Gemäß der Datenschutz-Grundverordnung (DSGVO) ist die Verarbeitung personenbezogener Daten unter anderem rechtmäßig, wenn die betroffenen Personen dazu ihre Einwilligung geben. Das setzt voraus, dass die Betroffenen sowohl über die Datenverarbeitung als auch ihre Auswirkungen transparent informiert werden. Für Datenschutz-Experte Bucki ist das keine praktikable Lösung. „Die meisten Betroffenen würden ihre Zustimmung verweigern. Zudem ist eine Einwilligung jederzeit widerrufbar.“ Eine Möglichkeit, ChatGPT die Nutzung personenbezogener Daten für eigene Zwecke zu untersagen (zum Beispiel das Training), ist der Abschluss eines sogenannten Auftragsverarbeitungs-Vertrags (AV-Vertrag). In einer solchen Vereinbarung werden der Gegenstand, die Art und der Zweck der Verarbeitung personenbezogener Daten festgelegt. Problem: Einen AV-Vertrag erhält ein Unternehmen nur dann, wenn es eine IT-Dienstleistung einkauft. OpenAI-Großaktionär Microsoft stellt ChatGPT unter dem Produktnamen Copilot jedoch nur unter Bedingung als Dienstleistung bereit, dass mindestens 300 Lizenzen abgenommen werden.

Damit scheidet diese Lösung für kleine und mittelgroße Betriebe aus. Mariusz Bucki beobachtet jedoch, dass immer mehr IT-Spezialisten an den Start gehen, die bei Microsoft größere Lizenzpakete einkaufen und diese dann einzeln an interessierte Unternehmen veräußern. Dies hält er für einen möglichen Weg auch für Betriebe mit nur wenigen Mitarbeitenden. Wichtig ist nach Ansicht von IT-Experten, dass diese Dienstleister personenbezogene Daten aus Texten filtern und durch Pseudonyme ersetzen. Das heißt zum Beispiel: Aus Martin Müller wird Mickey Mouse, bevor seine Daten an ChatGPT gesendet werden. Auf dem „Rückweg“ wird Mickey Mouse wieder zu Martin Müller. So ist die Vertraulichkeit der Daten gewährleistet, denn nur der Auftraggeber kennt die wahre Identität. Was Unternehmen darüber hinaus tun können, um ChatGPT auch in Verbindung mit sensiblen Daten zu nutzen, erklärt Bucki im Interview.