Sicherheit und Compliance bei KI-Anbietern wie Claude und openAI: Für EU-Unternehmen entscheiden andere Dinge als Leistung und warnende Presseberichte

Neben Kosten und Leistungsfähigkeit müssen Unternehmen in der Europäischen Union einen dritten Faktor berücksichtigen: den sicheren und rechtskonformen Umgang mit Daten. Dabei ist weder ChatGPT noch Claude allein aufgrund des Produktnamens automatisch sicher oder unsicher.

Entscheidend ist, welche Produktversion eingesetzt wird, welche Daten verarbeitet werden, wo diese Daten gespeichert werden und welche Berechtigungen, Verträge und Kontrollmechanismen das Unternehmen eingerichtet hat.

Ein kostenloses oder privat genutztes KI-Konto ist deshalb nicht mit einer professionell verwalteten Unternehmensumgebung gleichzusetzen. EU-Unternehmen sollten für betriebliche Aufgaben grundsätzlich Business- oder Enterprise-Angebote prüfen, in denen administrative Kontrollen, geregelte Zugriffsrechte, vertragliche Datenschutzvereinbarungen und definierte Vorgaben zur Verarbeitung der Unternehmensdaten verfügbar sind.

OpenAI erklärt für seine Businessprodukte und die API-Plattform, dass Geschäftsdaten standardmäßig nicht zum Training der Modelle verwendet werden. Zudem werden unter anderem Verschlüsselung, Zugriffsverwaltung, Aufbewahrungskontrollen und für berechtigte Kunden regionale Daten- und Inferenzresidenz angeboten. Eine Datenresidenz in Europa kann Unternehmen dabei unterstützen, interne oder regulatorische Anforderungen an den Speicherort von Daten zu erfüllen. Sie ersetzt jedoch keine eigene datenschutzrechtliche Prüfung.

Auch Anthropic stellt für Unternehmenskunden Sicherheits-, Datenschutz- und Compliance-Informationen zur Verfügung. Für eine belastbare Entscheidung reicht es jedoch bei keinem Anbieter aus, sich ausschließlich auf allgemeine Werbeaussagen zu verlassen. Unternehmen müssen die tatsächlich gebuchte Leistung, die geltenden Vertragsbedingungen, mögliche Unterauftragnehmer, Speicherfristen, Datenübermittlungen und Löschmöglichkeiten für ihren konkreten Einsatz prüfen.

Hinzu kommen die Anforderungen des europäischen AI Acts. Die Verordnung folgt einem risikobasierten Ansatz und betrifft nicht nur die Anbieter von KI-Modellen, sondern je nach Einsatz auch Unternehmen, die KI-Systeme innerhalb der EU verwenden. Seit dem 2. August 2026 gelten zudem weitere Transparenzpflichten für bestimmte KI-Systeme und KI-generierte Inhalte. Besonders sensibel sind Anwendungen etwa in den Bereichen Personal, Bildung, Kreditwürdigkeit, kritische Infrastruktur, Migration oder biometrische Verfahren.

Für Unternehmen bedeutet das: Die Auswahl eines bekannten Providers allein schafft noch keine Compliance.

Erforderlich ist eine nachvollziehbare KI-Governance. Dazu gehören insbesondere:

freigegebene Businesskonten statt unkontrollierter Privatkonten,

klare Regeln für vertrauliche, personenbezogene und besonders schützenswerte Daten,

Rollen- und Berechtigungskonzepte,

Prüfung von Auftragsverarbeitung und internationalen Datenübermittlungen,

Dokumentation der eingesetzten Systeme und Anwendungsfälle,

menschliche Kontrolle bei wesentlichen Entscheidungen,

Schulung der Beschäftigten und regelmäßige Überprüfung der Nutzung.

Gerade bei angebundenen Wissensquellen, Agenten und automatisierten Prozessen steigt das Risiko. Ein System kann dann nicht nur Texte erzeugen, sondern auf interne Dokumente, E-Mails, Kalender, Kundendaten oder externe Anwendungen zugreifen. Deshalb sollte jede Integration nur die unbedingt notwendigen Berechtigungen erhalten. Kritische Aktionen wie der Versand von Nachrichten, Änderungen an Kundendaten, Zahlungen oder Personalentscheidungen sollten nicht ohne definierte Prüf- und Freigabeschritte erfolgen.

Sicherheit entsteht somit nicht durch die Entscheidung für ChatGPT oder Claude.

Sie entsteht durch eine kontrollierte Unternehmensumgebung, minimale Berechtigungen, geeignete Verträge, klare Verantwortlichkeiten und eine Architektur, in der der Mensch bei relevanten Entscheidungen die Kontrolle behält.

Die richtige Frage lautet daher nicht nur: Welches Modell ist leistungsfähiger oder günstiger?

Unternehmen müssen zusätzlich fragen: Welche Daten darf das System verarbeiten, worauf darf es zugreifen, wer kontrolliert die Ergebnisse und wie wird die Nutzung gegenüber Beschäftigten, Kunden und Behörden nachvollziehbar dokumentiert?

KI-Fachartikel von Mike Winter | Owner von Off Sence AI