Wie sichern Sie ChatGPT im Unternehmen?
Secure ChatGPT Enterprise with five checks: managed account access, provider data-handling settings, rules for sensitive prompts and uploads, permissions for connected apps, and reviewable activity. OpenAI does not train on business data by default. That commitment is separate from your organisation’s decision about which data employees may submit and which actions require an additional control. OpenAI enterprise privacy
Test one policy before rollout. Using a fictional customer record, compare an allowed prompt with a sensitive prompt and file upload in the intended ChatGPT account and client. Check the configured response and recorded event. Aona adds blocking or redaction on supported interactions and evidence for the security review. Evaluate DLP for ChatGPT · Verify an AI policy control
Einführung: Die ChatGPT-Herausforderung für die Unternehmenssicherheit
Mitarbeitende können ChatGPT über freigegebene Workspaces oder persönliche Konten nutzen, für die unterschiedliche Datenbedingungen und Kontrollen gelten. Erfassen Sie zunächst die betroffenen Konten, Geräte und Informationen und entscheiden Sie dann, welche Nutzungsarten Ihre Organisation zulassen kann.
Dieser Leitfaden erklärt, wie Sie ChatGPT-Sicherheitsrisiken bewerten, Regeln am Arbeitsplatz festlegen, technische Kontrollen anwenden und freigegebene Nutzung überwachen.
Verstehen der Sicherheitsrisiken von ChatGPT im Unternehmen
Bevor Sicherheits-Teams reagieren, müssen sie die spezifischen Risiken verstehen, die ChatGPT mit sich bringt. Diese Risiken fallen in mehrere Kategorien, die unterschiedliche Kontrollen erfordern.
Datenleckage und Vertraulichkeit
Sensitive prompts and uploads can include customer records, source code and confidential documents. OpenAI’s enterprise privacy commitments cover model training, retention, access and connected apps. Review each separately for your workspace: a no-training commitment does not by itself mean zero retention or permission to share every data type. Read OpenAI’s enterprise privacy commitments
An employee sending a confidential customer record to an unapproved account can create an incident even when the provider has strong security controls. Use synthetic records to test the policy and involve the responsible owner when real information may have been disclosed.
Compliance- und regulatorische Risiken
Ermitteln Sie vor der Verarbeitung personenbezogener oder regulierter Daten in ChatGPT die geltende Rechtsgrundlage, den Vertrag, die Sicherheitsmaßnahmen und gegebenenfalls erforderliche Folgenabschätzungen. Die Anforderungen hängen von Daten, Rechtsordnung und Nutzung ab; Einwilligung ist nicht die einzige mögliche Rechtsgrundlage. Lassen Sie die geplante Nutzung von der zuständigen Datenschutz- oder Rechtsabteilung freigeben. Vorlage für die KI-Auftragsverarbeitung prüfen
Das EU-KI-Gesetz fügt zusätzliche Verpflichtungen für Organisationen hinzu, die KI in Hochrisikokontexten einsetzen, einschließlich Transparenzanforderungen, die mit Drittanbieter-KI-Diensten schwer zu erfüllen sind.
Genauigkeits- und Halluzinationsrisiken
ChatGPT kann selbstbewusst falsche Informationen generieren, ein Phänomen, das als Halluzination bekannt ist. Im Unternehmenskontext bedeutet das Geschäftsrisiken: falsche Rechtsberatung, fehlerhafte Finanzanalysen, ungenaue Kundenkommunikation oder fehlerhafte technische Empfehlungen. Ohne Verifizierungsprozesse können KI-generierte Inhalte Fehler in der Organisation verbreiten.
Bedenken zum geistigen Eigentum
Von ChatGPT generierte Inhalte werfen Fragen zum geistigen Eigentum auf. Können KI-generierte Inhalte urheberrechtlich geschützt werden? Nutzen Sie unbeabsichtigt urheberrechtlich geschütztes Material anderer? Könnten Ihre proprietären Informationen in den Ausgaben anderer Nutzer erscheinen? Diese Fragen sind in den meisten Rechtsordnungen noch ungeklärt und bergen Risiken für Organisationen, die stark auf KI-generierte Inhalte setzen.
Schatten-KI und Sichtbarkeitslücken
Persönliche Konten und nicht verwaltete Geräte können Lücken im Workspace-Reporting verursachen. Kombinieren Sie die Verwaltung freigegebener Konten mit Gerätekontrollen und Mitarbeiterhinweisen. Die Sichtbarkeit durch Aona erfordert die Browser-Erweiterung oder native App auf dem Gerät; ein Eintrag im Risikokatalog schafft keine Sichtbarkeit auf einem nicht verwalteten Gerät.
Erstellung einer ChatGPT-Arbeitsplatzrichtlinie
Eine effektive ChatGPT-Richtlinie balanciert Sicherheit und Benutzerfreundlichkeit. Zu restriktive Richtlinien treiben die Nutzung in den Untergrund; zu nachsichtige Richtlinien setzen die Organisation Risiken aus.
Richtlinienstruktur
- Geltungsbereich - Definieren Sie, welche KI-Tools abgedeckt sind (ChatGPT, Claude, Gemini, Copilot und andere).
- Klassifizierung - Kategorisieren Sie die Nutzung in genehmigte, bedingt genehmigte und verbotene Aktivitäten.
- Regeln zum Umgang mit Daten - Legen Sie fest, welche Datentypen mit KI-Tools geteilt werden dürfen und welche nicht (verwenden Sie Ihr bestehendes Datenklassifizierungsschema).
- Genehmigte Plattformen - Listen Sie genehmigte KI-Tools und zugelassene Zugriffsarten auf (Enterprise-Konten vs. persönliche Konten).
- Verifizierungsanforderungen - Verlangen Sie in bestimmten Kontexten eine menschliche Überprüfung von KI-generierten Inhalten.
- Vorfallmeldung - Verpflichten Sie zur Meldung von versehentlicher Datenfreigabe oder Richtlinienverstößen.
Beispielhafte Richtlinienkategorien
Genehmigt: Nutzung von ChatGPT Enterprise zum Verfassen von Marketingtexten, Brainstorming oder Zusammenfassung öffentlicher Informationen.
Bedingt genehmigt: Einsatz von KI zur Codeunterstützung mit nicht proprietärem Code, mit Überprüfung vor dem Commit.
Verboten: Weitergabe von Kunden-PII, Finanzdaten, Quellcode, Rechtsdokumenten oder strategischen Plänen an externe KI-Tools.
Halten Sie in der bearbeitbaren Richtlinie freigegebene Konten, zulässige Daten und Meldekontakte fest. Vorlage für zulässige KI-Nutzung herunterladen
Implementierung technischer Kontrollen
Richtlinien allein reichen nicht aus. Technische Kontrollen sorgen für Durchsetzung und Sichtbarkeit, die Richtlinien wirksam machen.
KI-spezifische Data Loss Prevention (DLP)
Vergleichen Sie die Aktionen, die Ihre vorhandene DLP tatsächlich prüft, mit den ChatGPT-Prompts und Uploads, die Sie schützen müssen. Einige Endpunkt-, Browser- und Netzwerkprodukte prüfen bereits unterstützte KI-Übermittlungen. Prüfen Sie Lizenz, Client, Eingabepfad und Richtlinienreaktion, bevor Sie eine weitere Kontrolle hinzufügen. Umfang der Browser-DLP von Microsoft Purview
Wichtige Funktionen: Echtzeit-Inhaltsprüfung, Erkennung und Kategorisierung von KI-Diensten, granulare Richtliniendurchsetzung nach Benutzerrolle und Datentyp sowie umfassende Audit-Protokollierung.
Enterprise-KI-Plattformen
ChatGPT Enterprise provides managed workspace access, encryption and supported audit logging, with no training on business data by default. Confirm retention, connected-app permissions and administration features for the plan you use. Keep these provider controls distinct from pre-submission protection of a particular prompt or file. OpenAI enterprise privacy und security · Review Aona deployment und data handling
Netzwerk- und Zugriffskontrollen
- Blockieren Sie den Zugriff auf Consumer-KI-Dienste von Firmennetzwerken und -geräten.
- Leiten Sie genehmigte KI-Nutzung über verwaltete Enterprise-Plattformen.
- Implementieren Sie CASB (Cloud Access Security Broker)-Regeln für KI-Dienste.
- Überwachen Sie DNS- und Webverkehr auf nicht genehmigten KI-Tool-Zugriff.
KI-Sicherheit am Arbeitsplatz
Aona verbindet Sichtbarkeit der KI-Nutzung, Richtliniendurchsetzung und den Schutz sensibler Daten bei der Arbeit. Installieren Sie die Browser-Erweiterung oder native App auf verwalteten Geräten und prüfen Sie anschließend die unterstützte Anwendung und Eingabeaktion. Kontoverwaltung, Richtlinienfreigabe und rechtliche Entscheidungen bleiben bei den jeweils Verantwortlichen.
Vergleichen Sie die führenden Lösungen in unserem KI-Governance-Tool-Vergleichsleitfaden.
Überwachung und Erkennung
Kontinuierliche Überwachung ist entscheidend, um die Sicherheitslage aufrechtzuerhalten und Compliance nachzuweisen.
Was zu überwachen ist
- Nutzungsmuster von KI-Tools - Wer nutzt welche Tools, wie häufig und zu welchen Zwecken.
- Datenfluss zu KI-Diensten - Volumen und Sensitivität der mit externen KI-Diensten geteilten Daten.
- Richtlinienverstöße - Echtzeitwarnungen bei verbotenen Aktivitäten.
- Neue KI-Tool-Einführung - Erkennung neuer, nicht genehmigter KI-Dienste in Ihrer Umgebung.
- API-Nutzung - Überwachung des programmatischen Zugriffs auf KI-Dienste aus internen Systemen.
Erstellung eines KI-Sicherheits-Dashboards
Erstellen Sie ein zentrales Dashboard, das der Sicherheitsleitung Echtzeiteinblicke in die KI-Risikolage bietet. Wichtige Kennzahlen sind: Gesamtzahl der genutzten KI-Tools (genehmigt vs. nicht genehmigt), Bewertung der Datenexposition, Einhaltungsrate der Richtlinien, Vorfalltrends und Nutzungsmuster der Anwender.
Schulung und Sensibilisierung
Prompt- und Upload-Kontrollen können eingreifen, bevor eine unterstützte Übermittlung einen KI-Dienst erreicht. Schulungen ergänzen diese Kontrollen, indem sie Mitarbeitenden helfen, freigegebene Konten zu wählen, sensible Informationen zu erkennen und Fehler zu melden. Ein wirksames Programm sollte die folgenden Bereiche abdecken.
- Welche Daten sicher geteilt werden können - Praktische Beispiele, die für jede Abteilung relevant sind, keine abstrakten Richtlinien.
- Wie man KI sicher nutzt - Prompt-Engineering-Techniken, die vermeiden, sensible Daten preiszugeben.
- Wie man KI-Ausgaben überprüft - Kritisches Denken zur Bewertung von KI-generierten Inhalten.
- Wie man Bedenken meldet - Einfache, schuldfreie Meldewege für versehentliche Datenfreigaben.
- Regulatorischer Kontext - Warum KI-Governance für die Organisation und ihre Kunden wichtig ist.
Wiederholen Sie Schulungen vierteljährlich und aktualisieren Sie Inhalte, wenn sich Tools und Vorschriften ändern. Verwenden Sie reale Beispiele und anonymisierte interne Vorfälle, um die Schulung relevant und ansprechend zu gestalten.
Sichere Alternativen und genehmigte Workflows
Anstatt ChatGPT einfach zu beschränken, bieten Sie Mitarbeitern sichere Alternativen, die ihren Produktivitätsanforderungen entsprechen.
- ChatGPT Enterprise: ein verwalteter Workspace mit Kontrollen für Unternehmenszugriff, Datenschutz und Administration. Bestätigen Sie die Funktionen und Bedingungen, die Sie für die geplante Nutzung benötigen.
- Auf Azure gehostete KI-Dienste: Prüfen Sie Bereitstellungsregion, unterstützte Modelle, Zugriffskontrollen und Datenverarbeitungsbedingungen für den gewählten Dienst.
- Private LLM-Bereitstellungen - Selbst gehostete Modelle für die sensibelsten Anwendungsfälle.
- Branchenspezifische KI-Tools - Genehmigte, zweckgebundene KI-Tools für gängige Aufgaben (Codevervollständigung, Schreibassistenz, Datenanalyse).
Erstellen Sie genehmigte Workflow-Vorlagen für gängige Anwendungsfälle: E-Mail-Entwurf, Code-Review, Datenanalyse, Inhaltserstellung und Kundenservice. Diese Vorlagen enthalten vorab genehmigte Prompts, Datenhandhabungsrichtlinien und Verifizierungsschritte.
Für mehr zu sicheren KI-Einführungsoptionen sehen Sie unsere KI-Sicherheitsleitfäden.
Übernehmen Sie die Kontrolle über ChatGPT in Ihrer Organisation
Klare Richtlinien, technische Kontrollen, Überwachung und Schulungen helfen Organisationen, die ChatGPT-Nutzung durch Mitarbeitende zu steuern. Prüfen Sie freigegebene Konten und Datenregeln erneut, wenn sich Anbieterbedingungen, Tools oder geschäftliche Anforderungen ändern.
- Starten Sie mit unserer KI-Nutzungsrichtlinie Vorlage für eine sofortige Richtlinienimplementierung.
- Erkunden Sie das KI-Governance-Glossar für klare Definitionen wichtiger Begriffe.
- Vergleichen Sie Unternehmens-KI-Plattformen in unserem Lösungsvergleichsleitfaden.
Bring one ChatGPT account, data category and employee action to an Aona evaluation. Agree the supported client, synthetic test and evidence needed before rollout. This control guidance and the linked OpenAI privacy commitments were reviewed on 2 November 2026. ChatGPT-Sicherheitsdemo planen · Define evaluation acceptance criteria
