Gemäß dem EU AI Act werden die eingesetzten Systeme wie folgt eingeordnet:

System	Anwendung	Risikokategorie	Anwendung
monahilft.app	Bereitstellen eines KI Callcenters	Begrenztes Risiko	Nutzerinformation erforderlich
ChatGPT	Textunterstützung, Ideengenerierung	Minimales Risiko	Keine regulativen Anforderungen
ChatGPT	Formulierungsunterstützung bei Anträgen und Kommunikation	Minimales Risiko	Nutzung intern, keine personenbezogenen Daten
Copilot	Businessplananalyse	Potenziell hohes Risiko	Risikoanalyse vor Produktivsetzung notwendig
Copilot	Businessplananalyse	Potenziell hohes Risiko	Risikoanalyse vor Produktivsetzung notwendig
Copilot	Bewerbertraining (Simulation von Gesprächen)	Begrenztes bis hohes Risiko	Transparenz, Bias-Vermeidung wichtig
Copilot	Verkaufstraining (Simulation von Gesprächen)	Begrenztes Risiko	Auf Ethik und Benutzerinfo achten

Bei Copilot und ChatGPT ist sicherzustellen, dass das Lernen aus Benutzereingaben deaktiviert ist. Beide Systeme dürfen keine Inhalte zur Verbesserung oder Weiterentwicklung ihrer Modelle verwenden. Die entsprechende Funktion zur Deaktivierung der Trainingsverwendung ist in den Einstellungen auszuschalten.

Vergleich: Datenschutz bei Copilot vs. ChatGPT

Aus Sicht des Datenschutzes ist Microsoft Copilot aktuell vorzuziehen, insbesondere für produktive Anwendungen mit personenbezogenen Daten:

• Microsoft Copilot:
  • Datenverarbeitung erfolgt bei EU-Tenant innerhalb des europäischen Rechtsraums.
  • Es existieren DSGVO-konforme Auftragsverarbeitungsverträge.
  • Inhalte werden nicht für Modelltraining verwendet.
  • Integrierbar ins Microsoft Compliance Center mit Protokollierung, Zugriffskontrolle und Dokumentation.
• ChatGPT (OpenAI):
  • Daten werden außerhalb der EU verarbeitet (i.d.R. USA).
  • Ohne Enterprise-Vertrag kein AV-Vertrag gemäß DSGVO.
  • Nur eingeschränkte Kontrolle über Datenhaltung.
  • Nutzung sollte sich auf nicht-personenbezogene und ideengenerierende Aufgaben beschränken.

Daher wird der Einsatz von Copilot für sensible und personenbezogene Aufgaben empfohlen. ChatGPT ist für interne, nicht-kritische Einsatzzwecke geeignet, sofern die Datenfreigabe deaktiviert ist.

• DSGVO-Konformität: Sämtliche Anwendungen werden auf Datenschutzkonformität gemäß DSGVO überprüft. Personenbezogene Daten werden nur mit ausdrücklicher Einwilligung verarbeitet.
• Vertrag mit Dritten (monahilft.app): Ein Vertrag zur Auftragsverarbeitung wird prüfend erstellt und dokumentiert.
• Recht auf Information und Widerspruch: Nutzer*innen werden über den Einsatz von KI-Systemen informiert und können diesen widersprechen, sofern keine gesetzliche Pflicht dagegensteht.
• Datenhaltung der Systeme:
  • ChatGPT (OpenAI): Datenverarbeitung erfolgt außerhalb der EU; keine Speicherung der Inhalte bei Nutzung mit deaktivierter Protokollierung ("Custom Instructions" – Datenfreigabe deaktivieren).
  • Microsoft Copilot: Datenhaltung gemäß Microsoft 365 Tenant-Einstellungen, DSGVO-konform bei EU-Tenant.
  • monahilft.app: Datenhaltung laut Anbieter in Deutschland, Vertragsprüfung notwendig

• Alle Personen, die mit einem KI-System interagieren, werden darüber klar informiert.
• Bei Trainingssystemen erfolgt eine begleitende Einweisung zur KI-Nutzung.
• Eine Dokumentation über Funktionsweise und Grenzen der KI wird bereitgestellt.
• Auswertungsgespräche aus KI unterstützten Trainings werden von Personen geführt und nicht der KI überlassen.
• Es erfolgt der ausdrückliche Hinweis, dass KI-Systeme keine Inhalte aus Gesprächen für zukünftiges Lernen speichern oder nutzen dürfen.

• Die Überwachung der KI-Systeme erfolgt durch eine benannte interne Stelle (z. B. QM/IT).
• Entscheidungen über Einsatz, Änderung und Stilllegung von KI-Anwendungen unterliegen einem internen Freigabeprozess.
• Die Einbindung des Datenschutzbeauftragten erfolgt bei allen Systemen mit Personenbezug.
• Bei Copilot und ChatGPT ist darauf zu achten, dass die Nutzung ohne Protokollierung erfolgt:
  • ChatGPT: In den Einstellungen unter "Datensteuerung" > "Das Modell für alle Verbessern" deaktivieren.
  • Copilot: Nutzung über Microsoft 365 mit aktivierter Compliance-Richtlinie und standardmäßig deaktivierter Analyse.

• Vor Produktiveinsatz geplanter Systeme wird eine Risiko- und Biasanalyse durchgeführt.
• Ergebnisse werden dokumentiert und in das Qualitätsmanagementsystem übernommen.
• Bei Hochrisiko-Systemen erfolgt eine ethische Folgenabschätzung gemäß EU AI Act.
• Copilot: Es erfolgt eine Schulung der Berater, die das System einsetzen. Entscheidungen werden stets durch Menschen getroffen. Der Prompt ist so zu formulieren, dass keine automatisierte Wertung erfolgt.
• Bewerbertraining: KI darf in der Rolle eines Gegenübers agieren, jedoch keine persönlichen Daten der Teilnehmenden erfragen.

• • Alle Mitarbeitenden, die KI-Systeme nutzen, erhalten Schulungen zur sicheren und verantwortungsvollen Anwendung.
  • Trainer*innen und Teilnehmende werden über Zweck, Funktion und Reichweite der KI informiert.
  • Anweisung für Berater: Kommunikation mit KI-Systemen darf nicht außerhalb der definierten Anwendungen gespeichert oder für Lernzwecke verwendet werden.