KI und DSGVO im Unternehmen: datenschutzkonform arbeiten

Die DSGVO, also die Datenschutz-Grundverordnung, schützt personenbezogene Daten. Das sind alle Informationen, die sich auf eine erkennbare Person beziehen. Dazu zählen Namen, E-Mail-Adressen, Telefonnummern, aber auch Bestellhistorien oder Notizen aus einem Kundengespräch.

Wenn ein Mitarbeiter eine kostenlose KI-Anwendung im Browser öffnet und dort Kundendaten einträgt, entsteht ein Problem. Solche freien Werkzeuge nutzen die Eingaben häufig, um ihr eigenes Sprachmodell weiter zu trainieren. Die Kundendaten verlassen dann Ihr Unternehmen und landen auf Servern außerhalb der EU. Das ist ein Verstoß gegen die DSGVO.

Wichtig ist deshalb die Datenhoheit. Eingegebene Daten dürfen zu keinem Zeitpunkt für das Training des öffentlichen Modells verwendet werden. Sie müssen in einem geschützten Raum bleiben, auf den nur Ihr Betrieb zugreifen kann. Sobald das technisch und vertraglich sichergestellt ist, ist der wichtigste Schritt getan.

Der Schlüssel liegt in der Art des Zugangs zur KI. Statt die öffentliche Webseite eines Anbieters zu nutzen, binden wir KI-Mitarbeiter über Schnittstellen ein, im Fachjargon APIs genannt, also Programmverbindungen zwischen zwei Systemen.

Bei einer Schnittstelle gelten andere Bedingungen als bei der kostenlosen Verbraucherversion. Große Anbieter wie Microsoft oder OpenAI sichern vertraglich zu, dass Daten aus der Schnittstelle nicht für das Training verwendet werden. Die Daten werden nur verarbeitet und danach gelöscht oder in Ihrer eigenen, geschützten Umgebung gespeichert.

Wichtig ist auch der Serverstandort. Für die DSGVO ist es günstig, wenn die Verarbeitung innerhalb der EU stattfindet, zum Beispiel in Frankfurt am Main. So bleibt der Datenfluss im Geltungsbereich des europäischen Rechts, was die Bewertung für Ihren Datenschutzbeauftragten einfacher macht.

Die Einführung einer datenschutzkonformen KI folgt einem klaren Ablauf. Sie müssen dafür nichts neu erfinden.

Der Ablauf lässt sich in vier Schritten beschreiben. Jeder Schritt baut auf dem vorherigen auf, damit am Ende nichts Wichtiges vergessen wird.

Datenschutz ist kein unbezahlbarer Posten, sondern ein kalkulierbarer Teil des Projektbudgets. Die Kosten teilen sich in einmalige Einrichtung und laufenden Betrieb.

Die einmalige Einrichtung einer geschützten Schnittstelle inklusive der nötigen Dokumente liegt bei einem Betrieb mit 10 bis 50 Mitarbeitern meist zwischen 3.500 und 7.500 Euro. Darin enthalten sind die technische Anbindung und der fertige Vertragsentwurf für Ihren Datenschutzbeauftragten.

Die laufenden Kosten sind verbrauchsabhängig. Ein Mitarbeiter, der täglich 50 E-Mails durch die KI prüfen lässt, verursacht dafür oft unter 5 Euro Schnittstellenkosten im Monat. Hinzu kommt eine Pauschale für Wartung und Server, meist zwischen 150 und 400 Euro im Monat für den gesamten Betrieb.

Nehmen wir einen Betrieb mit 30 Mitarbeitern. Fünf Mitarbeiter im Innendienst verbringen täglich jeweils zwei Stunden mit Standard-Angeboten und wiederkehrenden Kundenfragen. Das sind 10 Stunden pro Tag.

Ein KI-Mitarbeiter bereitet diese Aufgaben vor. Er liest die Anfrage, sucht die passenden Daten und erstellt einen Entwurf. Der Mitarbeiter prüft den Entwurf nur noch 2 Minuten, statt 15 Minuten selbst zu tippen. Die tägliche Zeit sinkt von 10 auf 2 Stunden.

Bei einem Stundensatz von 38 Euro ergibt das 8 Stunden mal 38 Euro, also 304 Euro Ersparnis pro Arbeitstag. Bei 220 Arbeitstagen im Jahr sind das 66.880 Euro. Dem stehen einmalig 5.000 Euro und jährlich rund 3.000 Euro Betriebskosten gegenüber. Schon im ersten Jahr bleibt ein Vorteil von fast 59.000 Euro, bei voller DSGVO-Konformität.

Der größte Fehler ist das Wegschauen. Viele Geschäftsführer wissen, dass Mitarbeiter heimlich private, kostenlose Accounts für die Arbeit nutzen, greifen aber nicht ein. Das ist ein persönliches Haftungsrisiko für die Geschäftsführung.

Ein weiterer Fehler ist blindes Vertrauen in Marketingaussagen. Nur weil ein Anbieter auf seiner Webseite DSGVO-Konformität behauptet, ist er es für Ihren konkreten Einsatz noch nicht. Ohne gültigen Auftragsverarbeitungsvertrag und richtige Einrichtung bleibt die Nutzung riskant.

Auch fehlende Leitlinien für Mitarbeiter führen zu Fehlern. Eine kurze, verständliche Regelung, welche Daten in welche Systeme dürfen, ist deshalb sinnvoll.

Wenn Ihr Betrieb nur gelegentlich mit personenbezogenen Daten arbeitet und die KI ausschließlich für allgemeine Texte ohne Kundenbezug genutzt wird, ist der volle Aufwand mit Auftragsverarbeitungsvertrag und eigener Serverumgebung oft übertrieben.

Auch wenn niemand im Betrieb die Zeit hat, ein Pilotprojekt zu begleiten und die Ergebnisse zu prüfen, sollten Sie mit der Einführung warten. Ein System ohne Verantwortlichen im Haus bleibt eine Baustelle.

Starten Sie erst, wenn klar ist, wer im Betrieb die Freigaben prüft und wer im Zweifel den Datenschutzbeauftragten einbindet.