Datenschutz KI Unternehmen?

Die DSGVO ist technologieneutral. Sie regelt die „Verarbeitung personenbezogener Daten“, unabhängig davon, ob diese durch einen Menschen oder einen Algorithmus erfolgt. Jede Aktion, die eine KI mit Daten wie Namen, Adressen, E-Mail-Adressen oder auch nur IP-Adressen durchführt, ist eine solche Verarbeitung.

Das bedeutet, für jeden KI-Einsatz, der solche Daten berührt, benötigen Sie eine gültige Rechtsgrundlage. Das kann die Erfüllung eines Vertrags sein, eine gesetzliche Pflicht, eine Einwilligung der betroffenen Person oder ein berechtigtes Interesse Ihres Unternehmens, das gegen die Schutzinteressen der Person abgewogen wurde.

Ein häufiges Missverständnis entsteht durch die Vermischung zweier völlig unterschiedlicher Szenarien: dem Training eines Basis-KI-Modells und der Anwendung einer spezialisierten KI auf Ihre Unternehmensdaten.

Das Training großer, universeller Sprachmodelle (wie jene hinter ChatGPT) erfordert riesige Mengen an Daten, die oft aus dem Internet stammen und unweigerlich auch personenbezogene Informationen enthalten. Dies ist datenschutzrechtlich hochkomplex und für die meisten Unternehmen nicht relevant.

Ein KI-Mitarbeiter im Mittelstand wird anders eingesetzt: Er nutzt ein vortrainiertes Basismodell und wird auf einen eng begrenzten, spezifischen Anwendungsfall im Unternehmen spezialisiert. Er verarbeitet nur die Daten, die für diesen einen Prozess — zum Beispiel die Prüfung von Eingangsrechnungen — notwendig sind. Die Kontrolle über die Daten und den Prozess verbleibt vollständig beim Unternehmen.

Um einen KI-Mitarbeiter datenschutzkonform zu betreiben, orientiert man sich an denselben Prinzipien, die auch für jede andere Software gelten, die personenbezogene Daten verarbeitet. Die Umsetzung erfordert Sorgfalt und eine klare technische und organisatorische Konzeption.

In der Praxis bewähren sich folgende Maßnahmen:

Eine DSFA ist immer dann erforderlich, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die DSGVO nennt hierfür mehrere Kriterien, etwa die Verarbeitung besonders sensibler Daten (z.B. Gesundheitsdaten) in großem Umfang oder die systematische Überwachung.

Ob der Einsatz eines KI-Mitarbeiters eine DSFA erfordert, hängt vom Einzelfall ab. Ein KI-System, das lediglich Rechnungsdaten ausliest, stellt in der Regel kein hohes Risiko dar. Eine KI, die Bewerbungsunterlagen analysiert und vorsortiert, bewegt sich bereits in einem kritischeren Bereich.

Es ist ratsam, diese Frage frühzeitig mit dem internen oder externen Datenschutzbeauftragten zu klären. Eine kurze Vorabprüfung, ob eine DSFA notwendig ist, gehört zu jedem seriösen KI-Projekt.

Neben der DSGVO arbeitet die Europäische Union an einer spezifischen KI-Verordnung (AI Act). Dieses Gesetz verfolgt einen anderen Ansatz: Es regelt nicht primär den Schutz von Daten, sondern die Sicherheit und die grundrechtlichen Auswirkungen von KI-Systemen selbst.

Die KI-Verordnung teilt KI-Anwendungen in verschiedene Risikoklassen ein. Viele typische Anwendungen für KI-Mitarbeiter im Mittelstand — etwa die Automatisierung von Bestellprozessen, die Rechnungsprüfung oder die Datenaufbereitung für Berichte — fallen voraussichtlich in die Kategorie mit minimalem oder geringem Risiko.

Für Unternehmen bedeutet das: Die DSGVO ist heute die maßgebliche rechtliche Grundlage. Die KI-Verordnung wird in Zukunft zusätzliche, risikobasierte Anforderungen an die Anbieter und in manchen Fällen auch an die Anwender von KI-Systemen stellen. Beide Gesetze werden nebeneinander bestehen und sich ergänzen.