Eine Kundenmail zusammenfassen, ein Angebot verständlicher formulieren oder einen WordPress-Fehler erklären lassen: KI ist im Projektalltag schnell zur Hand. Ebenso schnell landen Informationen im Eingabefeld, die dort nicht hingehören. Eine brauchbare Arbeitsregel lautet deshalb: Erst die Aufgabe beschreiben, dann entscheiden, welche Daten dafür wirklich erforderlich sind.
Das britische National Cyber Security Centre warnt in seinem Beitrag „The hidden risks of shadow AI“ vom 7. September 2026 vor dem Kontrollverlust durch nicht freigegebene KI-Dienste. Kundendaten können außerhalb der vorgesehenen Sicherheitsprozesse verarbeitet werden. Daher gilt die praktische Frage: Ist dieses Werkzeug für diese Informationen tatsächlich geprüft?
Nicht jede Information ist nur „ein bisschen Kontext“
Für den Alltag hilft eine vorsichtige Einteilung. Die folgende Tabelle ist eine redaktionelle Arbeitshilfe, keine rechtliche Freigabe einzelner Datenarten. Auch bereits veröffentlichte Informationen können Rechte anderer berühren.
| Material | Praktischer Umgang | Bessere Alternative |
|---|---|---|
| Passwörter, API-Schlüssel, Wiederherstellungscodes | Nie in Prompts oder Anhänge übernehmen | Platzhalter wie API_KEY einsetzen |
| Kundenmails, Rechnungen, Teilnehmerlisten | Nicht ungeprüft hochladen | Nur die sachliche Aufgabenstellung neu formulieren |
| Interne Kalkulationen und unveröffentlichte Konzepte | Vertraulichkeit und Projektvereinbarungen prüfen | Mit erfundenen Beispieldaten arbeiten |
| Öffentlicher eigener Leistungstext | Herkunft, Rechte und eingebettete Angaben prüfen | Nur den benötigten Abschnitt verwenden |
Ein typischer Fall: Eine Webdesignerin möchte aus einer Anfrage eine Seitenstruktur entwickeln. Dafür braucht das Modell weder die private Telefonnummer des Kunden noch seine vollständige Mail-Signatur. „Ein regionaler Handwerksbetrieb benötigt Leistungsseiten, Referenzen und ein Anfrageformular“ reicht als Ausgangspunkt oft aus.
Ein Name weniger macht noch keine anonymen Daten
Die Orientierungshilfe der Datenschutzkonferenz vom 6. Mai 2024 weist darauf hin, dass ein Personenbezug nicht nur durch Namen oder Adressen entstehen kann. Sie empfiehlt, Einsatzzweck und Datenverarbeitung vorab zu prüfen. Bei personenbezogenen Daten ist eine passende Rechtsgrundlage erforderlich; die Orientierungshilfe ersetzt keine Einzelfallprüfung.
Wer „Frau Müller“ durch „Kundin A“ ersetzt, aber Arbeitgeber, seltene Funktion und den genauen Vorgang stehen lässt, hat deshalb nicht automatisch eine unbedenkliche Eingabe. Die EDSA-Mitteilung vom 17. Januar 2025 erläutert: Lassen sich pseudonymisierte Informationen mithilfe zusätzlicher Angaben einer Person zuordnen, bleiben sie personenbezogen.
Für eine Texthilfe ist es meist einfacher, einen neuen, fiktiven Fall aufzuschreiben. Eine Beraterin könnte statt eines echten Gesprächsprotokolls vorgeben: „Eine Kundin fragt nach dem Unterschied zwischen einem Einzeltermin und einem Workshop. Erstelle drei verständliche Antwortvarianten.“ Die Beispiele hier sind bewusst erfunden und keine Kundenberichte.
Auch Screenshots und Dateien gehören zur Eingabe
Beim Kopieren von Text sieht man meist, was man weitergibt. Ein Screenshot wird dagegen schnell als harmloses Fehlerbild behandelt. Kontrollieren Sie vor dem Upload auch Browserleisten, eingeloggte Konten, Kundennamen und sichtbare Zugangsdaten. Bei Dokumenten verdienen Kommentare, zusätzliche Tabellenblätter und enthaltene Anhänge einen eigenen Blick.
Für einen WordPress-Fehler bietet sich als Arbeitsweise an:
- Die konkrete Fehlermeldung separat erfassen.
- Nur den betroffenen Codeausschnitt verwenden.
- Domains, E-Mail-Adressen und geheime Werte durch eindeutige Platzhalter ersetzen.
- Den bereinigten Ausschnitt nochmals vollständig lesen.
- Den Lösungsvorschlag zuerst in einer Testumgebung prüfen.
Eine komplette Kundendatenbank ist kein sinnvoller Ersatz für ein kleines reproduzierbares Beispiel. Lässt sich ein Problem mit drei künstlichen Datensätzen darstellen, sollte nicht der gesamte Export hochgeladen werden.
„Kein Training“ beantwortet nicht alle Sicherheitsfragen
Eine Einstellung zur Trainingsnutzung ist wichtig, beschreibt aber nicht automatisch Speicherung, Zugriffsrechte oder alle angeschlossenen Dienste. Das NCSC empfiehlt bereits in seiner Risikoeinordnung vom 14. März 2023, sensible Informationen nicht an öffentliche Sprachmodelle zu übermitteln und Nutzungsbedingungen sowie Datenschutzhinweise sorgfältig zu prüfen. Die damaligen produktspezifischen Beschreibungen sind keine Aussage über heutige Tarife.
Vor einer Freigabe sollte deshalb für das konkret genutzte Konto festhalten werden: Welche Daten sind erlaubt? Wie lange werden sie aufbewahrt? Wer kann darauf zugreifen? Sind externe Erweiterungen oder verbundene Datenquellen beteiligt? Vertrags- und Datenschutzfragen gehören bei Bedarf in fachkundige Hände. Ein kostenpflichtiges Konto allein beantwortet sie nicht.
Eine kurze Projektregel verhindert wiederkehrende Diskussionen
Für kleine Teams genügt als organisatorischer Start eine übersichtliche Vereinbarung: freigegebene Werkzeuge, erlaubte Aufgaben, ausgeschlossene Informationen und ein Ansprechpartner bei Unsicherheit. Sie ersetzt weder technische Schutzmaßnahmen noch erforderliche rechtliche Prüfungen. Sie sorgt aber dafür, dass nicht jede freie Mitarbeiterin mit einem anderen privaten Konto arbeitet.
Bei Website-Projekten lässt sich diese Klärung direkt in die Konzeption aufnehmen. Der geprüfte Leistungsbereich von Webhoster München verbindet Konzept, Webdesign, WordPress-Umsetzung und Hosting; Datenwege sollten entsprechend schon beim Aufbau der Abläufe mitgedacht werden.
Vor dem nächsten Prompt helfen drei konkrete Fragen: Kann ich die Aufgabe ohne Kundendaten beschreiben? Welche Angaben kann ich durch fiktive Werte ersetzen? Ist das verbleibende Material für genau dieses Werkzeug freigegeben? Wenn die letzte Antwort offen ist, bleibt die Datei zunächst außerhalb des Chats.
Recherchestand: 17. Oktober 2026. Allgemeine organisatorische Hinweise, keine individuelle Rechtsberatung. Anbieterbedingungen und Funktionen können sich ändern.