DSGVO konforme KI Tools für Unternehmen?

Eine wesentliche Voraussetzung für den Einsatz von Sprachmodellen in Betrieben ist in der Praxis der vertragliche Ausschluss des Modelltrainings mit Kundendaten. Sobald Kundennamen, Rechnungsdaten oder interne Notizen in Systeme fließen, die diese Daten zur Mustererkennung speichern, drohen erhebliche Konflikte mit den Grundprinzipien der DSGVO.

Darüber hinaus ist in der Regel ein Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO erforderlich, der den Verarbeitungszweck, Löschfristen und die technischen sowie organisatorischen Maßnahmen (TOM) festhält. Fehlt dieser Vertrag oder enthält er unzureichende Klauseln, drohen dem Unternehmen bußgeldbewehrte Datenschutzverstöße. Die Prüfung im konkreten Einzelfall obliegt dem Datenschutzbeauftragten oder einer Rechtsberatung.

Viele gängige KI-Modelle stammen von US-amerikanischen Anbietern, was bei der Datenübermittlung besondere Sorgfalt verlangt. Der Zugriff auf diese Modelle stützt sich in der Praxis meist auf eine Zertifizierung unter dem EU-US Data Privacy Framework oder auf Standardvertragsklauseln der EU-Kommission.

Für deutsche Mittelständler gelten europäische Cloud-Rechenzentren oder dedizierte Instanzen innerhalb der Europäischen Union häufig als pragmatischer Weg. Dadurch verbleiben die Daten physisch im Geltungsbereich europäischer Rechtsnormen, was Nachfragen von Prüfern oder Aufsichtsbehörden oft vereinfacht.

In der Praxis entstehen Datenschutzrisiken selten durch böse Absicht, sondern durch sogenannte Schatten-IT. Mitarbeiter kopieren vertrauliche E-Mails, Lebensläufe oder Lieferantenverträge in frei zugängliche Web-Oberflächen von KI-Diensten, um Texte schneller zusammenzufassen oder Antworten zu formulieren.

Ein solches Vorgehen umgeht betriebliche Zugriffskonzepte. Sobald personenbezogene Daten Dritter ohne AV-Vertrag in Standard-Tools gelangen, verliert das Unternehmen weitgehend die Kontrolle über die Daten und gefährdet die Einhaltung gesetzlicher Auskunfts- und Löschpflichten.

Punktuelle Hilfsprogramme und reine Chat-Oberflächen lösen Datenschutzanforderungen selten strukturiert, da sie auf manuelle und unkontrollierte Eingaben angewiesen sind. Im Gegensatz dazu operiert ein KI-Mitarbeiter innerhalb definierter Zugriffsrechte und verbindet sich direkt mit der bestehenden ERP-, CRM- oder Branchensoftware.

Ein KI-Mitarbeiter übernimmt wiederkehrende Abläufe wie die Rechnungsprüfung oder Postfachbearbeitung weitgehend automatisiert über abgesicherte Schnittstellen. Das Team muss Daten seltener manuell kopieren, da das System nach festen Regeln arbeitet und sich vor allem dann bei den Mitarbeitern meldet, wenn Freigaben oder menschliche Entscheidungen erforderlich sind.

Unternehmen führen im Rahmen der DSGVO in der Regel ein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO. Wird ein KI-System eingeführt, sollte dieser Prozess dokumentiert werden, einschließlich der Kategorien betroffener Personen und der Rechtsgrundlage für die Datenverarbeitung.

Zusätzlich kann der Einsatz automatisierter Verfahren eine Datenschutz-Folgenabschätzung (DSFA) erfordern, insbesondere wenn vertrauliche Daten verarbeitet oder automatisierte Bewertungen vorgenommen werden. Eine saubere Dokumentation im Vorfeld erleichtert spätere Prüfungen.

Die Einführung KI-basierter Systeme beginnt mit einer Bestandsaufnahme der konkreten Arbeitsabläufe. Anstatt wahllos Lizenzen für Softwaretools zu erwerben, analysiert die Geschäftsführung, an welcher Stelle im Prozess Routineaufgaben Zeit binden und welche Datenkategorien dabei anfallen.

Im nächsten Schritt wird eine passende Lösung gewählt oder aufgebaut, deren Schnittstellen den betrieblichen Datenschutzanforderungen genügen. Sobald Berechtigungen vergeben, Prüfpfade etabliert und die Mitarbeiter eingewiesen sind, übernimmt das System Aufgaben im laufenden Betrieb.