ChatGPT Work mit GPT-5.6 für Compliance-Teams prüfen

Stand: August 2026. Produktumfang, Verfügbarkeit und vertragliche Zusagen ändern sich bei Agenten-Angeboten schnell. Prüfe die Angaben deines Anbieters vor jeder Freigabe erneut gegen die Primärdokumentation.

ChatGPT Work ist ein von OpenAI beschriebenes Arbeits-Agentenangebot innerhalb von ChatGPT. Es soll nicht nur Antworten formulieren, sondern mehrstufige Aufgaben mit Zugriff auf verbundene Apps, Dateien und Unternehmensinhalte ausführen. Als Modellbasis nennt OpenAI GPT-5.6 und ordnet die Arbeitsmodelle als Werkzeug für produktive Wissensarbeit ein, nicht als eigenständiges Compliance-Produkt. Für ein Compliance-Team verschiebt sich damit die Prüffrage: Nicht «wie gut schreibt das Modell», sondern «worauf greift es zu, in wessen Namen, mit welchen Rechten und wer sieht es hinterher».

Was unterscheidet einen Arbeits-Agenten von einem Chatbot?

Ein klassischer Chat verarbeitet, was ein Mensch aktiv hineinkopiert. Der Prüfumfang endet damit bei der Eingabe. Ein Agent mit Konnektoren dreht diese Logik: Er zieht sich Kontext selbst zusammen und kann Aktionen in angebundenen Systemen auslösen. Für die Risikobewertung musst du diese zwei Ebenen strikt trennen.

• Inhaltlicher Zugriff: Der Agent liest Dateien, Postfächer, Tickets oder Laufwerke. Das Risiko ist Datenabfluss und Zweckentfremdung, auch bei rein lesendem Zugriff.
• Aktionszugriff: Der Agent schreibt, versendet, ändert oder löscht in einem verbundenen System. Das Risiko ist eine Handlung, die du nachträglich nicht mehr zurückholen kannst.
• Identität: Ein Agent handelt in der Regel mit den Rechten der Person, die die Verbindung hergestellt hat. Wer breit berechtigt ist, macht den Agenten breit berechtigt.
• Aufsicht: OpenAI beschreibt für ChatGPT Work eine Compliance API, die Sichtbarkeit über Gespräche und Aktionen im Unternehmensmassstab herstellen soll. Sichtbarkeit ist die Voraussetzung für Kontrolle, aber nicht die Kontrolle selbst.

Diese Unterscheidung ist kein akademisches Detail. Ein Lesezugriff auf ein geteiltes Team-Laufwerk kann Personaldaten in einen Kontext holen, der dafür nie freigegeben war. Eine Schreibaktion im CRM kann eine Kundenkommunikation auslösen, für die niemand eine Freigabe erteilt hat. Beide Fälle sind Compliance-Vorfälle, obwohl das Modell technisch korrekt gearbeitet hat.

Welche Produktpfade musst du auseinanderhalten?

Der häufigste Fehler in der Bewertung ist die Vermischung von Produktpfaden. Governance, Administrierbarkeit und Datenverarbeitungsbedingungen unterscheiden sich zwischen ChatGPT Work, den ChatGPT-Angeboten für Team, Business und Enterprise sowie der API. Eine Zusage, die für einen Pfad gilt, gilt nicht automatisch für den anderen. Wer das vermischt, dokumentiert am Ende eine Verarbeitung, die faktisch anders läuft.

Prüfdimension	ChatGPT Work	ChatGPT Team, Business, Enterprise	API
Primärer Zweck	Agentische Arbeit auf verbundenen Quellen	Assistierte Arbeit im Workspace	Einbau in eigene Anwendungen
Datenzugang	Konnektoren zu Apps und Dateien, vom Anbieter vermittelt	Je Tarif und Konfiguration, im Detail zu prüfen	Du definierst, was gesendet wird
Aufsichtswerkzeug	Compliance-Schnittstelle für Gespräche und Aktionen	Admin- und Workspace-Kontrollen je Tarif	Eigenes Logging in deiner Infrastruktur
Vertragsrahmen	Pfadspezifisch prüfen	Pfadspezifisch prüfen	Pfadspezifisch prüfen

Praktisch heisst das: Bevor eine Freigabe erteilt wird, gehört in die Akte, welcher Pfad tatsächlich genutzt wird und auf welchen Vertrag sich die Nutzung stützt. Der Unterschied zwischen App-Nutzung und eigener Integration ist auch technisch relevant, weil die Kontrollpunkte in beiden Fällen an anderer Stelle liegen. Wir haben diese Trennung ausführlicher in unseren Beiträgen zu API gegen App aufgearbeitet.

Welche Datenzugriffe entscheiden über das Risiko?

Die härteste Arbeit ist unspektakulär: Datenklassifizierung vor Anbindung. Öffentliche Informationen, interne Arbeitsdaten, vertrauliche Unternehmensdaten, personenbezogene Daten und besonders schützenswerte Daten brauchen unterschiedliche Regeln. Eine pauschale Freigabe für «Arbeitsdaten» ist keine Regel, sondern ein Verzicht auf Kontrolle.

Die Berechtigungskette

1. Wer darf verbinden: Ist das Herstellen einer App-Verbindung eine Admin-Handlung oder darf jede Person ihr Postfach und ihr Laufwerk selbst anbinden?
2. Welche Scopes werden gewährt: Lesend oder schreibend, auf einzelne Ordner oder auf ganze Laufwerke, auf eigene Objekte oder auf geteilte Kollaborationsräume?
3. Wie lange gelten Tokens: Wann laufen Zugriffsrechte ab, wie werden sie erneuert, und wer entzieht sie beim Rollenwechsel oder Austritt?
4. Was passiert bei Vererbung: Geteilte Ordner ziehen fremde Inhalte mit. Ein Agent, der ein Teamlaufwerk liest, liest auch, was dort versehentlich liegt.

Prompt-Injection ist ein Zugriffsproblem

Sobald ein Agent externe oder nur teilweise vertrauenswürdige Dokumente verarbeitet, sind Anweisungen im Dokument selbst ein realer Angriffsvektor. Ein Lieferantenvertrag als PDF, eine eingehende Bewerbung, ein Ticket-Anhang von aussen: Alle drei können Instruktionen enthalten, die der Agent als Auftrag interpretiert. Die wirksamste Gegenmassnahme ist nicht besseres Prompting, sondern eine schmale Berechtigung plus menschliche Bestätigung für jede Aktion mit Aussenwirkung. Was der Agent nicht darf, kann ihm auch kein untergeschobener Text abnötigen.

Zwei Beispiele machen den Unterschied greifbar. Bei einer Vertragsprüfung führt der Agent Anhänge, interne Richtlinien und Vorlagen zusammen. Nützlich, aber das Compliance-Team muss kontrollieren, ob dabei personenbezogene Daten oder vertrauliche Klauseln in nicht freigegebene Kontexte wandern. Bei einer Kundenantwort aus E-Mail-, Ticket- und CRM-Daten liegt das Risiko doppelt: Lesezugriff über das Notwendige hinaus und eine ungewollte Schreibaktion im CRM. Beide Fälle brauchen dieselbe Antwort, nämlich eine definierte Datenauswahl und eine Freigabe vor dem Versand.

Was gilt für DSGVO und revDSG im DACH-Raum?

Für die rechtliche Einordnung ist unerheblich, ob ein System als KI vermarktet wird. Entscheidend ist, ob personenbezogene Daten verarbeitet werden, in welchem Produktpfad das geschieht und welche vertraglichen sowie organisatorischen Kontrollen dafür bestehen. Damit sind die Pflichten dieselben wie bei jedem anderen Dienstleister, nur mit einem breiteren Zugriffsradius.

Wichtig ist die Reihenfolge. Verarbeitungsverzeichnis, Berechtigungskonzept, Schulung und Freigabeprozess sind Organisationspflichten, nicht Produktfeatures. Kein Anbieter kann sie dir abnehmen, auch nicht mit einer Compliance-Schnittstelle. Wer den Agenten mit Kunden-, Mitarbeitenden- oder Bewerbungsdaten arbeiten lässt, muss ausserdem die Betroffenenrechte organisatorisch bedienen können, also Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung.

Was Sicherheitsverantwortliche konkret prüfen müssen

Der folgende Rahmen ist bewusst schlank gehalten. Er ist als Freigabe-Voraussetzung gedacht, nicht als Jahresprojekt. Jeder Punkt ist beantwortbar, bevor der erste produktive Konnektor gesetzt wird.

1. Produktpfad klären: ChatGPT Work, ein ChatGPT-Tarif für Team, Business oder Enterprise, oder die API? Das ist die Basis für alles Weitere.
2. Vertragliche Grundlage: Liegt ein gültiger Auftragsverarbeitungsvertrag vor, und deckt er genau den genutzten Pfad ab?
3. Datenklassen festlegen: Welche Inhalte sind erlaubt, welche verboten, welche nur mit Zusatzfreigabe?
4. Zugriffe härten: Rollenbasiert und minimal berechtigt, mit klaren Scopes, kurzen Token-Laufzeiten und einem Prozess für Entzug.
5. Aktionsgrenzen setzen: Welche Agentenaktionen brauchen zwingend eine menschliche Bestätigung, insbesondere Versand und Änderungen in Fremdsystemen?
6. Protokollierung prüfen: Sind Gespräche, Aktionen und Freigaben so nachvollziehbar, dass interne Kontrollen und eine Untersuchung damit arbeiten können?
7. Datenverwendung klären: Welche Zusagen macht der gewählte Pfad zur Nutzung von Eingaben und Inhalten für Training und Verbesserung?
8. Residenz und Aufbewahrung: Wo werden Inhalte, Metadaten und Anhänge verarbeitet, gespeichert und zur Fehleranalyse herangezogen, und wann werden sie gelöscht?
9. Exfiltration testen: Prompt-Injection, Datei-Abfluss und ungewollte Weitergabe bewusst gegen den Pilotaufbau spielen, nicht nur dokumentieren.
10. DSGVO und revDSG dokumentieren: Verzeichnis, gegebenenfalls Folgenabschätzung, Lösch- und Auskunftsprozesse, Schulung der Nutzenden.

Fazit

ChatGPT Work ist für Compliance-Teams weniger ein Modellthema als ein Zugriffsthema. Der Nutzen ist plausibel, weil sich mehrstufige Wissensarbeit tatsächlich über Dokumente, Tickets und Vorlagen hinweg beschleunigen lässt. Das Risiko sitzt aber nicht im Text, den der Agent produziert, sondern in der Kette aus Konnektor, Scope, Token und ausgelöster Aktion. Wer diese Kette nicht beschreiben kann, kann den Einsatz auch nicht freigeben.

Der pragmatische Weg ist ein eng geschnittener Pilot ohne personenbezogene Daten: eine Aufgabe, eine Datenquelle, nur lesender Zugriff, jede Aktion mit Aussenwirkung durch Menschen bestätigt, vollständige Protokollierung von Tag eins. Aus diesem Aufbau lernst du in zwei bis vier Wochen mehr über deine echten Berechtigungsprobleme als aus jedem Anbieterdokument. Erst danach lohnt die Diskussion über Ausweitung, Datenklassen mit Personenbezug und die Frage, ob eine eigene Integration über die API die Kontrollpunkte besser an dich holt. Wer sich zuerst in die Grundbegriffe einlesen will, findet den Einstieg in unseren KI-Grundlagen, weitere Praxis-Einordnungen zu Agenten unter Agenten und die typischen Budget-Fallen unter Kostenfallen.