ChatGPT sicher nutzen: Guide für mehr Sicherheit bei Codex und CustomGPTs

Man kann durchaus festhalten, dass der KI-Hype mit der Veröffentlichung vonOpenAIs ChatGPT Ende 2022 erst so richtig in Bewegung gekommen ist. Für viele Menschen war der kleine, der Google-Suche ähnliche Eingabe-Schlitz erste Berührungspunkt mit generativer KI und hat sich in privaten Haushalten bis hin zu Unternehmen entsprechend schnell verbreitet. Zunächst haben Mitarbeiter ihre privaten ChatGPT Accounts im Unternehmen genutzt, um einfache und lästige Aufgaben, wie z.B. die Korrektur von Texten, Verträgen oder anderen Schriftstücken zu überprüfen, zunehmend aber auch für deutlich komplexere Aufgaben. Wie man ChatGPT sicher nutzen kann, war hier selten ein Thema.

Geschäftsführung und IT hatten von dieser unbefugten ChatGPT-Nutzung im Unternehmen schließlich nur selten Kenntnis, was zum „Wildwuchs“ der KI-Tools und damit zum Entstehen ganzer „Shadow-AI“ Landschaft in kleinen wie großen Unternehmen kräftig beigetragen hat.  Während es zunächst nur darum ging, dass Arbeitsinhalte wie Kundendaten, Produktinformationen oder betriebliche Interna in privaten ChatGPT-Accounts landeten, wurde mit zunehmender Integration weitere Tools wie OpenAI Codex auch die Frage nach Sicherheit und Governance rund um ChatGPT lauter. Wie Unternehmen und Mitarbeiter ChatGPT sicher nutzen können, ist Kernthema dieser Guideline, die sich auch mit weiteren Fragen beschäftigt:

Wie sicher ist ChatGPT und Codex? Welche OpenAI Pläne müssen KMU nutzen? Welche Sicherheitsrisiken müssen berücksichtigt werden? Welche Verträge liegen der Nutzung zu Grunde?

Bleiben diese Fragen ungeklärt, drohen DSGVO-Verstöße, der ungewollte Abfluss von Betriebsgeheimnissen und Pflichtverletzungen nach dem EU AI Act. Diese Guideline sortiert die Nutzungsvarianten, arbeitet die datenschutzrechtlichen Unterschiede der OpenAI-Pläne heraus und schließt mit einer praxistauglichen Sicherheits-Checkliste – samt eigenem Abschnitt zum besonders heiklen Codex, dem agentischen Coding-Werkzeug von OpenAI.

Sicherheit von ChatGPT ist Chefsache

Die Verantwortung für die „compliant“ und sichere KI-Nutzung  sitzt im Regelfall weit oben: In der Geschäftsleitung bzw. im Management.  Dabei wirken drei Pflichtenkreise parallel, wenn man als Unternehmen ChatGPT sicher nutzen möchte:

• Datenschutz (DSGVO): In dem Moment, in dem personenbezogene Daten (etwa Namen, Adressen oder Kundendaten) in einen Prompt wandern, wird OpenAI zum Auftragsverarbeiter. Dafür braucht es einen Auftragsverarbeitungsvertrag (AVV/DPA) gemäß Art. 28 DSGVO – der bei privaten Consumer-Konten schlicht nicht existiert. Gibt ein Mitarbeiter Kundendaten in sein persönliches ChatGPT-Konto ein, ist damit das erste knackige Problem geboren.
• EU AI Act: Art. 4 der KI-Verordnung verlangt seit d. Februar 2025, dass Unternehmen für ausreichende KI-Kompetenz (AI Literacy) ihrer Belegschaft sorgen. Wer ChatGPT im Betrieb einsetzt, kommt an einer Schulung (Inhouse, Online oder auch außer Haus) nicht vorbei. Falls das bislang liegengeblieben ist: Unsere KI-Kompetenzschulung deckt genau diese Pflicht ab.
• Geschäftsgeheimnisschutz & Haftung: Ungesteuerte Tool-Nutzung – auf Deutsch Schatten-KI bzw. „Shadow AI“ – kann interne Betriebsgeheimnisse oder sogar Kundendaten in fremde Trainingsdaten spülen und die Sorgfaltspflichten der Geschäftsführung verletzen. Die wenigsten Arbeitsverträge sind auf ein solches Szenario überhaupt vorbereitet oder ausgelegt.

Die Nutzung von ChatGPT hat also zwei Perspektiven: Im Enterprise-Vertrag mit Zero Data Retention kann es ein compliancetaugliches Werkzeug sein, während es im privaten Plus-Konto eines Mitarbeiters ein meldepflichtiger Datenschutzvorfall sein könnte. Schauen wir uns die Nutzungsvarianten daher zuerst im Detail an.

Verfügbare Pläne für Privatpersonen und Unternehmen (Quelle: https://chatgpt.com/de-DE/pricing/)

Die Nutzungsvarianten von ChatGPT im Überblick

Für die Sicherheitsbewertung von ChatGPT kommt es auf drei Dimensionen an:

• Datenfluss: Was verlässt überhaupt das Unternehmen?
• Systemzugriff: kann das Tool lokale Dateien lesen oder Befehle ausführen?
• Vertrag: Consumer oder Business/Enterprise Terms?

Die folgende Tabelle stellt Nutzungsvariante, typische Anwendung und Sicherheitsrisiko kompakt gegenüber:

Ein häufiges Missverständnis hält sich hartnäckig: Die ChatGPT-App gilt als unbedenklich, Codex pauschal als gefährlich.

Datenschutzrechtlich führt diese Sichtweise in die Irre – denn ausschlaggebend ist nicht die Oberfläche, sondern der Vertrag und der rechtliche Rahmen dahinter. Ein privates Plus-Konto in der Web-App kann problematischer sein als ein API-Zugang unter Business-Terms, obwohl die API technisch weit mehr kann. Codex bringt durch seine tiefe Systemintegration zwar tatsächlich ein technisches Risiko mit – dieses lässt sich mit einem durchdachten Setup aber sehr gezielt eingrenzen, wie der eigene Abschnitt weiter unten zeigt.

Datenschutz & DSGVO: der entscheidende Unterschied zwischen den Plänen

OpenAI zieht eine klare Trennlinie zwischen zwei Vertragswelten – den Angeboten für Einzelpersonen (Consumer) und denen für Unternehmen (Business/Enterprise). An genau dieser Linie entscheidet sich, ob der Einsatz compliancetauglich ist oder nicht.

Enterprise Pläne von ChatGPT für Unternehmen bieten mehr vertragliche Sicherheit und Datenschutz

Einzelperson bzw. Consumer-Konten (Free, Plus, Pro)

Diese Pläne fallen unter die Consumer Terms – und dort ist die Voreinstellung eindeutig: Chats fließen standardmäßig in die Modellverbesserung, solange der Nutzer nicht aktiv widerspricht. Was das konkret bedeutet:

• Opt-out ist Pflicht, nicht Voreinstellung: Unter Einstellungen → Datensteuerung (Data Controls) → „Das Modell für alle verbessern“ muss der Schalter manuell auf Aus gestellt werden. Alternativ über das Privacy-Portal von OpenAI („Do not train on my content“).
• Aufbewahrung & Temporary Chat: Wer das Training deaktiviert, dessen neue Chats fließen nicht mehr ins Training. Der Temporary Chat erscheint nicht im Verlauf und wird nach 30 Tagen gelöscht – außer es bestehen Sicherheits- oder Rechtsgründe.
• Kein AVV: Für Consumer-Konten gibt es keinen Auftragsverarbeitungsvertrag. Damit fehlt die rechtliche Grundlage für die Verarbeitung personenbezogener Daten im Unternehmenskontext, die nach Art. 28 DSGVO notwendig ist.
• Wichtige Einschränkung: Das Opt-out wirkt nur in die Zukunft. Bereits für das Training verwendete Inhalte lassen sich nicht zurückholen. Zudem: Aufgrund eines laufenden Rechtsstreits (u.a. mit der New York Times) ist OpenAI derzeit gerichtlich verpflichtet, bestimmte Chat-Logs länger als üblich aufzubewahren – auch bei aktiviertem Opt-out oder gelöschten Chats. Ein Punkt, der für datensensible Unternehmen relevant ist (Stand Juni 2026).

Vorsicht bei der Team- bzw. Business-Umbenennung: OpenAI hat ChatGPT Team am 29. August 2025 in ChatGPT Business umbenannt. Business und Enterprise laufen unter Commercial Terms (kein Training standardmäßig). Im Zweifel den konkreten Vertragsstatus prüfen. Gerne beraten wir Sie bei der Auswahl des richtigen Plans.

Wer ChatGPT sicher nutzen will, muss die Modellverbesserung deaktivieren (Screenshot: ChatGPT)

Business-/Enterprise-Konten (ChatGPT Business, Enterprise, Edu, API)

Hier greifen geschäftliche Vertragsbedingungen – und die verschieben die Ausgangslage für Unternehmen grundlegend zum Positiven:

• Kein Training auf Ihren Daten: Inputs und Outputs von ChatGPT Business, Enterprise, Edu und der API werden standardmäßig nicht zur Modellverbesserung verwendet – ohne dass Sie etwas umstellen müssen. Nur ein ausdrückliches Opt-in ändert das.
• AVV/DPA verfügbar: OpenAI schließt für ChatGPT Business, Enterprise und die API einen Data Processing Addendum (DPA/AVV) ab und nutzt EU-Standardvertragsklauseln (SCC). Die aktualisierte DPA (Stand Jan. 2026) enthält zusätzliche Audit-Rechte.
• Zero Data Retention & konfigurierbare Aufbewahrung: Qualifizierende Organisationen können die Aufbewahrungsdauer konfigurieren und auf der API-Plattform eine Zero-Data-Retention-Regelung wählen. Der Goldstandard für sensible Branchen oder hoch brisante Unternehmensinformationen (Banken, Versicherungen, Medizintechnik, Gesundheitswesen, Rüstungsindustrie).
• Datenresidenz: Für berechtigte Enterprise-, Edu-, Healthcare- und API-Kunden lässt sich Content at rest (gespeicherte, ungenutzte Daten) in mehreren Regionen speichern (u.a. Europa, UK, USA); teils ist auch In-Region-Inferenz in Europa oder den USA möglich – relevant für Datensouveränität.
• Branchenspezifika: Für das Gesundheitswesen ist ChatGPT for Healthcare mit entsprechenden Vereinbarungen verfügbar. Standard-Consumer-ChatGPT ist nicht für sensible Gesundheitsdaten geeignet und erfordert gesonderte Vereinbarungen.

Codex sicher einsetzen: Ein Sonderfall mit eigenem Risiko

Codex ist als Agent ein Sonderfall für die Sicherheit von ChatGPT (Screenshot: ChatGPT Codex)

Codex gehört in einen eigenen Abschnitt, weil es mit der klassischen Chat-App kaum noch etwas gemein hat. Wir reden hier nicht über einen abgeschotteten Chatbot, sondern über einen Agenten mit echter Handlungsvollmacht, der direkt im Betriebssystem des Nutzers arbeitet: Er liest Quellcode, verändert Dateien, setzt Shell-Befehle ab und greift über das Model Context Protocol (MCP) sowie Connectors auf externe Werkzeuge zu – und das mit exakt den Rechten dessen, der ihn gestartet hat.

Daraus ergibt sich eine Angriffsfläche, die ein herkömmliches IDE-Plugin nie hatte. Immerhin: Codex trennt sauber zwischen Sandbox (was technisch überhaupt geht) und Approval Policy (wann nachgefragt wird), läuft lokal in der Grundeinstellung ohne Netzzugang und darf nur im aktuellen Arbeitsverzeichnis schreiben. Kritisch wird es dennoch, sobald jemand die Rechteverwaltung nicht sauber beherrscht oder den Full-Access-Modus außerhalb einer gekapselten Umgebung anwirft.

Die zentralen Risiken von Codex

• Dateizugriff: Sobald die Sandbox aufgeweicht wird, kann Codex an sensible Dateien gelangen – Umgebungsvariablen (.env), SSH-Schlüssel, hinterlegte Zugangsdaten. Immerhin bleiben .git-Pfade in der Standardkonfiguration schreibgeschützt. Änderungen sind hier aber möglich und eröffnen Sicherheitsrisiken.
• Befehlsausführung: Bash-Befehle laufen im Kontext der Entwickler-Shell – ein einziger fehlgeleiteter Befehl reicht, um Daten zu überschreiben oder zu löschen. Die Sandbox fängt das ab, aber eben nur, solange sie aktiv bleibt.
• Prompt Injection: Versteckte Anweisungen in Dateien, READMEs oder Paket-Metadaten können den Agenten kapern. Nicht ohne Grund zieht Codex Web-Suchergebnisse standardmäßig aus einem Cache statt live und behandelt sie als nicht vertrauenswürdig. Gerade öffentliche MCP-Packages, Libraries und sonstige Open-Source-Komponenten sind ein potenzielles Einfallstor für Schadcode.

Berechtigungsmodus: vom Vorsichtigen zum Riskanten

Codex verzahnt zwei Regler – den Sandbox-Modus und die Approval Policy. In der Grundeinstellung fragt es vor riskanten Aktionen nach. Diese Stufen sind entscheidend:

• Read-only (/permissions): Codex analysiert und schlägt vor, ohne etwas zu ändern. Der Plan-first-Ansatz (/plan) läuft hier. Die sicherste Methode, aber zeitintensiv und mit manueller Prüfung.
• Auto / workspace-write (–full-auto): Codex liest, editiert und führt Befehle im Arbeitsverzeichnis automatisch aus, fragt aber bei Aktionen außerhalb des Workspace oder bei Netzwerkzugriff nach. Guter Kompromiss für den Alltag – Netzwerk bleibt hier standardmäßig aus.
• Auto-Review: Ein Prüf-Subagent bewertet grenzüberschreitende Anfragen und genehmigt risikoarme Aktionen automatisch, statt den Nutzer bei jedem Schritt zu unterbrechen – die sicherere Mittellösung für längere autonome Läufe.
• –yolo / danger-full-access: Hebt Sandbox und Approvals komplett auf. Der Name ist eine bewusste Warnung und sollte niemals auf der lokalen Maschine ausgeführt werden! Nur in einer isolierten Sandbox / einem gehärteten Code-Runner oder isolierten Container.

Codex-Berechtigungen im Überblick:

Lokal vs. Container/VM: die Entscheidungslogik

An diesem Punkt fällt für technische Teams die wichtigste Sicherheitsentscheidung:

Faustregeln aus der Cybersecurity:

• Die Sandbox ist die Wand, die Approvals sind das Schloss an der Tür.
• Erst durch Isolation (Container/VM) lässt sich volle Autonomie verantworten – weil ein etwaiger Schaden auf den Container beschränkt bleibt.
• Praktische Maßnahmen: nur das eine Projektverzeichnis als Writable Root zulassen und das Netzwerk im workspace-write-Modus deaktiviert lassen bzw. den Egress auf eine Allowlist begrenzen.
• Secrets erst gar nicht in den Container geben, sondern parametrisiert einsteuern – in Codex Cloud werden sie ohnehin vor der Agent-Phase entfernt.

Enterprise-Kontrollen, die nicht umgangen werden können

Einzelne Approval-Abfragen ersetzen keine verbindliche Unternehmensvorgabe – sie hängen am Wohlverhalten des Einzelnen. Wer verlässliche Leitplanken will, setzt auf Managed Configuration (per requirements.toml, MDM oder cloud-managed), die sich nicht durch Projekt-Dateien aushebeln lässt.

Für einen sicheren Codex-Einsatz sollten insbesondere diese Punkte stehen:

• Least-Privilege-Permission-Profiles,
• Sperre von approval_policy = „never“ und danger-full-access außerhalb isolierter Umgebungen,
• Regeln (Rules) für erlaubte bzw. verbotene Befehls-Präfixe,
• genehmigte MCP-Server und Connectors,
• Agent-native Logs (Telemetrie) für Sichtbarkeit über alle Tool-Aufrufe.

Damit lässt sich Codex als effizientes, agentisches Tool in der KI-Entwicklung schon sehr sicher einsetzen.

ChatGPT sicher nutzen: Governance-Rahmen für Unternehmen

Mit technischen Einstellungen allein ist es nicht getan. Wer ChatGPT sicher nutzen will, braucht einen organisatorischen Rahmen mit konkreten Leitplanken – und der ist zugleich Pflicht nach dem AI Act:

• KI-Richtlinie (Policy): Schwarz auf weiß festhalten, welche Varianten und Pläne erlaubt sind, welche Daten in einen Prompt dürfen und wer die Freigabe erteilt.
• Freigabe- und Beschaffungsprozess: Dienstliches läuft nicht über private Konten. Wer Business-/Enterprise-/API-Zugänge zentral bereitstellt, nimmt Shadow AI den Nährboden.
• KI-Inventar: Aufnehmen, welche KI-Systeme tatsächlich im Einsatz sind – auch die stillen Zuwächse wie Custom GPTs und Connectors. Dieses Inventar ist zugleich die Basis für die Risikoklassifizierung nach AI Act.
• Mitarbeiterschulung (Art. 4 EU AI Act): Seit Februar 2025 Pflicht. Die Belegschaft muss verstehen, wie KI funktioniert, Halluzinationen erkennen und die internen Spielregeln kennen.
• Audit & Review: Turnusmäßig prüfen, ob Einstellungen (Training-Opt-out, Plan-Status, Konten, Connectors) noch stimmen – und alte Konversationen bereinigen.

Zu viel für den ohnehin vollen Schreibtisch? Verständlich, genau deshalb begleiten wir Unternehmen im Rahmen der KI-Governance Beratung bei allen relevanten Fragen rund um die Vorbereitung auf den EU AI Act. Buchen Sie einfach ein Erstgespräch, und wir setzen diese Leitplanken gemeinsam in Ihrem Unternehmen um.

Sicherheits-Checkliste: ChatGPT im Unternehmen

Die wichtigsten Key-Takeaways für den sicheren ChatGPT-Einsatz zum Mitnehmen, teilen und überprüfen:

• Nur Business-/Enterprise-Verträge oder die API für dienstliche Nutzung – keine privaten Plus-Konten (!!!)
• AVV/DPA mit OpenAI abgeschlossen
• Bei hohem Schutzbedarf: Zero Data Retention (API) bzw. konfigurierte Aufbewahrung aktiviert
• Auf verbliebenen Consumer-Konten: Training-Opt-out geprüft und dokumentiert (inkl. Feedback-Regel)
• KI-Richtlinie verabschiedet und kommuniziert
• KI-Inventar erstellt, Shadow-AI-Konten, Custom GPTs und Connectors identifiziert
• Art.-4-Schulung durchgeführt und dokumentiert
• Codex nur mit aktiver Sandbox / im Container/VM mit Secret-Sperren und Egress-Kontrolle betrieben
• Full-Access-Modus (–yolo) außerhalb der Sandbox gesperrt
• Audit-Logging und regelmäßige Reviews etabliert

Die Checkliste gibt es natürlich auch noch als PDF-Version zum Download und Ausdrucken für die Lobby:

• ChatGPT sicher nutzen: Checkliste (PDF, 1 Seite)

Wie Elsen GRC Sie unterstützt

Sicherer ChatGPT-Einsatz trifft genau den Schnittpunkt aus Datenschutz, KI-Governance und AI-Act-Compliance – das Feld, in dem Elsen GRC zu Hause ist:

• KI-Kompetenzschulung nach Art. 4 EU AI Act: Erfüllt die gesetzliche Schulungspflicht – inklusive Mitarbeiter-Zertifikat, Schulungsregister und KI-Richtlinien-Entwurf.
• AI Act Readiness Scan: KI-Inventar, Risikoklassifizierung und Roadmap mit Blick auf die AI Act Fristen bis August 2026.
• KI-Governance-Beratung: Vollständiges Governance-Framework mit Policies, Rollen und Freigabeprozessen für den kontrollierten KI-Einsatz.

So wird aus einem bislang ungesteuerten Tool ein kontrollierter, prüffester Baustein Ihrer GRC-Struktur und eine effiziente und sichere KI-Nutzung im Tagesgeschäft.

Ein paar weitere Fragen zur ChatGPT-Sicherheit im Überblick (FAQ)

Ist ChatGPT DSGVO-konform nutzbar?

Ja – allerdings nur unter Business-/Enterprise-Terms oder über die API, jeweils mit abgeschlossenem DPA/AVV. Private Consumer-Konten (Free, Plus, Pro) bieten keinen AVV und speisen Daten standardmäßig ins Training, solange niemand aktiv widerspricht.

Werden meine Chats zum Training von ChatGPT verwendet?

In Consumer-Konten per Voreinstellung ja, bis man aktiv widerspricht. In Business-, Enterprise- und API-Konten grundsätzlich nicht. Aufpassen bei Feedback: Eine Daumen-Bewertung kann die betroffene Konversation trotz Opt-out ins Training holen.

Reicht der Business-Plan für Unternehmen?

ChatGPT Business (früher Team) läuft bereits geschäftlich – mit DPA-Option und ohne Training. Für die weitreichendsten Kontrollen wie Datenresidenz oder erweiterte Admin-Funktionen führt der Weg zu Enterprise oder zur API.

Warum ist Codex riskanter und nicht so sicher wie die App?

Weil Codex mit den Rechten des Nutzers auf das Dateisystem zugreift und Befehle ausführt. Deshalb gehört es mit aktiver Sandbox, in einen Container oder eine VM – und nicht in den Full-Access-Modus auf dem lokalen Rechner.

Was ist Zero Data Retention?

Eine Option für qualifizierende Kunden auf der API-Plattform, bei der Daten über die unmittelbare Verarbeitung hinaus nicht gespeichert werden – der höchste Datenschutzstandard, ganz ohne eigene Infrastruktur.

Verwandte Themen

• Claude sicher nutzen: Guideline für Unternehmen
• EU AI Act: Definition, Bedeutung & Pflichten
• KI-Governance: Definition, Bedeutung & GRC-Relevanz
• Shadow AI: Definition, Risiken & Maßnahmen

Quellen

• OpenAI: Enterprise Privacy
• OpenAI Help Center: Data Controls FAQ
• OpenAI: Business data privacy, security & compliance
• OpenAI Developers: Codex Agent approvals & security