DSGVO und KI: Was beim Einsatz zu beachten ist
Die Datenschutz-Grundverordnung gilt für KI genauso wie für jede andere Software. Sobald ein KI-System Namen, E-Mail-Adressen, Kundendaten oder Personaldaten verarbeitet, braucht es eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit dem Anbieter, eine Prüfung, ob Daten in ein Drittland gehen, und in vielen Fällen eine Datenschutz-Folgenabschätzung. Automatisierte Einzelentscheidungen mit rechtlicher Wirkung sind weitgehend untersagt.
Die DSGVO kennt kein eigenes Kapitel für Künstliche Intelligenz, und sie braucht auch keines. Ihre Regeln gelten für jede Verarbeitung personenbezogener Daten, egal ob durch ein ERP, eine Excel-Tabelle oder ein Sprachmodell. Was KI besonders macht, ist die Menge an Daten, die hineinfließt, und die Tatsache, dass viele Dienste außerhalb der EU betrieben werden. Fünf Fragen muss jedes KI-Projekt beantworten.
Die fünf Fragen
Erstens die Rechtsgrundlage: Warum dürfen Sie die Daten verarbeiten? Bei Kundenanfragen ist das meist die Vertragserfüllung oder das berechtigte Interesse, bei Personaldaten der Beschäftigungskontext. Zweitens der Anbieter: Verarbeitet ein externer Dienst die Daten, braucht es einen Auftragsverarbeitungsvertrag. Drittens der Ort: Gehen Daten in die USA oder ein anderes Drittland, braucht es eine zusätzliche Grundlage, etwa das Data Privacy Framework oder Standardvertragsklauseln. Viertens die Folgenabschätzung: Bei umfangreicher Verarbeitung oder sensiblen Daten verlangt die DSGVO eine dokumentierte Risikoprüfung. Fünftens die Entscheidung: Artikel 22 verbietet automatisierte Einzelentscheidungen mit rechtlicher Wirkung weitgehend, siehe auch die Risikoklassen des AI Act.
Ein Beispiel aus dem Alltag
Ein Vertriebsmitarbeiter kopiert eine Kundenanfrage mit Name, Telefonnummer und Projektdetails in einen kostenlosen Chatdienst, um eine Antwort formulieren zu lassen. Damit hat er personenbezogene Daten an einen Anbieter in den USA übermittelt, ohne Vertrag, ohne Rechtsgrundlage für die Übermittlung, und möglicherweise werden die Daten dort als Trainingsdaten verwendet. Das ist der typische Fall von Schatten-KI und der Grund, warum Unternehmen eine freigegebene Alternative brauchen.
Was das praktisch bedeutet
Datenschutzkonformer KI-Einsatz ist möglich und im Mittelstand längst Alltag. Der Weg führt über Geschäftskonten mit Vertrag statt privater Konten, über Anbieter mit Verarbeitung in der EU oder einen Betrieb auf eigenen Servern, über klare Regeln, welche Daten in welches System dürfen, und über die Einbindung des Datenschutzbeauftragten vor dem Start statt danach. Die Prüfung nach DSGVO und EU AI Act gehört zu jeder KI-Beratung.
Nächster Schritt
Welcher Prozess kostet Sie die meiste Zeit?
Erzählen Sie es in 30 Minuten. Sie bekommen eine ehrliche Einschätzung, ob KI dort hilft und was der erste Schritt wäre.