KI im Unternehmen DSGVO-konform nutzen

Kurze Antwort: KI im Unternehmen DSGVO-konform zu nutzen heißt vor allem, vorab drei Dinge zu klären: Welche personenbezogenen Daten gehen in das System, wo werden sie verarbeitet, und gibt es mit dem Anbieter einen Vertrag zur Auftragsverarbeitung. Dazu kommt die Frage, welche Pflichten der EU AI Act für Deinen Einsatz bringt. Das hier ist eine allgemeine Orientierung und keine Rechtsberatung. Für Deinen konkreten Fall gehört eine Datenschutzbeauftragte oder ein Anwalt dazu.

Warum die Frage so oft kommt

Wer KI im Betrieb einführt, landet schnell bei Kundendaten: Mails, Angebote, Protokolle, Mitarbeiterdaten. Sobald darin Namen, Adressen oder andere Angaben zu Personen stehen, greift die DSGVO. Das ist kein Grund, auf KI zu verzichten, aber ein Grund, den Aufbau vor dem Start zu durchdenken statt hinterher.

Schritt 1: Wissen, welche Daten Du verarbeitest

Mach eine einfache Liste für den Prozess, den Du mit KI unterstützen willst. Welche Daten gehen hinein? Sind es personenbezogene Daten, und welche? Sind besonders sensible Angaben dabei, etwa zur Gesundheit? Viele Prozesse lassen sich so zuschneiden, dass weniger Personenbezug nötig ist, etwa indem Du Namen vor der Verarbeitung entfernst. Was gar nicht erst im System landet, musst Du später nicht schützen.

Schritt 2: Auftragsverarbeitung klären

Nutzt Du ein KI-Modell oder -Werkzeug eines Anbieters, verarbeitet dieser Daten in Deinem Auftrag. Dafür braucht es in aller Regel einen Vertrag zur Auftragsverarbeitung. Prüfe bei jedem Anbieter:

• Gibt es einen solchen Vertrag, und deckt er genau das Produkt ab, das Du nutzt?
• Wo werden die Daten verarbeitet, in der EU oder außerhalb?
• Werden Deine Eingaben zum Training von Modellen verwendet, und lässt sich das abschalten?
• Wie lange werden Verläufe gespeichert, und kannst Du sie löschen?

Die Antworten findest Du in den Vertragsunterlagen des Anbieters. Verlass Dich nicht auf Werbetexte.

Schritt 3: Den Ort der Verarbeitung wählen

Für den Datenschutz ist es ein großer Unterschied, ob ein Modell bei einem Anbieter läuft oder auf Deiner eigenen Hardware. Ein lokal betriebenes Modell verlässt Dein Haus nie, kostet dafür Einrichtung und Hardware und ist je nach Aufgabe weniger leistungsfähig als große Anbietermodelle. Dazwischen liegt ein Hosting in der EU. Welche Stufe passt, hängt von der Sensibilität der Daten und der nötigen Antwortqualität ab. Genau diese Entscheidung treffe ich mit Kunden vor dem Bau, nicht danach.

Schritt 4: Den Menschen im Ablauf halten

Eine KI kann sich irren und Antworten erfinden. Deshalb gehört an jede Stelle, an der etwas nach außen geht oder eine Entscheidung über Menschen fällt, eine menschliche Freigabe. Das schützt vor Fehlern und macht Dein Vorgehen nachvollziehbar: Wer hat wann freigegeben, welche Quelle stand dahinter? Ein Protokoll über jeden Lauf hilft Dir, Auskunftsanfragen zu beantworten.

Schritt 5: Den EU AI Act im Blick behalten

Der EU AI Act regelt KI-Systeme nach ihrem Risiko. Für viele alltägliche Einsatzfälle im Mittelstand, etwa Entwürfe für Mails oder Wissenssuche, sind die Anforderungen überschaubar, zum Beispiel Transparenz gegenüber Menschen, die mit einer KI sprechen. Strenger wird es bei Anwendungen, die über Menschen entscheiden, etwa im Personalbereich. Ob Dein Fall dazugehört, solltest Du mit fachkundiger Beratung einordnen.

Eine einfache Checkliste für den Start

• Prozess und Datenarten aufgeschrieben
• Vertrag zur Auftragsverarbeitung mit jedem Anbieter vorhanden
• Verarbeitungsort bewusst gewählt
• Training mit Deinen Eingaben ausgeschlossen oder geklärt
• Menschliche Freigabe an allen Stellen mit Außenwirkung
• Mitarbeitende wissen, welche Werkzeuge sie nutzen dürfen und welche nicht
• Datenschutzbeauftragte oder Anwalt hat den Aufbau gesehen

Wie ich damit umgehe

Ich starte KI-Projekte mit einer Risikoanalyse: Welche Daten, welcher Anbieter, welcher Ort, welche Freigaben. Danach folgt ein Prototyp mit Abbruchrecht. Den Rahmen zeigt der Fahrplan KI im Unternehmen, und wie Agenten mit Rechten und Freigaben aufgebaut sind, steht auf der Seite zu KI-Agenten. Rechtsberatung leiste ich dabei nicht, ich baue so, dass Deine Beratung etwas Prüfbares vor sich hat.

Wenn Du wissen willst, wie das für Deinen Betrieb aussehen könnte, buche das kostenlose Erstgespräch von 15 Minuten. Du bekommst eine ehrliche Einschätzung, ohne Verpflichtung.