OpenAI bringt Werbung in ChatGPT: Was KMU wissen müssen
Was sich bei ChatGPT konkret ändert
Bislang hat sich OpenAI ausschließlich über Abonnements finanziert: die kostenlose Basisversion, ChatGPT Plus, Team- und Enterprise-Pläne. Mit der Ankündigung, Werbung in den Chat zu integrieren, verlässt der Konzern dieses reine Abo-Modell und öffnet sich einem zweiten, deutlich lukrativeren Erlösweg, der Branche seit Jahren aus Google, Meta und Co. bekannt ist. Das ist an sich keine Überraschung, denn ein Dienst mit derart vielen aktiven Nutzern ist für werbetreibende Unternehmen hochinteressant, und OpenAI muss die immensen Kosten für Rechenzentren und Modelltraining irgendwie refinanzieren.
Neu und relevant ist der zweite Teil der Meldung: Parallel zur Werbe-Ankündigung passt OpenAI seine Datenschutzrichtlinie an. Das ist kein Zufall, denn wer Werbung ausspielen will, muss festlegen, auf welcher Datengrundlage das geschieht. Genau hier verspricht OpenAI etwas, das zunächst beruhigend klingt: Kontext-Targeting ohne Zugriff auf den Chat-Verlauf. Die Anzeigen sollen sich also nicht daran orientieren, was ein Nutzer in der Vergangenheit mit dem Chatbot besprochen hat, sondern am aktuellen Kontext der Konversation oder der Nutzungssituation.
Was Kontext-Targeting eigentlich bedeutet
Kontext-Targeting ist ein altbekanntes Prinzip aus der klassischen Online-Werbung. Eine Zeitschrift zum Thema Angeln zeigt Anzeigen für Angelruten, nicht weil sie das Leseverhalten jedes einzelnen Lesers kennt, sondern weil der thematische Rahmen bereits genug Information liefert. Übertragen auf ChatGPT würde das heißen: Fragt jemand gerade nach Reisetipps für Italien, könnte eine Anzeige für Flüge oder Hotels erscheinen, ohne dass OpenAI dafür in vergangenen Unterhaltungen nach Reisevorlieben, Budget oder persönlichen Daten suchen muss.
Das klingt nach einem datensparsameren Ansatz als das personalisierte Tracking, das man von sozialen Netzwerken kennt. Trotzdem bleiben wichtige Fragen offen, die sich aus der reinen Nachrichtenlage bislang nicht abschließend beantworten lassen: Wie genau wird der „Kontext" technisch bestimmt, welche Daten fließen in diese Bestimmung ein, und wie sauber ist die Trennung zwischen Kontext-Erkennung und Chat-Verlauf in der Praxis wirklich umgesetzt? Genau an dieser Stelle beginnt für Unternehmen die eigentliche Prüfarbeit, denn ein Versprechen in einer Pressemitteilung ersetzt keine belastbare Auftragsverarbeitungsvereinbarung und keine geprüfte Datenschutzfolgenabschätzung.
Warum das für Unternehmen anders zu bewerten ist als für Privatpersonen
Wenn Privatpersonen ChatGPT nutzen, um Kochrezepte zu suchen oder einen Urlaub zu planen, ist eine kontextbezogene Werbeanzeige ärgerlich, aber überschaubar. Sobald jedoch Mitarbeitende eines Unternehmens ChatGPT für ihre Arbeit einsetzen, wie es in den letzten Jahren in nahezu jeder Branche üblich geworden ist, sieht die Lage anders aus. Dort tauchen in Chats regelmäßig Dinge auf, die eigentlich nicht für Dritte bestimmt sind: interne Kalkulationen, Entwürfe für Kundenangebote, Auszüge aus Verträgen, Personalthemen, Produktideen, manchmal sogar Kundendaten, die zur Formulierung einer Antwort eingefügt werden.
Genau hier setzt der Kern des Problems an. Ein Kontext-Targeting-System muss den Inhalt einer Konversation zumindest grob analysieren, um zu entscheiden, welche Werbekategorie thematisch passt. Damit stellt sich unweigerlich die Frage, ob und in welcher Form geschäftliche Eingaben in diesen Analyseprozess einfließen, selbst wenn OpenAI betont, den eigentlichen Chat-Verlauf nicht für Zwecke der Personalisierung heranzuziehen. Für ein Unternehmen, das Wert auf seine Betriebsgeheimnisse legt oder ohnehin schon strengen Vorgaben zum Umgang mit Kundendaten unterliegt, ist diese Unschärfe ein handfestes Risiko, kein theoretisches.
Die Haftungsfrage, die viele KMU noch nicht gestellt haben
Genau hier liegt der eigentliche Weckruf für den Mittelstand. Wenn ein Mitarbeiter in ChatGPT versehentlich personenbezogene Daten eines Kunden einfügt, etwa um eine Antwort formulieren zu lassen, und diese Daten in irgendeiner Form in ein Werbe-Targeting-System einfließen, dann ist nicht OpenAI allein in der Verantwortung. Nach der Datenschutz-Grundverordnung bleibt in aller Regel das Unternehmen, das die Daten ursprünglich verarbeitet und weitergegeben hat, mitverantwortlich, unabhängig davon, was ein Drittanbieter mit diesen Daten tatsächlich anstellt.
Viele kleine und mittlere Unternehmen haben KI-Tools in den letzten Jahren sehr pragmatisch eingeführt: schnell ausprobiert, für praktisch befunden, im Team verteilt, ohne dass jemand eine formale Risikobewertung durchgeführt oder eine klare Nutzungsrichtlinie aufgesetzt hat. Das war bislang oft verzeihlich, weil ChatGPT als reiner Abo-Dienst ohne Werbemodell ein vergleichsweise überschaubares Datenschutzprofil hatte. Mit der Kommerzialisierung durch Werbung ändert sich dieses Profil grundlegend, und damit ändert sich auch, wie kritisch Unternehmen ihre bisherige, oft ungeprüfte Nutzung hinterfragen sollten.
Hinzu kommt: Die anstehende NIS2-Richtlinie verschärft ohnehin die Anforderungen an IT-Sicherheit und Risikomanagement für viele mittelständische Betriebe, auch für solche, die bislang dachten, das Thema betreffe nur Großkonzerne oder kritische Infrastruktur. Wer sich mit den Anforderungen aus NIS2 & IT-Sicherheit beschäftigt, stößt zwangsläufig auch auf den Umgang mit Drittanbieter-Software und Cloud-Diensten wie eben KI-Chatbots. Ein unreflektierter Umgang mit ChatGPT und ähnlichen Tools passt schlicht nicht mehr zu den Sorgfaltspflichten, die von Unternehmen zunehmend erwartet werden.
Zwischen Nützlichkeit und Kontrollverlust: das Dilemma vieler Betriebe
Es wäre falsch, jetzt in Panik zu verfallen und KI-Tools pauschal zu verbieten. ChatGPT und vergleichbare Werkzeuge haben in vielen Unternehmen echten Mehrwert geschaffen, von der schnelleren Texterstellung über die Unterstützung bei der Recherche bis zur Vorbereitung von Kundenkommunikation. Ein Rückbau auf null wäre für die meisten Betriebe weder praktikabel noch wettbewerblich sinnvoll. Die eigentliche Aufgabe besteht darin, Nutzung und Kontrolle in ein vernünftiges Verhältnis zu bringen, statt sich zwischen den Extremen „alles erlauben" und „alles verbieten" zu entscheiden.
Das Problem ist, dass viele Unternehmen genau diese mittlere Position bislang nicht aktiv gestaltet haben. Es gibt keine klare Liste, welche Daten in ChatGPT eingegeben werden dürfen und welche nicht. Es gibt keine Vorgabe, ob die kostenlose Version, ein Plus-Abo oder ein Business-Tarif mit besseren Datenschutzzusagen genutzt werden soll. Und es gibt oft auch kein Bewusstsein dafür, dass sich die Nutzungsbedingungen eines solchen Dienstes jederzeit ändern können, so wie jetzt mit der Werbe-Einführung geschehen. Wer sich auf einen Anbieter verlässt, ohne dessen Änderungen aktiv zu verfolgen, gerät zwangsläufig irgendwann in eine Situation, in der die eigene betriebliche Praxis nicht mehr zu den aktuellen Bedingungen des Anbieters passt.
Was das für den Mittelstand bedeutet
Die Ankündigung von OpenAI ist ein guter Anlass, die eigene KI-Nutzung im Unternehmen einmal grundsätzlich zu ordnen, statt nur auf diese eine Meldung zu reagieren. Folgende Schritte sind aus unserer Sicht sinnvoll und in überschaubarer Zeit umsetzbar:
Eine schriftliche KI-Nutzungsrichtlinie aufsetzen. Auch ein kurzes, verständliches Dokument reicht aus, solange klar geregelt ist, welche Arten von Daten niemals in externe KI-Tools eingegeben werden dürfen, etwa Kundendaten, Vertragsinhalte, Personalinformationen oder interne Kalkulationen. Diese Richtlinie sollte allen Mitarbeitenden bekannt sein, nicht nur in einem Ordner liegen, den niemand liest.
Geschäftliche und private KI-Nutzung technisch trennen. Wer ChatGPT im Unternehmen einsetzt, sollte auf Tarife mit klaren Datenschutzzusagen für geschäftliche Nutzung setzen und nicht auf private Konten der Mitarbeitenden zurückgreifen. Business- und Enterprise-Angebote bringen in der Regel andere vertragliche Zusicherungen mit als die kostenlose Consumer-Version, insbesondere was die Verwendung von Eingaben für Training oder Werbezwecke betrifft. Ob diese Zusicherungen im konkreten Fall ausreichen, sollte im Zweifel juristisch geprüft werden.
Die eigene IT-Sicherheitsstrategie um KI-Tools erweitern. KI-Chatbots sind längst ein fester Bestandteil der Angriffs- und Risikofläche eines Unternehmens, auch wenn sie selten unter diesem Blickwinkel betrachtet werden. Wer seine IT-Sicherheit ohnehin regelmäßig überprüft, sollte KI-Werkzeuge explizit in diese Betrachtung aufnehmen, statt sie als reines Produktivitätstool außen vor zu lassen.
Änderungen an Nutzungsbedingungen aktiv verfolgen. Große KI-Anbieter ändern ihre Geschäftsmodelle und Datenschutzrichtlinien inzwischen in kürzeren Abständen, als es viele Unternehmen gewohnt sind. Es lohnt sich, diese Änderungen nicht dem Zufall zu überlassen, sondern feste Verantwortlichkeiten zu benennen, die solche Meldungen im Blick behalten und bei Bedarf die interne Richtlinie anpassen.
Beratung einholen, statt allein zu entscheiden. Gerade für kleinere Betriebe ohne eigene IT- oder Datenschutzabteilung lohnt sich der Austausch mit einem externen Partner, der die Entwicklungen im Blick behält und einschätzen kann, wie kritisch eine konkrete Änderung wirklich ist. Ein lokaler Ansprechpartner wie IT-Service Friesland kann helfen, solche Fragen praxisnah statt rein theoretisch zu beantworten.
Wichtig ist dabei die Reihenfolge: Erst prüfen, dann entscheiden, ob und wie ein Tool weiter genutzt wird, nicht umgekehrt. Ein pauschales Ja oder Nein zu ChatGPT wird der Realität der meisten Unternehmen nicht gerecht, eine differenzierte, dokumentierte Entscheidung dagegen schon.
Ein Blick nach vorn
Die Einführung von Werbung in ChatGPT ist letztlich ein logischer Schritt für einen Dienst dieser Größenordnung, und OpenAI ist damit bei Weitem nicht der erste Anbieter, der ein zunächst werbefreies Produkt später kommerzialisiert. Für Unternehmen ist die eigentliche Lehre daraus weniger die konkrete Werbefunktion selbst, sondern die Erkenntnis, dass sich die Geschäftsgrundlage populärer KI-Dienste weiterentwickelt und dabei nicht zwangsläufig in eine für Unternehmen komfortablere Richtung. Wer heute ohne klare Regeln arbeitet, wird bei der nächsten Änderung genauso überrascht wie bei dieser. Wer sich jetzt Struktur gibt, ist für künftige Anpassungen deutlich besser gewappnet, ganz gleich, welcher Anbieter als Nächstes sein Geschäftsmodell verändert.
Häufige Fragen
Darf ich ChatGPT trotz der neuen Werbefunktion weiter im Unternehmen nutzen?
Ja, grundsätzlich spricht nichts gegen eine weitere Nutzung, solange klar geregelt ist, welche Daten eingegeben werden dürfen. Wichtig ist, die interne Nutzung an die aktuellen Bedingungen des Anbieters anzupassen und nicht unverändert weiterzumachen wie vorher.
Reicht das Versprechen von OpenAI, keinen Zugriff auf den Chat-Verlauf für Werbung zu nutzen, als Sicherheit aus?
Das Versprechen ist ein positives Signal, ersetzt aber keine eigene Prüfung. Für geschäftlich sensible Daten sollte ein Unternehmen sich nicht allein auf eine Ankündigung verlassen, sondern die vertraglichen Zusicherungen im jeweiligen Tarif genau ansehen.
Sollten wir auf einen kostenpflichtigen Business-Tarif umsteigen?
Für Unternehmen, die regelmäßig geschäftliche Inhalte in KI-Tools eingeben, ist ein Business- oder Enterprise-Tarif mit klareren Datenschutzzusagen in der Regel die sinnvollere Wahl gegenüber der kostenlosen oder privaten Nutzung. Die konkreten Bedingungen sollten dabei im Einzelfall geprüft werden.
Was hat das mit NIS2 zu tun, wenn wir gar keine kritische Infrastruktur sind?
Auch Unternehmen außerhalb kritischer Sektoren müssen zunehmend nachweisen, dass sie mit Risiken durch Drittanbieter-Software sorgfältig umgehen. Der Umgang mit KI-Tools wie ChatGPT gehört inzwischen zu diesem Themenfeld dazu, selbst wenn ein Betrieb formal nicht direkt unter die NIS2-Pflichten fällt.
Wie erkenne ich, welche Mitarbeitenden bei uns bereits sensible Daten in ChatGPT eingeben?
Ohne technische Kontrollen ist das oft schwer nachzuvollziehen, weshalb eine klare Richtlinie und Schulung der erste und wichtigste Schritt ist. Ergänzend helfen zentral verwaltete Business-Tarife und, falls vorhanden, Monitoring-Lösungen der eigenen IT-Infrastruktur, um den Überblick zu behalten.
Was passiert, wenn wir aus Versehen doch sensible Daten eingegeben haben?
Der Vorfall sollte intern dokumentiert und je nach Schwere gegebenenfalls datenschutzrechtlich bewertet werden, im Zweifel mit externer Beratung. Wichtiger als die Aufarbeitung im Nachhinein ist jedoch, durch klare Regeln von vornherein zu verhindern, dass es überhaupt so weit kommt.