Wie nutzt man KI im Unternehmen daten­schutz­kon­form?

KI und Datenschutz im Unternehmen: Worum es rechtlich geht

Die Datenschutz-Grundverordnung (DSGVO) gilt immer dann, wenn mit KI personenbezogene Daten verarbeitet werden – also Informationen, die sich auf eine Person beziehen lassen. Das betrifft nicht nur Kundendatenbanken, sondern auch Prompts mit Namen, hochgeladene E-Mails, Verträge, Gesprächsnotizen oder Bewerbungsunterlagen. Für jede dieser Verarbeitungen braucht es eine Rechtsgrundlage nach Art. 6 DSGVO.

Daneben gelten die Grundsätze der DSGVO: Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Sicherheit der Verarbeitung. Für KI heißt das zum Beispiel, nur die Daten einzugeben, die für die Aufgabe nötig sind, und Ergebnisse über Personen auf Richtigkeit zu prüfen. Die deutschen Datenschutzaufsichtsbehörden haben dazu in der Datenschutzkonferenz (DSK) eine Orientierungshilfe zu KI veröffentlicht.

ChatGPT für Unternehmen und DSGVO: den Anbieter richtig prüfen

Wer ChatGPT oder andere KI-Assistenten im Unternehmen einsetzt, macht den Anbieter in der Regel zum Auftragsverarbeiter. Dann ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig, den viele Anbieter für ihre Business- und Enterprise-Tarife bereitstellen. Bei kostenlosen oder privaten Zugängen fehlt er häufig – einer der wichtigsten Gründe, auf zentral verwaltete, geschäftliche Zugänge umzustellen.

Prüfen Sie außerdem, ob Ihre Eingaben für das Training der Modelle genutzt werden, wie lange Daten gespeichert werden und wo die Verarbeitung stattfindet. Bei Anbietern mit Sitz in den USA ist die Übermittlung abzusichern, etwa über eine Zertifizierung nach dem EU-US Data Privacy Framework oder über Standardvertragsklauseln. Einige Anbieter bieten inzwischen auch eine Datenspeicherung in Europa an.

Typische Datenschutz-Probleme beim KI-Einsatz

Die meisten Datenschutzprobleme mit KI entstehen im Alltag, nicht im Rechenzentrum. Mitarbeitende kopieren eine Kundenbeschwerde samt Namen in ein öffentliches Chat-Tool, laden eine Personalliste zur Auswertung hoch oder installieren eine Browser-Erweiterung, die Inhalte mitliest. Ohne Regeln und geschäftliche Zugänge erfährt das Unternehmen davon oft erst, wenn bereits etwas schiefgegangen ist.

Besonders heikel sind automatisierte Entscheidungen mit erheblicher Wirkung auf Personen, etwa bei Bewerbungen oder Kreditentscheidungen: Hier setzt Art. 22 DSGVO enge Grenzen. Auch erfundene Aussagen sind ein Datenschutzthema, wenn eine KI falsche Angaben über reale Personen erzeugt, denn die DSGVO verlangt, dass verarbeitete Daten sachlich richtig sind und bei Bedarf berichtigt werden.

• Private Accounts ohne Auftragsverarbeitungsvertrag
• Personenbezogene oder vertrauliche Daten in Prompts
• Nutzung der Eingaben für das Modelltraining
• Fehlende Information der betroffenen Personen
• Falsche KI-Aussagen über reale Personen
• Automatisierte Entscheidungen ohne menschliche Prüfung

Technische Maßnahmen: So wird KI daten­schutz­freund­lich

Viele Risiken lassen sich technisch entschärfen. Werden Namen, Adressen oder Kundennummern vor der Übergabe an ein Sprachmodell automatisch entfernt oder ersetzt, sinkt das Risiko erheblich – diese Pseudonymisierung ist oft ohne Qualitätsverlust möglich. Bei eigenen Integrationen per Schnittstelle steuern wir genau, welche Daten an das Modell gehen, wie lange Protokolle gespeichert werden und wer darauf Zugriff hat.

Für besonders sensible Daten kommen KI-Modelle in Frage, die in einer europäischen Cloud oder auf eigener Infrastruktur laufen. Bei Wissensdatenbanken mit Retrieval-Augmented Generation (RAG) sorgen Berechtigungen dafür, dass die KI jeder Person nur Inhalte zeigt, die sie auch sonst sehen darf. Diese Maßnahmen setzen wir bei Nano Concepts in der KI-Integration um, abgestimmt mit Ihrem Datenschutz.

Organisatori­sche Maßnahmen: Richtlinie, Verzeichnis, Schulung

Technik allein reicht nicht. Eine KI-Richtlinie legt fest, welche Tools erlaubt sind und welche Daten in welche Tools dürfen. Jede KI-Verarbeitung personenbezogener Daten gehört ins Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO. Die Datenschutzerklärung muss angepasst werden, wenn Kunden oder Website-Besucher betroffen sind – etwa bei einem Chatbot auf der Website oder bei KI-gestützter Auswertung von Anfragen.

Birgt eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene – etwa bei umfangreicher Auswertung von Beschäftigten- oder Gesundheitsdaten –, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen. Eine KI-Datenschutz-Schulung für alle Nutzer rundet die Maßnahmen ab: Sie erklärt anhand konkreter Beispiele aus Ihrem Alltag, was erlaubt ist, und macht die Richtlinie greifbar.

KI-Verordnung und weitere rechtliche Grundlagen in Deutschland

Neben der DSGVO gilt die EU-KI-Verordnung (AI Act). Sie verfolgt einen risikobasierten Ansatz: Bestimmte Praktiken sind verboten, für Hochrisiko-Systeme – etwa in der Personalauswahl oder Kreditprüfung – gelten strenge Anforderungen, und für Chatbots sowie KI-generierte Inhalte sind Transparenzpflichten vorgesehen. Für Unternehmen, die KI einsetzen, gilt zudem die Pflicht, für KI-Kompetenz der Beschäftigten zu sorgen.

In Deutschland kommen unter anderem das Bundesdatenschutzgesetz, das TDDDG für Cookies und Zugriffe auf Endgeräte, das Betriebsverfassungsgesetz sowie der Schutz von Geschäftsgeheimnissen hinzu. Zuständig für die Datenschutzaufsicht über Unternehmen sind die Behörden der Länder. Die Pflichten der KI-Verordnung greifen gestaffelt und können vom Gesetzgeber angepasst werden. Dieser Überblick ersetzt keine Rechtsberatung; prüfen Sie den aktuellen Stand mit Ihrer Beratung.