KI DSGVO konform einsetzen Unternehmen?

Viele Betriebe beginnen mit öffentlich zugänglichen Web-Portalen, um E-Mails zu formulieren oder Verträge zu prüfen. In solchen Standarddiensten räumen sich die Anbieter in den Voreinstellungen oft das Recht ein, Nutzereingaben zur Verbesserung ihrer eigenen Modelle auszuwerten. Werden hierbei Kundennamen, Gehaltsdaten oder sensible Vorgänge ohne entsprechende Rechtsgrundlage eingegeben, birgt dies erhebliche Risiken für Verstöße gegen Vorgaben der DSGVO.

Zudem erfolgt die Verarbeitung bei außereuropäischen Diensten häufig in Drittstaaten. Ohne geeignete Garantien wie Standardvertragsklauseln und ergänzende Schutzmaßnahmen drohen aufsichtsrechtliche Beanstandungen oder Bußgelder. Unternehmen sollten daher strikt zwischen frei zugänglichen Assistenten für den einzelnen Arbeitsplatz und fest verankerten Unternehmenslösungen differenzieren.

Um KI im Einklang mit den DSGVO-Grundsätzen einzusetzen, müssen Unternehmen die Datenwege technisch begrenzen. Der Zugriff auf Modelle sollte über geschützte Unternehmens-Schnittstellen erfolgen, bei denen die Anbieter vertraglich zusichern, übertragene Nutzdaten weder dauerhaft zu speichern noch für Modellaktualisierungen heranzuziehen. Dieser Status lässt sich über kommerzielle Cloud-Plattformen mit Serverstandort innerhalb der Europäischen Union anstreben.

Alternativ lassen sich quelloffene Modelle vollständig im eigenen Rechenzentrum oder auf dedizierten Servern in Deutschland betreiben. Ein autonom agierender KI-Mitarbeiter greift über diese gesicherten Kanäle auf bestehende Warenwirtschafts- oder CRM-Systeme zu. Dadurch verbleiben schützenswerte Vorgänge im vorab definierten Sicherheitsbereich Ihres Betriebs.

Ein einfacher KI-Assistent erwartet manuelle Arbeitsaufträge von einzelnen Mitarbeitenden und verleitet dazu, unbedacht ganze Dokumente hochzuladen. Im Unterschied dazu arbeitet ein fest eingerichteter digitaler Kollege nach streng programmierten Prozessschritten. Auf der Übersichtsseite /ki-mitarbeiter wird detailliert dargestellt, wie solche Systeme als feste Instanz im Betrieb verankert sind und Aufgaben eigenständig ausführen, ohne dass Menschen sensible Daten manuell hin und her kopieren müssen.

Während starre Automatisierungen und klassische RPA-Skripte nur einfachen Wenn-Dann-Pfaden folgen, versteht ein KI-Mitarbeiter unstrukturierte E-Mails oder Rechnungen im semantischen Kontext. Dabei wendet er vor der internen Weiterleitung automatisierte Filterregeln an, um personenbezogene Merkmale bei Bedarf zu schwärzen oder nur die Felder zu verarbeiten, die zur Auftragsabwicklung erforderlich sind.

Der datenschutzorientierte Betrieb verlangt neben der passenden Technik auch formale Sorgfalt. Unternehmen müssen prüfen, inwieweit der Einsatz Künstlicher Intelligenz im Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO dokumentiert werden muss. Darin wird üblicherweise festgehalten, welche Kategorien personenbezogener Daten verarbeitet werden, wer Zugriff hat und wann die Informationen planmäßig gelöscht werden. Die genaue Ausgestaltung sollte mit einem Datenschutzbeauftragten oder Fachanwalt abgestimmt werden.

Zusätzlich empfiehlt sich eine klare interne Nutzungsrichtlinie für die Belegschaft. Sie legt fest, welche externen Hilfsmittel untersagt sind und wie mit dem offiziellen KI-System gearbeitet wird. Wenn Entscheidungen vorbereitet werden, die Kunden oder Angestellte direkt berühren, sollte organisatorisch gewährleistet bleiben, dass ein menschlicher Mitarbeiter das letzte Wort behält.

Kunden, Lieferanten und Angestellte behalten auch bei digitalisierten Abläufen ihre gesetzlichen Betroffenenrechte. Dazu zählen unter anderem der Anspruch auf Auskunft über gespeicherte Daten nach Artikel 15 DSGVO sowie Löschansprüche nach Artikel 17 DSGVO. Ein KI-Mitarbeiter sollte so konzipiert sein, dass er die praktische Umsetzung dieser Rechte unterstützt.

Wenn ein KI-Mitarbeiter Kundendaten lediglich verarbeitet und in den bestehenden Fachdatenbanken Ihres Betriebs ablegt, bleibt die zentrale Datenverwaltung unberührt. Die Löschung eines Datensatzes im ERP-System führt dazu, dass der KI-Mitarbeiter keinen Zugriff mehr darauf erhält. Da Daten nicht in das Modell selbst eintrainiert werden, lassen sich typische Löschkonflikte von Beginn an vermeiden.