Generische KI-Werkzeuge wie ChatGPT sind in ihrer Standardform nicht ohne Weiteres für die Verarbeitung personenbezogener Kundendaten geeignet. Die Eingaben werden häufig außerhalb der EU verarbeitet, es fehlt standardmäßig ein Auftragsverarbeitungsvertrag, und die Antworten sind nicht an Ihre geprüften Quellen gebunden. Für einen DSGVO-konformen Kundenservice braucht es deshalb eine kontrollierte, in der EU gehostete und quellengebundene Lösung.

Auf einen Blick

• Datenstandort: Eingaben in generische KI-Tools werden oft in den USA verarbeitet, ein Drittlandtransfer mit Rechtsrisiko.

• Auftragsverarbeitung: Für den produktiven Service-Einsatz braucht es einen AVV nach Art. 28 DSGVO; bei frei genutzten Tools fehlt er.

• Trainingsnutzung: Ohne passende Konfiguration können Eingaben zur Modellverbesserung verwendet werden.

• Halluzinationen: Ein offenes Modell ist nicht an Ihre Fakten gebunden und kann falsche Auskünfte erzeugen, ein Haftungsrisiko.

• Die Lösung: eine in der EU gehostete, quellengebundene Conversational-AI-Plattform.

Warum Unternehmen die Frage überhaupt stellen

In vielen Unternehmen ist ChatGPT längst im Arbeitsalltag angekommen, oft schneller, als die IT es freigeben konnte. Mitarbeitende nutzen es für Formulierungen, Recherchen und manchmal für Kundenauskünfte. Das führt zu einem doppelten Problem. Einerseits gelangen womöglich personenbezogene Daten in ein Tool ohne vertragliche Grundlage. Andererseits kursieren Antworten, die zwar plausibel klingen, aber nicht den internen Regeln entsprechen, „dann ist es aber gar nicht so”.

Diese Schatten-IT ist der Auslöser für die Compliance-Frage. Wer sie beantworten will, muss zwei Dinge trennen: was generische KI-Tools leisten und was der Kundenservice rechtlich braucht.

Die vier DSGVO-Knackpunkte bei generischer KI im Service

1. Datenstandort und Drittlandübermittlung. Eingaben in öffentlich gehostete KI-Tools werden häufig in den USA verarbeitet. Sobald dort personenbezogene Daten landen, liegt eine Drittlandübermittlung vor, die einen belastbaren Mechanismus erfordert und die für regulierte Branchen oft inakzeptabel ist.

2. Auftragsverarbeitung (Art. 28). Für den produktiven Einsatz im Kundenservice braucht es einen Auftragsverarbeitungsvertrag mit klar benannten Unterauftragsverarbeitern. Bei frei und ohne Unternehmensvertrag genutzten Tools fehlt diese Grundlage.

3. Trainingsnutzung. Ohne passende Einstellungen oder Vertragsstufe können Eingaben zur Verbesserung der Modelle verwendet werden. Für vertrauliche Kundendaten ist das ein Kontrollverlust.

4. Richtigkeit der Auskunft. Ein offenes Sprachmodell erzeugt Antworten auf Basis von Wahrscheinlichkeiten und ist nicht an Ihre geprüften Quellen gebunden. Falsche Auskünfte, etwa zu Fristen oder Konditionen, können Informationspflichten verletzen und Haftung auslösen.

Diese Punkte sind dieselben, die einen DSGVO- und EU-AI-Act-konformen KI-Chatbot ausmachen. Ein offenes Chat-Tool erfüllt sie standardmäßig nicht.

Neben dem Datenschutz zählt die Wissensgrundlage

Generische KI antwortet aus einem breiten, allgemeinen Weltwissen. Im Kundenservice brauchen Sie aber Antworten aus Ihrem geprüften Wissen: aus Ihren Tarifen, Bauanleitungen, Vertragsbedingungen und Prozessen. ChatGPT kennt diese internen Quellen nicht und füllt Lücken mit der wahrscheinlichsten Formulierung.

Genau hier setzt eine hybride Architektur an. Sie trennt die Logik von der Formulierung. Die Fakten stammen ausschließlich aus Ihren freigegebenen Quellen, die generative KI übernimmt nur die sprachliche Ausgestaltung. Findet das System keine belegte Antwort, übergibt es den Fall kontrolliert an einen Menschen. Das reduziert das Halluzinationsrisiko deutlich und macht jede Antwort bis zur Quelle nachvollziehbar. Mehr dazu lesen Sie unter Mercury Intelligence und im Knowledge Hub.

Wie ein DSGVO-konformer Service-Chatbot aussieht

Eine konforme Lösung setzt von Grund auf die richtigen Voraussetzungen:

• Hosting ausschließlich in der EU (bei Mercury.ai: AWS Frankfurt, vollständig in Deutschland), keine Drittlandübermittlung.

• Europäische, selbst gehostete Modelle ohne API-Aufrufe an externe Anbieter, die Daten bleiben in Deutschland.

• Kein Training mit Ihren Daten, klarer AVV, konfigurierbare Löschfristen und Nutzer-Self-Delete.

• Quellengebundene Antworten mit Übergabe an den Menschen bei Unsicherheit.

• Transparente KI-Kennzeichnung gegenüber den Nutzern, wie sie der EU AI Act verlangt.

So lässt sich der Komfort generativer KI nutzen, ohne die Kontrolle über Daten und Aussagen aufzugeben.

Häufige Fragen (FAQ)

Darf ich ChatGPT im Kundenservice einsetzen?
Für die Verarbeitung personenbezogener Kundendaten ist die frei genutzte Standardversion in der Regel nicht geeignet. Es fehlen EU-Datenresidenz und ein Auftragsverarbeitungsvertrag. Geschäftliche Varianten bieten mehr Kontrollen, verarbeiten Daten aber meist weiterhin außerhalb der EU. Für regulierte Branchen ist eine EU-gehostete, quellengebundene Lösung der sichere Weg.

Werden meine Eingaben bei ChatGPT zum Training verwendet?
Das hängt von Version und Einstellungen ab. Ohne aktive Konfiguration oder geeignete Vertragsstufe können Eingaben zur Modellverbesserung genutzt werden. Bei vertraulichen Kundendaten sollte die Trainingsnutzung vertraglich und technisch ausgeschlossen sein.

Warum erfindet ChatGPT manchmal Antworten?
Weil ein offenes Sprachmodell Antworten aus Wahrscheinlichkeiten erzeugt und nicht an Ihre geprüften Quellen gebunden ist. Eine hybride Architektur, die Fakten aus freigegebenen Quellen bezieht, reduziert dieses Risiko deutlich.

Was ist die DSGVO-konforme Alternative zu ChatGPT im Service?
Eine in der EU gehostete, quellengebundene Conversational-AI-Plattform, die generative KI nur zur Formulierung nutzt, keine Kundendaten zum Training verwendet und Nutzer transparent über den KI-Einsatz informiert.

Fazit

Generative KI ist im Kundenservice längst angekommen. Entscheidend ist, dass sie kontrolliert geschieht. Plausibel klingende Antworten brauchen eine Bindung an geprüfte Quellen, und ein praktisches Tool braucht eine rechtliche Grundlage. Wer Datenstandort, Auftragsverarbeitung, Trainingsnutzung und Quellenbindung klärt, ersetzt Schatten-IT durch eine belastbare Lösung.

Sie möchten generative KI rechtssicher in Ihren Kundenservice bringen? Sprechen Sie mit uns oder laden Sie das EU-AI-Act-Sicherheitspaper herunter.

Über den Autor: Dr. Maximilian Panzner ist CTO und Mitbegründer von Mercury.ai. Er hat am CITEC-Institut der Universität Bielefeld in Informatik promoviert und dort zu multimodalem maschinellem Lernen und intelligenten Interaktionssystemen geforscht. Seit über 20 Jahren arbeitet er an Künstlicher Intelligenz, Mensch-Maschine-Interaktion und dialogorientierten KI-Plattformen für den Unternehmenseinsatz.