Datenschutz bei KI-Einsatz?

Ja, die DSGVO gilt für jede Verarbeitung personenbezogener Daten, unabhängig von der verwendeten Technologie. Sobald eine KI mit Daten von Kunden, Mitarbeitern oder Lieferanten in Kontakt kommt, die eine Person identifizierbar machen, greifen die Prinzipien der Verordnung.

Das bedeutet, Sie müssen sich an die bekannten Grundsätze halten. Die Verarbeitung benötigt eine klare Rechtsgrundlage und muss einem festgelegten Zweck dienen (Zweckbindung). Sie dürfen nur die absolut notwendigen Daten verarbeiten (Datenminimierung) und müssen über die Verarbeitung transparent informieren.

Die größte Weiche für den Datenschutz stellen Sie bei der Wahl des KI-Systems. Die entscheidende Frage ist: Wo werden Ihre Daten verarbeitet?

Bei externen KI-Diensten, wie den bekannten Modellen großer US-Anbieter, senden Sie Ihre Daten zur Verarbeitung über das Internet an fremde Server. Das bedeutet einen Kontrollverlust. Für personenbezogene Daten ist dies nur mit einem sorgfältig geprüften Auftragsverarbeitungsvertrag (AVV) und unter Beachtung von Datentransfers in Drittländer wie die USA zulässig. Bei sensiblen Unternehmensdaten ist dieser Weg oft ausgeschlossen.

Ein KI-Mitarbeiter, der auf Ihren eigenen Servern oder in einer für Sie reservierten, abgeschotteten Cloud-Umgebung innerhalb der EU läuft, ist aus Datenschutzsicht oft die vorzuziehende Lösung. Die Daten verlassen Ihr Haus nicht. Sie behalten die volle Kontrolle und Souveränität, genau wie bei einem menschlichen Mitarbeiter, der an einem Rechner in Ihrem Büro arbeitet.

Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist vorgeschrieben, wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet. Das ist bei den meisten externen KI-Tools der Fall. Sie als Auftraggeber bleiben der Verantwortliche, der Dienstleister wird zum Auftragsverarbeiter.

Der Vertrag legt die Spielregeln fest. Er muss schriftlich oder elektronisch geschlossen werden und bindet den Dienstleister an Ihre Weisungen. Ein Standardformular des Anbieters anzuklicken, reicht oft nicht aus. Der Vertrag muss die spezifische Verarbeitungstätigkeit genau beschreiben und strenge Vorgaben enthalten.

Sie müssen Ihre Kunden und Mitarbeiter darüber informieren, wenn deren Daten durch eine KI verarbeitet werden. Diese Information gehört in Ihre Datenschutzerklärung. Die Erklärung muss verständlich und präzise sein – eine allgemeine Floskel wie „Wir setzen KI ein“ genügt nicht.

Darüber hinaus müssen Sie sicherstellen, dass die Rechte der Betroffenen gewahrt bleiben. Dazu gehören das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch. Ihr KI-System und die damit verbundenen Prozesse müssen so gestaltet sein, dass Sie diesen Anfragen nachkommen können. Beispielsweise muss es technisch möglich sein, alle Daten einer Person auf Anfrage gezielt und vollständig zu löschen.

Eine Datenschutz-Folgenabschätzung (DSFA) ist immer dann vorgeschrieben, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 DSGVO). Der Einsatz von KI, insbesondere bei der Verarbeitung großer Mengen an Daten oder bei sensiblen Informationen, erfüllt diese Bedingung häufig.

Auch wenn eine DSFA nicht gesetzlich zwingend erscheint, ist sie ein wertvolles Werkzeug. Sie zwingt Sie, vor Projektbeginn systematisch über Risiken nachzudenken und Maßnahmen zu deren Minderung zu planen. Eine gut dokumentierte DSFA ist ein wichtiger Nachweis Ihrer Sorgfaltspflicht gegenüber den Aufsichtsbehörden.