KI DSGVO konform einsetzen?

Jede Verarbeitung personenbezogener Daten durch KI-Systeme erfordert eine tragfähige Rechtsgrundlage gemäß Artikel 6 DSGVO. Im betrieblichen Kontext stützen sich Unternehmen hierbei meist auf die Erfüllung eines Vertrags, rechtliche Verpflichtungen oder eine dokumentierte Interessenabwägung zur Optimierung der eigenen Abläufe.

Zusätzlich muss mit jedem externen Dienstleister, über dessen Schnittstelle Text- oder Bilddaten verarbeitet werden, ein Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO geschlossen werden. Dieser Vertrag verpflichtet den Anbieter dazu, Daten nach dokumentierter Weisung und zweckgebunden zu verarbeiten.

Das fundamentale Datenschutzproblem frei zugänglicher KI-Dienste besteht darin, dass Benutzereingaben standardmäßig zur Weiterentwicklung der neuronalen Netze verwendet werden. Gelangen so Kundendaten, Mitarbeiterdetails oder Geschäftsgeheimnisse in die Eingabemaske, verbleiben diese faktisch unkontrollierbar im Modell des Anbieters.

Für einen datenschutzgerechten Einsatz ist es in der Regel erforderlich, Schnittstellen (APIs) für Geschäftskunden zu nutzen, bei denen der Anbieter vertraglich zusichert, übermittelte Daten nicht für Trainingszwecke zu speichern oder auszuwerten. Ein professioneller KI-Mitarbeiter nutzt ausschließlich solche gesicherten Kanäle, wodurch die Vertraulichkeit betrieblicher Daten geschützt bleibt.

Die DSGVO stellt strenge Anforderungen an die Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union. Werden Modelle von Anbietern mit Sitz in den USA genutzt, sollte die Verarbeitung auf Basis des Data Privacy Frameworks oder über EU-Standardvertragsklauseln geprüft und geregelt sein.

Immer mehr Betriebe setzen daher auf Hosting-Umgebungen innerhalb der Europäischen Union, beispielsweise in Frankfurt oder Dublin. Hierbei laufen die Sprachmodelle in europäischen Rechenzentren, sodass keine Kundendaten den Rechtsraum der Europäischen Union verlassen müssen.

Ein wirksamer technischer Weg zur Vermeidung datenschutzrechtlicher Konflikte ist die Verhinderung der Übertragung personenbezogener Daten. Bevor ein Arbeitsauftrag an ein Sprachmodell übergeben wird, kann eine vorgeschaltete Filterschicht persönliche Merkmale unkenntlich machen.

Ein KI-Mitarbeiter arbeitet in der Regel mit einer Middleware, die Namen, Telefonnummern, Adressen oder Kontodaten erkennt und durch neutrale Platzhalter ersetzt. Das Sprachmodell verarbeitet lediglich den logischen Sachverhalt, und erst bei der Rückgabe in die eigene Datenbank werden die echten Namen wieder eingefügt.

Betroffene Personen haben gemäß DSGVO das Recht zu erfahren, welche Daten zu welchem Zweck verarbeitet werden. Unternehmen müssen ihre Datenschutzerklärungen auf Websites und in Kundenverträgen transparent anpassen, sobald KI-Systeme Eingaben verarbeiten.

Zusätzlich untersagt Artikel 22 DSGVO vollautomatisierte Entscheidungen, die für Personen rechtliche Wirkung entfalten, sofern keine menschliche Überprüfung stattfindet. Aus diesem Grund agiert ein KI-Mitarbeiter im Regelfall vorbereitend und übergibt die abschließende Entscheidung zur Freigabe an einen qualifizierten Mitarbeiter.

Einfache KI-Assistenten oder Browser-Erweiterungen werden meist unkoordiniert von einzelnen Angestellten genutzt. Dieser sogenannte Shadow-IT-Einsatz stellt ein Haftungsrisiko für Geschäftsführer dar, da weder geprüfte Verträge vorliegen noch Datenflüsse kontrolliert werden.

Im Gegensatz dazu ist ein KI-Mitarbeiter fest in die Unternehmenssoftware integriert, arbeitet nach festen Sicherheitsregeln und folgt standardisierten Berechtigungskonzepten. Weitere Details zur Funktionsweise und sicheren Einbindung finden sich in der Übersicht unter /ki-mitarbeiter, wo die Trennung zwischen Technik und Arbeitsbereich erläutert wird.