche Nutzungsbedingungen. Wenn Mitarbeiter ChatGPT ein kostenloses oder Plus im Browser nutzen, OpenAI diese Unterhaltungen standardmäßig zur Verbesserung seiner Modelle verwenden. Diese Funktion lässt sich in den Einstellungen deaktivieren – standardmäßig ist sie jedoch aktiviert, und die meisten Nutzer sind sich dessen nicht bewusst.

Bei API anders. Wenn Sie API OpenAI API OpenAI zugreifen, werden die Modelle standardmäßig nicht anhand der von Ihnen übermittelten Daten trainiert. Dies gilt jedoch nur für API direkte API . Wenn Sie ein Tool eines Drittanbieters verwenden, das OpenAI Hintergrund auf OpenAI läuft, hängen die Bedingungen davon ab, wie dieses Tool konfiguriert ist – wobei möglicherweise dieselben Schutzmaßnahmen gelten oder auch nicht.

Datenaufbewahrung. OpenAI die über die API übermittelten Daten standardmäßig bis zu 30 Tage API zu Zwecken der Sicherheitsüberwachung und Missbrauchserkennung; danach werden sie gelöscht. Bei ChatGPT hängt die Aufbewahrungsdauer davon ab, ob der Konversationsverlauf aktiviert ist.

Interner Zugriff. Wie jeder große Technologieanbieter OpenAI auch OpenAI interne Teams, die auf bestimmte Daten zugreifen können – beispielsweise, um mögliche Verstöße gegen Richtlinien zu überprüfen. Dies ist branchenüblich, sollte jedoch berücksichtigt werden, wenn vertrauliche Geschäftsinformationen über das System übermittelt werden.

Enterprise-Tarif. OpenAI Enterprise-Konditionen mit strengeren Datenschutzgarantien, ohne Modelltraining anhand von Kundendaten und mit der Möglichkeit, eine Datenschutzvereinbarung (DPA) abzuschließen. Wenn Ihr Unternehmen OpenAI ernsthaft OpenAI den geschäftlichen Einsatz in Betracht zieht, beginnt mit dem Enterprise-Tarif die eigentliche Diskussion über Datensicherheit.

Es geht nicht darum, dass OpenAI eine unsichere Option oder ein schlechtes Unternehmen OpenAI . Es geht vielmehr darum, dass Leistungsfähigkeit und Datenkontrolle zwei verschiedene Aspekte sind – und dass jedes Unternehmen den Kompromiss zwischen beiden bewusst abwägen muss, anstatt sich einfach auf die Standardlösung zu verlassen.

Gehen wir mal ins Detail. Dies sind die Szenarien, in denen das Fehlen einer klaren AI zu echten Problemen führt.

B2B SaaS Agenturen

Ein Vertriebsleiter erstellt ein Angebot für einen Unternehmenskunden. Er fügt die Details des Geschäfts in ChatGPT ein ChatGPT Budget, technische Anforderungen, Namen der Entscheidungsträger, Zeitplan. Innerhalb von Sekunden erhält er ein übersichtliches, gut strukturiertes Angebot.

Das Problem: Diese Daten unterliegen wahrscheinlich einer Geheimhaltungsvereinbarung oder sind zumindest wettbewerbsrelevant. Würde ein Wettbewerber Zugriff auf ähnliche Informationen erhalten, würde er Ihre Preisstruktur, Ihre Kunden und Ihre Pipeline kennen. Das Risiko ist nicht hypothetisch – es hängt davon ab, wie die Daten auf der anderen Seite verarbeitet und gespeichert werden.

Gesundheitswesen

Eine medizinische Praxis nutzt AI automatisch Besuchsberichte zu erstellen oder Antworten im Support-Chat zu generieren. Wenn diese Anfragen Patientendaten enthalten – selbst wenn keine Namen, sondern nur Symptome plus ID angegeben werden –, kann dies in den USA einen HIPAA und in Europa einen GDPR darstellen. Die Aufsichtsbehörden akzeptieren „das war uns nicht bewusst“ nicht als Rechtfertigung.

Fintech

Ein Analyst übermittelt Finanztransaktionsdaten oder KYC-Unterlagen an AI Musteranalyse. Diese Daten unterliegen einer strengen behördlichen Aufsicht. Die Frage ist nicht nur, ob die AI diese Daten AI – sondern auch, ob Ihr Anbieter überhaupt über die erforderlichen Zertifizierungen und unterzeichneten Vereinbarungen verfügt, um solche Informationen zu verarbeiten.

E-Commerce

Personenbezogene Daten von Kunden: E-Mail-Adressen, Lieferadressen, Bestellhistorie. Gemäß GDPR ist Ihr Unternehmen der Verantwortliche für die Datenverarbeitung. Wenn Sie diese Daten an einen externen AI weitergeben, AI eine ordnungsgemäße Datenschutzvereinbarung mit diesem Anbieter vorliegt, verstoßen Sie gegen die DSGVO – unabhängig davon, ob tatsächlich Daten „durchgesickert“ sind oder nicht.

Shadow AI das häufigste Risiko

Alle oben genannten Szenarien können nicht durch offizielle Integrationen, sondern durch die ganz normalen täglichen Handlungen einzelner Mitarbeiter eintreten. Ein Vertriebsmitarbeiter, ein Analyst, ein Support-Mitarbeiter – jeder von ihnen könnte täglich Geschäftsdaten an externe AI weiterleiten, ohne zu begreifen, dass Daten-Governance überhaupt ein relevantes Thema ist.

Solange ein Unternehmen keine klaren Regeln festlegt, geht dies ungehindert weiter.

Wenn Ihr Unternehmen in der EU tätig ist oder mit Kunden in der EU zusammenarbeitet, GDPR für Sie, unabhängig davon, wo sich der Hauptsitz Ihres Unternehmens befindet.

Die wichtigsten Punkte, die man im Zusammenhang mit AI verstehen sollte:

Sie bleiben der Verantwortliche. Selbst wenn Sie Daten an ein externes AI übermitteln, liegt die Verantwortung für deren Verarbeitung weiterhin bei Ihnen. Der AI wird zum Auftragsverarbeiter – und Sie sind verpflichtet, eine unterzeichnete Auftragsverarbeitungsvereinbarung mit ihm abzuschließen.

Eine Datenschutzvereinbarung (DPA) ist nicht nur reine Formalität. Darin muss Folgendes festgelegt werden: Welche Daten werden verarbeitet, zu welchem Zweck, wie lange werden sie aufbewahrt, wer hat Zugriff darauf, wie wird mit Datenschutzverletzungen umgegangen und wo befinden sich die Server physisch? Wenn ein Anbieter eine DPA nicht unterzeichnen kann oder will, ist das ein Signal, das man ernst nehmen sollte.

Grenzüberschreitende Datenübermittlungen. Gemäß GDPR ist die Übermittlung personenbezogener Daten von EU-Bürgern in Drittländer – einschließlich der USA – nur unter bestimmten Voraussetzungen zulässig. OpenAI verfügt als US-amerikanisches Unternehmen über entsprechende Mechanismen (Standardvertragsklauseln), deren Vorhandensein jedoch überprüft werden muss und nicht einfach vorausgesetzt werden darf.

HIPAA. Im US-Gesundheitswesen ist die Vorgabe eindeutig: Jeder Anbieter, der geschützte Gesundheitsdaten (Protected Health Information, PHI) verarbeitet, muss eine Geschäftspartnervereinbarung (Business Associate Agreement, BAA) unterzeichnen. Keine BAA, keine HIPAA . Punkt.

Unabhängig davon, welches AI Sie gerade prüfen – ob es in Ihr CRM integriert ist CRM extern betrieben wird –, sollten Sie sich folgende Fragen stellen, bevor Sie es mit Ihren Geschäftsdaten verknüpfen.

Zur Datenspeicherung

• Wo werden die Daten physisch gespeichert (Standort des Rechenzentrums, Land)?

• Wie lange bewahrt der Anbieter die Daten nach der Verarbeitung auf?

• Gibt es ein Verfahren, um die Löschung zu beantragen?

• Was geschieht mit den Daten, wenn der Vertrag ausläuft?

Zum Modelltraining

• Werden meine Daten zum Trainieren von AI verwendet?

• Lässt sich das deaktivieren – und wie genau?

• Gilt das für alle Produkte des Anbieters oder nur für bestimmte Tarife?

Zum Thema Zugang und Sicherheit

• Wer innerhalb des Anbieterunternehmens hat Zugriff auf meine Daten?

• Unter welchen Umständen kann der Anbieter meine Anfragen oder Daten einsehen?

• Über welche Sicherheitszertifizierungen verfügt der Anbieter (SOC 2, ISO 27001)?

• Wie läuft das Verfahren zur Meldung von Datenschutzverletzungen ab?

Zum Thema Compliance

• Wird der Anbieter eine Datenverarbeitungsvereinbarung unterzeichnen?

• Verfügen sie über GDPR Datenübermittlungsmechanismen (z. B. Standardvertragsklauseln)?

• Im Gesundheitswesen: Werden sie eine Vereinbarung über die Zusammenarbeit mit einem Geschäftspartner unterzeichnen?

Zu den Besonderheiten der Integration

• Welche Daten werden AI jeder Anfrage an AI übermittelt – und lässt sich der Umfang davon begrenzen?

• Lässt sich steuern, welche CRM an die AI übermittelt werden AI welche nicht?

• Gibt es Prüfprotokolle, aus denen hervorgeht, wer wann welche Daten an die AI gesendet hat?

Wenn die meisten dieser Fragen in der öffentlichen Dokumentation des Anbieters nicht eindeutig beantwortet werden – oder wenn dessen Support-Team sie nicht beantworten kann –, ist das Grund genug, einen Moment innezuhalten.