DSGVO konforme KI Lösungen für Unternehmen?

Frei zugängliche Webanwendungen für Text- und Bildgenerierung verarbeiten Nutzereingaben standardmäßig auf Servern außerhalb der Europäischen Union. Ohne gesonderte Enterprise-Vereinbarungen behalten sich die Anbieter häufig das Recht vor, eingegebene Daten zur Weiterentwicklung ihrer eigenen Sprachmodelle zu nutzen.

Sobald Mitarbeiter Namen, Telefonnummern, Vertragstexte oder Gesundheitsdaten in solche Masken einfügen, droht nach gängiger Rechtsauffassung ein Konflikt mit den Vorgaben der DSGVO. In der Regel fehlt es in solchen Konstellationen an einer tragfähigen Rechtsgrundlage oder der erforderlichen vertraglichen Absicherung für die Drittübermittlung.

Die Haftung für diese Verstöße trifft nicht den Softwarehersteller, sondern die Geschäftsführung des anwendenden Unternehmens. Ein Verbot von KI im Betrieb ist jedoch selten praxistauglich, da Mitarbeiter die Systeme dann unbemerkt über private Geräte nutzen.

Eine datenschutzorientierte Lösung ruht im Kern auf drei Komponenten: dem Serverstandort, dem vertraglichen Rahmen und der technischen Zweckbindung. Werden diese Vorgaben erfüllt, schafft dies wesentliche Voraussetzungen für den gesetzeskonformen Einsatz von künstlicher Intelligenz in Kernprozessen.

Der Serverstandort muss innerhalb der EU oder des EWR liegen, um Datentransfers in Drittländer mit abweichendem Schutzniveau zu vermeiden. Technisch wird dies über dedizierte europäische Rechenzentren oder private Cloud-Instanzen gelöst, die eine Weiterleitung von Datenströmen ausschließen.

Zusätzlich ist ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO erforderlich. Diese Vereinbarung verpflichtet den IT-Dienstleister dazu, Daten ausschließlich auf dokumentierte Weisung zu verarbeiten und jede zweckfremde Nutzung — wie das Nachtrainieren fremder Basismodelle — vertraglich auszuschließen.

Im betrieblichen Sprachgebrauch werden Begriffe wie KI-Assistent, KI-Agent und KI-Mitarbeiter oft vermischt, obwohl sie datenschutzrechtlich völlig unterschiedliche Anforderungen stellen. Ein KI-Assistent wartet in der Regel auf Zuruf in einem Chatfenster, wodurch Mitarbeiter kontinuierlich Daten manuell kopieren und einfügen müssen — eine erhebliche Fehlerquelle für den Datenschutz.

Ein vollwertiger KI-Mitarbeiter hingegen ist direkt an die bestehende Softwarelandschaft des Betriebs angebunden, arbeitet im Hintergrund festgelegte Aufgaben ab und greift nur auf genau die Daten zu, die für den jeweiligen Prozess freigegeben sind. Weitere Details zur Abgrenzung dieser Konzepte finden Sie auf der Übersichtsseite /ki-mitarbeiter.

Während herkömmliche Automatisierungen und RPA-Systeme an starren Regeln scheitern, interpretiert der KI-Mitarbeiter Dokumente flexibel, hält dabei aber strikte Rollen- und Rechtekonzepte ein. Er gibt keine Daten unkontrolliert nach außen weiter und meldet sich strukturiert bei Mitarbeitern, sobald eine Freigabe erforderlich ist.

Datenschutzkonformität bedeutet nicht, dass KI-Modelle überhaupt keine personenbezogenen Daten berühren dürfen. Entscheidend ist der Grundsatz der Datenminimierung: Ein KI-System sollte nur die Informationen erhalten, die zur Aufgabenerfüllung zwingend notwendig sind.

Vor der Übergabe an das Sprachmodell können automatisierte Filter vorgeschaltet werden, die sensible Informationen wie IBANs, Sozialversicherungsnummern oder Namen schwärzen oder pseudonymisieren. Der KI-Mitarbeiter verarbeitet die inhaltliche Logik und führt das Ergebnis im geschützten internen System wieder mit den Personendaten zusammen.

Darüber hinaus müssen sämtliche Datenwege durchgehend nach aktuellem Stand der Technik verschlüsselt sein. Ein feingliedriges Rechtesystem stellt sicher, dass die KI nicht mehr Einblick in interne Akten erhält als ein menschlicher Mitarbeiter in vergleichbarer Position.

Neben dem externen Datenschutz verlangt der Einsatz von KI im Unternehmen auch interne Transparenz. Sofern ein Betriebsrat existiert, kommen bei Systemen, die potenziell zur Leistungs- oder Verhaltenskontrolle genutzt werden könnten, Mitbestimmungsrechte nach dem Betriebsverfassungsgesetz in Betracht, deren Reichweite im Einzelfall juristisch zu prüfen ist.

Ein datenschutzorientiertes System zeichnet sich dadurch aus, dass es auf die Entlastung von Arbeitsabläufen ausgerichtet ist und nicht auf die Überwachung menschlicher Mitarbeiter. Klare Betriebsvereinbarungen definieren präzise, welche Daten verarbeitet werden und welche Auswertungen technisch ausgeschlossen sind.

Transparenz nimmt der Belegschaft die Sorge vor unkontrollierter Überwachung. Wenn das Team weiß, dass der KI-Mitarbeiter nachprüfbare Vorarbeiten leistet und die Datenhoheit im Haus bleibt, steigt die Bereitschaft, die neuen Systeme produktiv zu nutzen.

Geschäftsführer befürchten oft, dass DSGVO-konforme KI-Lösungen immens teuer sind und nur Großkonzernen offenstehen. Am Markt hat sich die Situation jedoch gewandelt, da europäische Cloud-Infrastrukturen und quelloffene Modelle, die isoliert betrieben werden, deutlich erschwinglicher geworden sind.

Einfache, datenschutzkonforme Schnittstellen zu europäischen API-Endpunkten sind am Markt bereits im Bereich von wenigen hundert Euro monatlich für die reine Infrastruktur nutzbar. Die individuelle Entwicklung und Integration eines maßgeschneiderten KI-Mitarbeiters, der tiefe Fachprozesse steuert, liegt branchenüblich im mittleren vier- bis fünfstelligen Bereich.

Die Investition in eine saubere technische Einrichtung kann sich je nach Prozessvolumen durch Zeiteinsparungen und die Reduktion rechtlicher Risiken zügig auszahlen. Welche Kosten für ein konkretes Projekt tatsächlich anfallen, lässt sich erst nach einer genauen Analyse der bestehenden Softwarearchitektur und einem individuellen Angebot beziffern.