Datenschutz KI Mittelstand?

Um ein KI-Projekt datenschutzkonform aufzusetzen, müssen drei Bereiche von Anfang an betrachtet werden. Diese greifen ineinander und bilden das Fundament für einen sicheren Betrieb.

Vernachlässigen Sie einen dieser Bereiche, entsteht ein Risiko — nicht durch die KI, sondern durch eine unvollständige Vorbereitung.

Die DSGVO gibt klare Prinzipien für die Verarbeitung personenbezogener Daten vor. Diese gelten für eine Excel-Tabelle genauso wie für ein komplexes KI-System. Für Ihre Planung bedeutet das:

**Zweckbindung:** Ein KI-System darf personenbezogene Daten nur für den Zweck verarbeiten, für den sie ursprünglich erhoben wurden. Ein KI-Mitarbeiter, der Rechnungen prüft, darf die darin enthaltenen Adressdaten nicht für Marketingzwecke nutzen.

**Datenminimierung:** Es dürfen nur die Daten verarbeitet werden, die für die Erfüllung der Aufgabe zwingend notwendig sind. Ein KI-Mitarbeiter zur Dienstplanerstellung benötigt Namen und Qualifikationen, aber keine Informationen über den Familienstand oder die Religionszugehörigkeit.

**Transparenz:** Sie müssen in der Lage sein, Betroffenen (Kunden, Mitarbeitern) Auskunft darüber zu geben, welche ihrer Daten von einem KI-System zu welchem Zweck verarbeitet werden. Das erfordert eine saubere Dokumentation der Prozesse.

Eine der wichtigsten technischen Entscheidungen betrifft den Betriebsort Ihrer KI. Pauschal ist keine Lösung besser als die andere, es ist eine Abwägung zwischen Kontrolle, Kosten und Komfort.

Bei der Nutzung von Diensten großer US-Anbieter (wie OpenAI, Google oder Microsoft) ist Vorsicht geboten. Der Datentransfer in die USA unterliegt strengen Regeln und birgt trotz des „EU-US Data Privacy Framework“ nach Ansicht vieler Juristen weiterhin rechtliche Unsicherheiten (Stichwort: Schrems II). Für die Verarbeitung sensibler Kundendaten sind diese Standard-Dienste oft ungeeignet.

Der Begriff „Künstliche Intelligenz“ ist sehr breit. Ein entscheidender Unterschied für den Datenschutz liegt darin, ob man ein allgemeines Werkzeug oder ein spezialisiertes System einsetzt.

Ein KI-Mitarbeiter ist keine allwissende Universal-KI, sondern eine für einen konkreten Ablauf trainierte Software. Er erhält nur Zugriff auf die Systeme und Daten, die für seine Aufgabe — etwa die Prüfung von Lieferscheinen oder die Beantwortung von Statusanfragen — notwendig sind. Seine Handlungen sind auf diesen Zweck beschränkt und werden protokolliert.

Dieses Prinzip der „geringsten Rechte“ ist ein Kernanliegen der DSGVO. Im Gegensatz zu einem menschlichen Mitarbeiter, der theoretisch auch andere Daten einsehen könnte, hat ein sauber konfigurierter KI-Mitarbeiter keinen „Spielraum“. Das macht seine Tätigkeit besonders transparent und kontrollierbar.

Neben der DSGVO wird die kommende EU-KI-Verordnung (AI Act) den Einsatz von KI regeln. Die Verordnung verfolgt einen risikobasierten Ansatz und teilt KI-Systeme in verschiedene Klassen ein, von „minimalem“ bis „inakzeptablem“ Risiko.

Die gute Nachricht für den Mittelstand: Die meisten internen Prozessautomatisierungen, wie die Bearbeitung von Rechnungen, die Erstellung von Berichten oder die Verwaltung von Bestellungen, fallen voraussichtlich in die Kategorie mit minimalem oder geringem Risiko. Hier sind vor allem Transparenzpflichten zu erwarten — zum Beispiel der Hinweis, dass ein Prozess KI-gestützt ist.

Systeme mit hohem Risiko, etwa im Bereich der Personalauswahl oder Bonitätsprüfung, werden deutlich strengeren Anforderungen unterliegen. Für die typischen Effizienzprobleme im Mittelstand ist der AI Act jedoch kein Hindernis, sondern schafft einen klareren Rechtsrahmen.