11.06.2026 von Pia Pillokat
KI am Arbeitsplatz: Warum private Accounts zum Risiko werden
Es ist nur ein kurzer Klick: Der Entwurf liegt offen, die Deadline drückt – und schon ist ChatGPT im privaten Browserfenster gestartet. Genau hier beginnt das Problem. Wenn Mitarbeitende Inhalte über private Accounts in „offene“ KI-Dienste hochladen, verlieren Unternehmen die Kontrolle über Datenflüsse, Vertraulichkeit und Compliance. Das Risiko reicht von ungewollten Datenabflüssen in Drittländer bis hin zu arbeitsrechtlichen Sanktionen. Auch Fragen der Mitbestimmung stehen im Raum. Dieser Beitrag erklärt verständlich, worauf es ankommt, und zeigt, wie Sie die größten Fallstricke vermeiden können.
Die Probleme: Personenbezogene Daten und Drittlandübermittlung
Besonders kritisch sind zwei Punkte, die oft miteinander verknüpft sind: Vertraulichkeit und internationale Datenübermittlungen. Wer personenbezogene oder interne Inhalte über private Accounts in externe KI-Tools eingibt, löst schnell eine sogenannte Drittlandübermittlung aus – etwa in die USA. Solche Transfers sind nur unter strengen Voraussetzungen zulässig (Stichwort: Art. 44 ff. DSGVO). Gleichzeitig gelten die Grundsätze der Datenminimierung und Vertraulichkeit: Geschäftsgeheimnisse, Gutachten, Bewerbungsunterlagen, Kundendaten oder interne Strategiepapiere gehören nicht in offene Tools und erst recht nicht in Konten, die weder vertraglich abgesichert noch technisch vom Unternehmen kontrolliert werden. Private Accounts sind hier wie unverschlossene Seitentüren: Sie sind bequem, bergen aber Risiken.
Abmahnung oder Kündigung?
Neben den rechtlichen Risiken gibt es auch eine arbeitsrechtliche Dimension. Wenn der Einsatz nicht freigegebener Tools untersagt ist oder eine ausdrückliche Freigabe fehlt, kann die Nutzung privater Accounts – je nach Schwere des Verstoßes und Sensibilität der Daten – zu spürbaren Konsequenzen führen. Die Bandbreite reicht von einer Abmahnung bis hin zur außerordentlichen Kündigung gemäß § 626 BGB. Entscheidend sind eine mögliche Pflichtverletzung, die drohende oder eingetretene Schadenslage und die im Unternehmen geltenden Regeln. Wer trotz eines klaren Verbots vertrauliche Daten in ein offenes Tool kopiert, riskiert nicht nur Sanktionen, sondern im schlimmsten Fall auch eine nachhaltige Vertrauenserosion im Arbeitsverhältnis.
Die Nutzung privater Accounts
Hinzu kommen Aspekte der Mitbestimmung. Der Einsatz neuer digitaler Systeme, die Leistung und Verhalten potenziell überwachen oder beeinflussen, kann mitbestimmungspflichtig sein. Auch deshalb sind improvisierte „Schatten-Workflows“ über Privatkonten heikel. Sie umgehen nicht nur Sicherheitsvorgaben, sondern unterlaufen auch erforderliche Beteiligungsprozesse. In den vergangenen Monaten haben Datenschutzaufsichtsbehörden Orientierungshilfen zum KI-Einsatz veröffentlicht. Sie empfehlen klare interne Vorgaben, Schulungen und technische Schutzmaßnahmen. All das greift jedoch ins Leere, wenn Mitarbeitende aus Bequemlichkeit oder Unwissenheit private Abkürzungen nehmen.
Was bedeutet das für die Praxis?
Zunächst ist ein klarer Grundsatz unverzichtbar: Keine privaten Accounts für geschäftliche Zwecke! Unternehmen sollten ausschließlich freigegebene, vertraglich abgesicherte Lösungen einsetzen, bei denen die Datenflüsse und Speicherorte geprüft sind und geeignete Transfermechanismen bestehen. Dazu gehören transparente Nutzungsbedingungen, Auftragsverarbeitungsverträge, technisch-organisatorische Maßnahmen und, wo nötig, geeignete Garantien für Drittlandtransfers. Ebenso wichtig sind klare, verständliche Richtlinien: Was darf in KI-Tools eingegeben werden – und was nicht? Wer gibt frei? Wie wird protokolliert? Schulungen sind dabei mehr als eine Formalie. Sie schaffen Bewusstsein und liefern praktische Leitplanken für Alltagssituationen. Die IT- und Datenschutzorganisation sollte ihre Rollen und Verantwortlichkeiten eindeutig festlegen, den Betriebsrat frühzeitig einbinden und den Stand der Technik regelmäßig überprüfen. Logging und revisionsfreundliche Dokumentation sorgen im Ernstfall dafür, dass sich Abläufe nachvollziehen lassen.
Letztendlich ist es eine Frage der Disziplin und der Kultur. Die größte Schwachstelle ist nicht die Technologie selbst, sondern ihre unkontrollierte Nutzung. Wo private Accounts tabu sind, freigegebene Tools sauber konfiguriert sind und Mitarbeitende geschult sind, lassen sich Datenschutzverstöße und arbeitsrechtliche Eskalationen wirksam verhindern.
Sollten Sie weitere Fragen zu diesem Thema haben, lesen Sie auch unsere anderen Blogbeiträge zum Thema KI oder sprechen Sie uns an.
