KI Datenschutz DSGVO Unternehmen?

Die DSGVO formuliert keine Sonderregeln für künstliche Intelligenz, sondern verlangt die Einhaltung bekannter Kernprinzipien. Im Mittelpunkt stehen dabei die Zweckbindung, die Datenminimierung und die Rechtmäßigkeit der Verarbeitung. Unternehmen dürfen personenbezogene Daten nur für vorab festgelegte Zwecke verarbeiten und müssen stets prüfen, ob die Aufgabe nicht mit weniger Informationen lösbar ist.

Wenn ein System Kundenanfragen bearbeitet, Bewerbungsunterlagen sichtet oder Aufträge anlegt, verarbeitet es unweigerlich Namen, Adressen oder Telefonnummern. Dies ist nach Artikel 6 DSGVO zulässig, wenn ein berechtigtes Interesse vorliegt, ein Vertrag erfüllt wird oder eine Einwilligung der Betroffenen besteht. Ohne dokumentierten Rechtsgrund darf keine Verarbeitung stattfinden.

Das größte Datenschutzrisiko bei Standard-Tools entsteht durch Klauseln in den Nutzungsbedingungen, die dem Anbieter erlauben, Benutzereingaben für das weitere Modelltraining zu verwenden. Sobald vertrauliche Mandantendaten, Personalakten oder Konstruktionspläne in ein solches System fließen, verliert das Unternehmen die Kontrolle über die weitere Verwendung.

Im schlimmsten Fall können geschützte Informationen später als Antwort auf Anfragen Dritter wieder ausgegeben werden. Professionelle Lösungen nutzen daher ausschließlich Schnittstellen, bei denen vertraglich zugesichert ist, dass Eingaben weder gespeichert noch zum Modelltraining herangezogen werden. Ein digitaler Assistent, der auf Zuruf Texte formuliert, birgt bei falscher Konfiguration genau dieses Risiko, während ein geschlossener KI-Mitarbeiter nur in kontrollierten Datenräumen operiert.

Viele führende Sprachmodelle werden von US-amerikanischen Konzernen betrieben. Für Unternehmen in der Europäischen Union bedeutet dies, dass bei jeder Übertragung personenbezogener Daten die Vorgaben für den Drittlandtransfer beachtet werden müssen. Maßgeblich ist hierbei das EU-US Data Privacy Framework, unter dem viele große Anbieter zertifiziert sind.

Trotz dieser Zertifizierung bevorzugen immer mehr Betriebe europäische Rechenzentren oder den Betrieb von quelloffenen Modellen auf eigener Infrastruktur. Liegen die Server innerhalb des europäischen Wirtschaftsraums, entfallen komplexe Prüfungen zum Drittlandtransfer weitgehend. Dies schafft Planungssicherheit und erleichtert die Freigabe durch den betrieblichen Datenschutzbeauftragten.

Die Integration von KI erfordert formale Schritte, die vor dem ersten Produktiveinsatz abgeschlossen sein müssen. An erster Stelle steht der Abschluss eines Auftragsverarbeitungsvertrags (AVV) nach Artikel 28 DSGVO mit dem jeweiligen Software- oder Cloud-Anbieter. Dieser Vertrag regelt bindend, wie mit den Daten umgegangen wird und welche technischen Schutzmaßnahmen greifen.

Zusätzlich muss der Einsatz der Technologie in das unternehmenseigene Verzeichnis von Verarbeitungstätigkeiten aufgenommen werden. Darin wird dokumentiert, welche Kategorien von Daten verarbeitet werden, wer Zugriff darauf hat und wann Löschungen erfolgen. Bei Prozessen mit potenziell hohem Risiko für die Rechte natürlicher Personen ist vorab eine Datenschutz-Folgenabschätzung vorgeschrieben.

In vielen Betrieben nutzen Mitarbeiter eigenmächtig private Accounts bei generativen Text- oder Bildwerkzeugen, um den Arbeitsalltag zu beschleunigen. Diese Schatten-IT stellt die Geschäftsführung vor unkalkulierbare Haftungsrisiken, da weder Auftragsverarbeitungsverträge existieren noch geregelt ist, welche Betriebsdaten verarbeitet werden dürfen.

Ein definierter KI-Mitarbeiter löst dieses Problem durch geordnete Bahnen. Er ist fest in die bestehende Softwarelandschaft integriert, beachtet strikte Zugriffsrechte und führt vorab definierte Prozessschritte aus, statt frei zu experimentieren. Technisch betrachtet handelt es sich um einen spezialisierten KI-Agenten, doch für die Organisation agiert er als berechenbarer Mitarbeiter, der sich an die betrieblichen Datenschutzrichtlinien hält.

Betroffene Personen haben nach Artikel 13 und 14 DSGVO das Recht zu erfahren, wie ihre Daten verarbeitet werden. Setzt ein Unternehmen automatisierte Systeme in der Kommunikation oder Bearbeitung ein, sollten die Datenschutzhinweise auf der Website und in den AGB entsprechend angepasst werden. Eine offene Informationspolitik verhindert Missverständnisse und stärkt das Vertrauen.

Gegenüber der Belegschaft greifen zusätzliche Anforderungen. Wird ein System im Personalbereich eingesetzt oder erfasst es Leistungsdaten von Mitarbeitern, ist der Betriebsrat rechtzeitig einzubinden. Zudem schließt Artikel 22 DSGVO rein automatisierte Entscheidungen mit rechtlicher Wirkung für Einzelpersonen weitgehend aus — ein Mensch muss im Zweifel immer die finale Kontrolle behalten.