Privatsphäre als Produktivitätsbedingung: Wie Unternehmen LLMs sicher für Unternehmensdaten nutzen

Large Language Models (LLMs) können Unternehmenswissen leichter zugänglich machen: Verträge zusammenfassen, interne Richtlinien erklären, Kundenanfragen vorbereiten oder Projektdokumentation durchsuchen. Der entscheidende Punkt ist aber nicht, möglichst viele Daten in ein Modell zu kippen. Entscheidend ist, Daten kontrolliert, zweckgebunden und nachvollziehbar nutzbar zu machen. Datenschutz- und Sicherheitsbehörden betonen übereinstimmend: LLMs verarbeiten häufig personenbezogene Daten in Training, Eingaben, Ausgaben oder Protokollen. Unter bestimmten Bedingungen können solche Informationen auch wieder ausgegeben werden (BfDI).

Das Hauptrisiko liegt deshalb weniger in Künstlicher Intelligenz (KI) an sich, sondern in unkontrollierten Datenflüssen. Bei öffentlichen oder extern betriebenen LLM-Diensten können Eingaben für den Anbieter sichtbar sein. Das britische National Cyber Security Centre (NCSC) weist ausdrücklich darauf hin, dass Nutzungsbedingungen und Datenschutzhinweise vor sensiblen Eingaben verstanden werden müssen (National Cyber Security Centre). Für Unternehmen bedeutet das: Geschäftsgeheimnisse, personenbezogene Daten, interne Strategiepapiere oder Kundendaten gehören nicht in frei genutzte Chatbots, sondern in eine kontrollierte Betriebsumgebung.

Der pragmatische Weg ist meist nicht das vollständige Neutrainieren eines Modells, sondern der Einsatz agentischer Tool-Ansätze. Dabei bleibt das Sprachmodell allgemein, während es für konkrete Aufgaben gezielt definierte Werkzeuge wie strukturierte Datenbankabfragen, interne Such-APIs, Dokumentenmanagementsysteme oder Fachapplikationen aufruft. Das Modell agiert als Orchestrator: Es entscheidet, welches Tool es mit welchen Parametern aufruft, verarbeitet die zurückgegebenen Daten und formuliert eine Antwort. Entscheidend für den Datenschutz ist, dass jedes Tool klar abgegrenzte Zugriffsrechte hat und nur freigegebene Datenquellen exponiert. So bleiben Datenflüsse nachvollziehbar und kontrollierbar, statt unkontrolliert in Modellgewichten verankert zu sein.

Besonders interessant ist das eigene Hosting: ein LLM im eigenen Rechenzentrum oder in einer dedizierten privaten Cloud, kombiniert mit einem internen agentischen Tool-Layer. Dadurch bleiben Prompts, Tool-Aufrufe, Antworten, Protokolle und Zugriffsdaten grundsätzlich unter der Kontrolle des Unternehmens. Der BSI-Kriterienkatalog berücksichtigt neben cloudbasierten Angeboten den lokalen Betrieb extern bereitgestellter generativer Modelle (BSI).

Eigenes Hosting löst aber nicht automatisch alle Datenschutzprobleme. Es verschiebt Verantwortung ins Unternehmen: Auswahl des Modells, Absicherung der Infrastruktur, Zugriffskontrolle, Protokollierung, Patch-Management, Lieferkettensicherheit und laufende Überwachung müssen selbst beherrscht werden. Das NCSC empfiehlt für KI-Systeme einen Lebenszyklus aus sicherem Design, sicherer Entwicklung, sicherer Bereitstellung sowie sicherem Betrieb und Wartung (National Cyber Security Centre). Die gemeinsame Leitlinie von NSA, CISA, FBI und internationalen Partnern nennt für KI-Daten unter anderem Verschlüsselung, digitale Signaturen, Herkunftsnachweise, sichere Speicherung und vertrauenswürdige Infrastruktur.

Die Architektur sollte deshalb einfach und streng sein: Nur freigegebene Datenquellen werden über Tools exponiert. Rechte aus bestehenden Systemen werden übernommen. Antworten nennen die verwendeten Quellen und Tool-Aufrufe. Besonders sensible Daten werden ausgeschlossen, anonymisiert oder nur für klar definierte Rollen sichtbar gemacht. Das LLM sollte nicht selbstständig auf Kernsysteme schreiben, keine unbegrenzte Websuche ausführen und keine kritischen Entscheidungen ohne menschliche Kontrolle treffen. BSI und ANSSI empfehlen für LLM-basierte Systeme mit Zero-Trust-Ansatz unter anderem begrenzte Zugriffsrechte, nachvollziehbares Verhalten und menschliche Aufsicht bei kritischen Entscheidungen (BSI).

Für externe Komponenten bleibt Vertragskontrolle zentral. Die BfDI weist darauf hin, dass manche Anbieter in AI-as-a-Service-Konstellationen Eingaben und Ausgaben für weiteres Training nutzen möchten. Bei potenziell sensiblen oder personenbezogenen Behördeninformationen müsse dies vertraglich ausgeschlossen werden. Für Unternehmen ist diese Logik genauso relevant (BfDI). Auch der Europäische Datenschutzausschuss betont, dass die Anonymität von KI-Modellen einzelfallbezogen zu prüfen ist und ein Modell nur dann als anonym gelten kann, wenn eine Identifizierung oder Extraktion personenbezogener Daten sehr unwahrscheinlich ist (European Data Protection Board).

Gute LLM-Nutzung ist daher ein Governance-Thema. Vor dem Start sollten Unternehmen Zweck, Datenkategorien, Rechtsgrundlage, Rollen, Löschfristen, Protokollierung, Qualitätskontrollen und Eskalationswege festlegen. Das NIST Artificial Intelligence Risk Management Framework ist genau für solche risikoorientierten Entscheidungen gedacht. Sein Generative-AI-Profil hilft Organisationen, spezifische Risiken generativer KI zu identifizieren und passende Maßnahmen auszuwählen (NIST). Zusätzlich verlangt der AI Act der Europäischen Kommission je nach Rolle und Risikoklasse Transparenz, Dokumentation, Risikomanagement, menschliche Aufsicht und Cybersicherheit. Für General-Purpose-AI-Modelle gelten seit 2025 besondere Pflichten für Anbieter (European Commission).

Der sichere Weg zu „alles aus Unternehmensdaten herausholen" lautet also nicht: alle Daten ins größte Modell. Er lautet: eigenes oder kontrolliertes Hosting, agentische Tools statt unnötigem Training, strenge und granulare Zugriffsrechte pro Tool, nachvollziehbare Quellen, kurze Speicherfristen, vertraglicher Trainingsausschluss und laufende Sicherheitsprüfung. So wird Privatsphäre nicht zur Bremse, sondern zur Voraussetzung dafür, dass Mitarbeitende LLMs produktiv nutzen können, ohne Unternehmenswissen, Kundendaten oder Vertrauen zu riskieren.