Bei Copilot und ChatGPT ist sicherzustellen, dass das Lernen aus Benutzereingaben deaktiviert ist. Beide Systeme dürfen keine Inhalte zur Verbesserung oder Weiterentwicklung ihrer Modelle verwenden. Die entsprechende Funktion zur Deaktivierung der Trainingsverwendung ist in den Einstellungen auszuschalten.

VERGLEICH: DATENSCHUTZ BEI COPILOT VS. CHATGPT

Aus Sicht des Datenschutzes ist Microsoft Copilot aktuell vorzuziehen, insbesondere für produktive Anwendungen mit personenbezogenen Daten:

Microsoft Copilot:
• Datenverarbeitung erfolgt bei EU-Tenant innerhalb des europäischen Rechtsraums.
• Es existieren DSGVO-konforme Auftragsverarbeitungsverträge.
• Inhalte werden nicht für Modelltraining verwendet.
• Integrierbar ins Microsoft Compliance Center mit Protokollierung, Zugriffskontrolle und Dokumentation.

ChatGPT (OpenAI):
• Daten werden außerhalb der EU verarbeitet (i.d.R. USA).
• Ohne Enterprise-Vertrag kein AV-Vertrag gemäß DSGVO.
• Nur eingeschränkte Kontrolle über Datenhaltung.
• Nutzung sollte sich auf nicht-personenbezogene und ideengenerierende Aufgaben beschränken.

Daher wird der Einsatz von Copilot für sensible und personenbezogene Aufgaben empfohlen. ChatGPT ist für interne, nicht-kritische Einsatzzwecke geeignet, sofern die Datenfreigabe deaktiviert ist.

• DSGVO-Konformität: Sämtliche Anwendungen werden auf Datenschutzkonformität gemäß DSGVO überprüft. Personenbezogene Daten werden nur mit ausdrücklicher Einwilligung verarbeitet.

• Vertrag mit Dritten (monahilft.app): Ein Vertrag zur Auftragsverarbeitung wird prüfend erstellt und dokumentiert.

• Recht auf Information und Widerspruch: Nutzer*innen werden über den Einsatz von KI-Systemen informiert und können diesen widersprechen, sofern keine gesetzliche Pflicht dagegensteht.

Datenhaltung der Systeme:
• ChatGPT (OpenAI): Datenverarbeitung erfolgt außerhalb der EU; keine Speicherung der Inhalte bei Nutzung mit deaktivierter Protokollierung („Custom Instructions“ – Datenfreigabe deaktivieren).
• Microsoft Copilot: Datenhaltung gemäß Microsoft 365 Tenant-Einstellungen, DSGVO-konform bei EU-Tenant.
• monahilft.app: Datenhaltung laut Anbieter in Deutschland, Vertragsprüfung notwendig.

4. TRANSPARENZ UND NUTZERINFORMATION

• Alle Personen, die mit einem KI-System interagieren, werden darüber klar informiert.
• Bei Trainingssystemen erfolgt eine begleitende Einweisung zur KI-Nutzung.
• Eine Dokumentation über Funktionsweise und Grenzen der KI wird bereitgestellt.
• Auswertungsgespräche aus KI unterstützten Trainings werden von Personen geführt und nicht der KI überlassen.
• Es erfolgt der ausdrückliche Hinweis, dass KI-Systeme keine Inhalte aus Gesprächen für zukünftiges Lernen speichern oder nutzen dürfen.

5. STEUERUNG UND ZUSTÄNDIGKEITEN

• Die Überwachung der KI-Systeme erfolgt durch eine benannte interne Stelle (z. B. QM/IT).
• Entscheidungen über Einsatz, Änderung und Stilllegung von KI-Anwendungen unterliegen einem internen Freigabeprozess.
• Die Einbindung des Datenschutzbeauftragten erfolgt bei allen Systemen mit Personenbezug.

Bei Copilot und ChatGPT ist darauf zu achten, dass die Nutzung ohne Protokollierung erfolgt:
• ChatGPT: In den Einstellungen unter „Datensteuerung“ > „Das Modell für alle Verbessern“ deaktivieren.
• Copilot: Nutzung über Microsoft 365 mit aktivierter Compliance-Richtlinie und standardmäßig deaktivierter Analyse.

6. RISIKOMANAGEMENT

• Vor Produktiveinsatz geplanter Systeme wird eine Risiko- und Biasanalyse durchgeführt.
• Ergebnisse werden dokumentiert und in das Qualitätsmanagementsystem übernommen.
• Bei Hochrisiko-Systemen erfolgt eine ethische Folgenabschätzung gemäß EU AI Act.

Copilot:
• Es erfolgt eine Schulung der Berater, die das System einsetzen.
• Entscheidungen werden stets durch Menschen getroffen.
• Der Prompt ist so zu formulieren, dass keine automatisierte Wertung erfolgt.

Bewerbertraining:
• KI darf in der Rolle eines Gegenübers agieren, jedoch keine persönlichen Daten der Teilnehmenden erfragen.

7. SCHULUNG UND SENSIBILISIERUNG

• Alle Mitarbeitenden, die KI-Systeme nutzen, erhalten Schulungen zur sicheren und verantwortungsvollen Anwendung.
• Trainer*innen und Teilnehmende werden über Zweck, Funktion und Reichweite der KI informiert.
• Anweisung für Berater: Kommunikation mit KI-Systemen darf nicht außerhalb der definierten Anwendungen gespeichert oder für Lernzwecke verwendet werden.

8. DOKUMENTATION UND KONTINUIERLICHE VERBESSERUNG

• Alle KI-Systeme werden in einem internen KI-Inventar dokumentiert.
• Regelmäßige Evaluation der Systeme auf Leistung, Ethik, Fairness und Genauigkeit erfolgt.
• Feedbackmechanismen zur Verbesserung und zur Meldung kritischer Vorkommnisse sind eingerichtet.