Ist ChatGPT datenschutzkonform?

Die Nutzung von KI-Tools wie ChatGPT wirft Fragen auf: Wie sicher sind die Daten, die Nutzer bei der Anwendung preisgeben?

Zunehmende Bedenken bezüglich des Datenschutzes

In den letzten Jahren hat die Nutzung von KI-basierten Tools wie ChatGPT stark zugenommen, was eine Diskussion über Datenschutz und Datensicherheit entfacht hat. Viele Nutzer stellen sich die Frage: Wie sicher sind die eigegebenen Informationen, die bei der Verwendung von ChatGPT preisgegeben werden? Dieser Blogpost beleuchtet die aktuellen Bedenken und gibt einen Überblick über den Umgang mit Datenschutz bei OpenAI, dem Unternehmen hinter ChatGPT.

Beispiel Italien: Datenschutzprobleme und Verbot von ChatGPT

Ein markantes Beispiel für wachsende Datenschutzbedenken ist das vorübergehende Verbot von ChatGPT in Italien im März 2023. Die italienische Datenschutzbehörde sperrte den Dienst aufgrund von:

• Bedenken über den Schutz personenbezogener Daten
• Unzureichenden Schutzmechanismen für Minderjährige

Den vollständigen Bericht über das Verbot von ChatGPT in Italien und die damit verbundenen Datenschutzbedenken findest du hier.

OpenAI und der Umgang mit Datenschutz

Reagierend auf das Verbot hat OpenAI mehrere Maßnahmen zur Verbesserung des Datenschutzes ergriffen. Die wichtigsten Punkte umfassen:

• Anpassungen an den Datenschutzrichtlinien
• Verbesserung der Sicherheitsmechanismen für Nutzerdaten

Fragen zum Datenschutz bei ChatGPT

Beim Thema Datenschutz rund um ChatGPT gibt es einige zentrale Fragen, die immer wieder aufkommen. Fünf der wichtigsten sind:

1. Werden die Konversationen gespeichert?
2. Automatisierte Entscheidungen mit rechtlichen oder finanziellen Auswirkungen?
3. Werden Nutzerdaten an Dritte weitergegeben?
4. Haftung bei falschen oder irreführenden Informationen?
5. Beschränkungen und Missbrauch?

Sicherheitslücken am Arbeitsplatz

Nicht nur Privatpersonen, sondern auch zahlreiche Unternehmen setzen täglich ChatGPT ein und sehen sich dabei mit Datenschutzfragen konfrontiert. Wie die Website Vischer darstellt, sind sowohl die kostenlosen als auch die kostenpflichtigen Versionen für Privatkunden nicht für die Verarbeitung personenbezogener und vertraulicher Unternehmensdaten geeignet.

OpenAI bietet für „ChatGPT Free“ und „ChatGPT Plus“ keinen Auftragsverarbeitungsvertrag (auch als „Data Processing Agreement“ oder „DPA“ bekannt) an, der gemäß dem Schweizer Datenschutzgesetz und der DSGVO für Unternehmen erforderlich ist. Erst die Unternehmensversionen gewährleisten die Einhaltung der datenschutzrechtlichen Vorgaben in der Schweiz. Den vollständigen Artikel findest du hier.

ChatGPT´s Antwort auf den Datenschutz

Wichtig ist zu klären, was der Chatbot selbst zum Thema Datenschutz sagt. Zu diesem Zweck haben wir dem Chatbot zwei kritische Datenschutzfragen gestellt und überprüft, ob die Antworten mit den angegebenen Nutzungsbedingungen übereinstimmen. Diese Fragen wurden gezielt ausgewählt, um umfassende Datenschutzaspekte abzudecken und zu ermitteln, wie verantwortungsvoll OpenAI mit Nutzerdaten umgeht.

Frage 1:
Werden die Konversationen, die Nutzer mit dem Chatbot führen, gespeichert? Wenn ja, wie lange und zu welchem Zweck?

Antwort:

„OpenAI speichert Konversationen, um die Qualität der KI-Modelle zu verbessern. Die Daten werden bis zu 30 Tage aufbewahrt und dann gelöscht, es sei denn, gesetzliche Gründe verlangen eine längere Speicherung. Die Hauptzwecke der Speicherung sind die Verbesserung der KI, die Einhaltung der Richtlinien und der Schutz vor Missbrauch. Personenbezogene Daten sollten nicht geteilt werden, da sie in die gespeicherten Daten einfließen könnten. OpenAI bietet die Möglichkeit, personenbezogene Daten auf Anfrage zu löschen.“

Frage 2:
Werden die vom Chatbot gesammelten Nutzerdaten an Dritte weitergegeben? Wenn ja, an wen und zu welchem Zweck?

Antwort:

„OpenAI gibt gesammelte Nutzerdaten normalerweise nicht an Dritte weiter. Ausnahmen bestehen, wenn gesetzliche Anforderungen oder Sicherheitsbedenken eine Weitergabe erforderlich machen. Daten können an Behörden weitergegeben werden oder an Drittanbieter, die Dienstleistungen für OpenAI erbringen, wie Cloud-Dienste. Diese Partner sind vertraglich verpflichtet, die Daten zu schützen. Nutzer sollten die Datenschutzerklärung lesen, um über die Datenverwendung informiert zu sein.“

Vergleich zu den Nutzungsbedingungen

Zur Überprüfung, ob die Antworten mit den Nutzungsbedingungen übereinstimmen, haben wir den KI-Assistenten von swiDOC verwendet. Dieser ermöglicht das gezielte Abrufen spezifischer Informationen aus Dokumenten, ähnlich wie bei einem klassischen KI-Chatbot. Die Antwort des KI-Assistenten von swiDOC lautet wie folgt:

„Die Antworten sind größtenteils konsistent mit dem Rest des Dokuments, decken jedoch nicht alle Details ab. Es wird bestätigt, dass OpenAI Unterhaltungen bis zu 30 Tage speichert und der Chatbot keine rechtlichen oder finanziellen Entscheidungen trifft. Auch die Angaben zu Inhalten, Diensten Dritter und der DSGVO stimmen überein. Für vollständige Informationen sollten die aktuellen Nutzungsbedingungen konsultiert werden.“

Wie setze ich ChatGPT datenschutzkonform ein?

Nach DSGVO und NDSG muss bei Verarbeitung personenbezogener Daten der Datenverarbeiter (in diesem Fall OpenAI) in der Datenschutzerklärung angegeben werden.

Checkliste:

• Angabe von OpenAI in der eigenen Datenschutzerklärung (auf der Webseite) als Datenverarbeiter inkl. Verlinkung auf Datenschutzerklärung von OpenAI.
• Abschluss eines Data Processing Addendum (DPA) mit OpenAI.
• Dokumentation der Datenverarbeitungsaktivitäten.
• Information der Nutzer über die Datenverarbeitung und deren Zwecke.

Fazit: Offenheit mit diskreten Aspekten

Besonders aufschlussreich an diesem Versuch war die Untersuchung, wie ChatGPT auf kritische Fragen zu seiner eigenen Funktionsweise reagiert und wie die Nutzungsbedingungen in diesem Kontext dargestellt werden.

Die Analyse zeigt, dass ChatGPT im Umgang mit Nutzerdaten eine gewisse Transparenz bietet. Dennoch bleiben Fragen offen, insbesondere zum langfristigen Umgang mit sensiblen Informationen und dem Risiko unbefugter Nutzung. Trotz der Bemühungen um Sicherheit und Compliance kann der Datenschutz bei ChatGPT nicht immer garantiert werden.

ChatGPT erfüllt die Datenschutzanforderungen ausschließlich im Rahmen einer Unternehmenslizenz. Alle anderen Versionen sind in dieser Hinsicht nicht datenschutzkonform.

Eine sicherere Alternative für den Umgang mit vertraulichen Informationen ist swiDOC. Im Gegensatz zu ChatGPT speichert swiDOC Daten vollständig privat, ohne sie für Trainingszwecke zu verwenden. Dank starker Verschlüsselung und strenger Zugriffskontrollen bietet swiDOC maximalen Schutz für sensible Dokumente. Dies macht es zu einer idealen Lösung für Nutzer, die höchste Sicherheitsanforderungen an den Datenschutz stellen. Wenn du mehr erfahren möchtest, kannst du hier unseren Chatbot nutzen.