Einordnung
Was DSGVO konforme KI im Unternehmen bedeutet
Der Begriff wird häufig wie eine Produkteigenschaft verwendet. Tatsächlich hängt die datenschutzrechtliche Bewertung vom konkreten Einsatz ab. Derselbe Dienst kann in unterschiedlichen Prozessen unterschiedliche Risiken und Pflichten auslösen. Deshalb sollte ein Unternehmen zuerst beschreiben, was das System tut, welche Daten verarbeitet werden, wer beteiligt ist und welche Entscheidung oder Handlung am Ende beeinflusst wird. Dieser Artikel bietet eine strukturierte Einordnung, keine Rechtsberatung.
Prüfpunkte
Den Datenfluss statt nur den Toolnamen prüfen
Eine belastbare Prüfung beginnt beim Weg der Information. Welche Daten kommen aus welchem System? Was wird an welchen Dienst übermittelt? Wer kann auf Eingaben, Protokolle und Ergebnisse zugreifen? Wie lange bleiben sie vorhanden und welche Schnittstelle löst eine Folgeaktion aus? Diese Fragen machen sichtbar, ob ein Marketing Entwurf, ein Unternehmens GPT oder eine Prozessautomatisierung unterschiedliche Schutzmaßnahmen braucht.
- Datenarten und mögliche besondere Kategorien
- Zweck und Rechtsgrundlage der Verarbeitung
- Datenquellen, Empfänger und eingesetzte Anbieter
- Zugriffe, Rollen, Protokollierung und Löschkonzept
- Auswirkungen von Ergebnissen und menschliche Kontrolle
Vergleich
Prüffelder für einen KI Pilot
Vor dem produktiven Start lässt sich die Prüfung anhand klarer Fragen strukturieren. Die Antworten sollten im jeweiligen Projekt festgehalten und bei Änderungen aktualisiert werden.
Prüffelder vor dem KI Einsatz
| Prüffeld | Konkrete Frage | Nachweis im Projekt |
|---|---|---|
| Zweck | Welches Ergebnis soll unterstützt werden? | Abgegrenzte Prozessbeschreibung |
| Personenbezug | Welche personenbezogenen Daten fließen ein? | Dateninventar und Ausschlüsse |
| Anbieter | Welche Stellen verarbeiten Daten? | Vertrags und Anbieterprüfung |
| Zugriff und Löschung | Wer sieht Daten und wie lange? | Rollen und Aufbewahrungsregeln |
| Ergebnis und Handlung | Welche Folge kann eine KI Antwort auslösen? | Freigabe und Eskalationsregel |
Einordnung
Quellen, Rollen und Rechte bei interner KI
Bei einem Unternehmens GPT oder Wissensassistenten ist die Inhaltsebene besonders wichtig. Freigegebene Quellen, Rollenrechte und gruppenspezifische Zugriffe sollten bereits im Entwurf entschieden werden. Ein Dokument, das im Dateisystem geschützt ist, darf nicht über einen Assistenten für eine zu breite Nutzergruppe auffindbar werden. Testfälle sollten deshalb nicht nur Antwortqualität, sondern auch unzulässige Zugriffsversuche abdecken.
Einordnung
Keine pauschalen Datensicherheitsversprechen
Die DSGVO gilt als zentraler Rechtsrahmen für die Verarbeitung personenbezogener Daten in der EU. Daraus folgt nicht, dass ein einzelnes Hosting Merkmal, eine regionale Auswahl oder ein Vertragsdokument allein jeden KI Einsatz einordnet. Erforderlich ist die Betrachtung des gesamten Verarbeitungsvorgangs. Unternehmen sollten konkrete Fragen mit Datenschutzbeauftragten oder qualifizierter Rechtsberatung abstimmen.
Einordnung mit Bezug auf Europäische Kommission: Datenschutzrechtlicher Rahmen ↗.
Einordnung
EU AI Act und DSGVO zusammendenken
Der EU AI Act schafft zusätzliche Regeln für KI Systeme. Er ersetzt die Datenschutzanforderungen nicht. Die Europäische Kommission beschreibt den AI Act als risikobasierten Regulierungsrahmen; Datenschutzrechtliche Fragen bleiben davon getrennt zu bewerten. Für ein Projekt bedeutet das: Datenfluss, Transparenz, menschliche Kontrolle und die Rolle des Systems müssen zusammen betrachtet werden.
Einordnung mit Bezug auf Europäische Kommission: Regulierungsrahmen für KI ↗.
Nächste Entscheidung
Mit einem begrenzten Pilot verantwortungsvoll starten
Ein Pilot kann zunächst mit freigegebenen, wenig sensiblen oder synthetischen Beispielen arbeiten. Definieren Sie Ausschlüsse, testen Sie Zugriffe und dokumentieren Sie offene Punkte. Erst wenn Zweck, Datenfluss, Anbieter, Kontrollen und Verantwortlichkeiten geklärt sind, sollte der Einsatz schrittweise erweitert werden. Das reduziert spätere Umbauten und schafft eine bessere Grundlage für fachliche Entscheidungen.