Ist der Einsatz von Künstlicher Intelligenz im Unternehmen DSGVO-konform?

Welche DSGVO-Anforderungen gelten?

Für den DSGVO-konformen Einsatz von KI gelten grundsätzlich dieselben Datenschutzprinzipien wie bei jeder anderen Verarbeitung personenbezogener Daten. Entscheidend ist jedoch, dass KI-Anwendungen oft komplexer, dynamischer und schwerer nachvollziehbar sind als klassische Software. Deshalb musst du besonders sorgfältig prüfen, ob und wie personenbezogene Daten verarbeitet werden.

Wichtige DSGVO-Anforderungen sind:

• Rechtsgrundlage nach Art. 6 DSGVO: Jede Verarbeitung personenbezogener Daten benötigt eine gültige Rechtsgrundlage. Das kann zum Beispiel eine Einwilligung, ein Vertrag, eine rechtliche Verpflichtung oder ein berechtigtes Interesse sein.
• Zweckbindung: Daten dürfen nur für klar definierte Zwecke verwendet werden. Wenn du Kundendaten ursprünglich für Support-Anfragen erhoben hast, darfst du sie nicht automatisch für KI-Training nutzen.
• Datenminimierung: Die KI sollte nur die Daten erhalten, die wirklich notwendig sind. Je weniger personenbezogene Daten verarbeitet werden, desto geringer ist das Datenschutzrisiko.
• Transparenzpflichten: Betroffene Personen müssen verständlich darüber informiert werden, wenn ihre Daten durch KI verarbeitet werden. Dazu gehören Informationen über Zweck, Umfang, Speicherdauer und mögliche Empfänger.
• Auftragsverarbeitung nach Art. 28 DSGVO: Nutzt du externe KI-Anbieter, brauchst du in vielen Fällen einen Vertrag zur Auftragsverarbeitung. Darin wird geregelt, wie der Anbieter mit den Daten umgehen darf.
• Datenschutz-Folgenabschätzung nach Art. 35 DSGVO: Wenn die KI ein hohes Risiko für Rechte und Freiheiten von Personen darstellen kann, ist eine Datenschutz-Folgenabschätzung erforderlich. Das betrifft etwa automatisierte Entscheidungen, Profiling oder umfangreiche Auswertungen sensibler Daten.
• Technische und organisatorische Maßnahmen: Dazu gehören Zugriffskontrollen, Verschlüsselung, Protokollierung, Löschkonzepte, Rollenrechte und sichere Schnittstellen.

Besonders wichtig: Du solltest frühzeitig prüfen, ob personenbezogene Daten überhaupt notwendig sind. In vielen Fällen können anonymisierte, pseudonymisierte oder synthetische Daten ausreichen.

Typische Risiken

KI-Systeme bringen besondere Datenschutzrisiken mit sich, weil sie Daten nicht nur speichern, sondern analysieren, kombinieren und daraus neue Informationen ableiten können. Dadurch entstehen Risiken, die bei herkömmlichen Tools oft weniger stark ausgeprägt sind.

Typische Risiken beim Einsatz von KI im Unternehmen sind:

• Unkontrollierte Eingabe sensibler Daten: Mitarbeitende geben Kundendaten, Gesundheitsdaten, Vertragsinhalte oder interne Dokumente in öffentliche KI-Tools ein, ohne zu wissen, wie diese Daten verarbeitet werden.
• Unklare Datenverwendung durch Anbieter: Manche KI-Dienste nutzen eingegebene Inhalte zur Verbesserung ihrer Modelle. Wenn personenbezogene oder vertrauliche Daten betroffen sind, kann das problematisch sein.
• Datenübermittlung in Drittländer: Viele KI-Anbieter sitzen außerhalb der EU. Dann musst du prüfen, ob geeignete Garantien wie Standardvertragsklauseln oder ein Angemessenheitsbeschluss vorliegen.
• Automatisierte Entscheidungen: Wenn KI Entscheidungen über Personen vorbereitet oder trifft, können besondere Anforderungen nach Art. 22 DSGVO gelten. Das betrifft zum Beispiel Bewerberauswahl, Kreditwürdigkeit oder Risikobewertungen.
• Fehlende Nachvollziehbarkeit: KI-Ergebnisse sind nicht immer transparent erklärbar. Das kann problematisch sein, wenn du gegenüber Betroffenen erklären musst, wie eine Entscheidung zustande kam.
• Bias und Diskriminierung: KI kann bestehende Vorurteile aus Trainingsdaten übernehmen. Dadurch können Personen systematisch benachteiligt werden.
• Übermäßige Datensammlung: Unternehmen neigen dazu, möglichst viele Daten für KI-Projekte zu sammeln. Das widerspricht dem Grundsatz der Datenminimierung.

Ein besonderes Risiko entsteht, wenn KI ohne klare interne Regeln genutzt wird. Deshalb solltest du nicht nur auf Technik achten, sondern auch auf Schulungen, Richtlinien und Freigabeprozesse.

Praxisbeispiel einer DSGVO-konformen Lösung

Ein mittelständisches Unternehmen möchte KI für den internen Kundenservice einsetzen. Ziel ist es, Support-Anfragen schneller zu beantworten und Mitarbeitende bei der Formulierung von Antworten zu unterstützen. Die KI soll jedoch keine eigenständigen Entscheidungen treffen und keine Kundendaten unkontrolliert an externe Anbieter senden.

Eine DSGVO-konforme Umsetzung könnte so aussehen:

• Klare Zweckdefinition: Die KI wird ausschließlich zur Unterstützung des Support-Teams genutzt, nicht für Profiling oder automatisierte Kundenbewertungen.
• Datenminimierung: Vor der Verarbeitung werden Namen, E-Mail-Adressen, Kundennummern und Vertragsdaten automatisch pseudonymisiert oder entfernt.
• Europäischer Anbieter oder sicherer Betrieb: Das Unternehmen nutzt entweder eine KI-Lösung mit Hosting in der EU oder betreibt ein Modell in einer eigenen sichere Umgebung.
• Vertrag zur Auftragsverarbeitung: Falls ein externer Anbieter eingebunden ist, wird ein Auftragsverarbeitungsvertrag abgeschlossen.
• Keine Nutzung der Eingaben für Modelltraining: Vertraglich wird ausgeschlossen, dass der Anbieter eingegebene Unternehmens- oder Kundendaten zum Trainieren eigener Modelle verwendet.
• Rollen- und Zugriffskonzept: Nur autorisierte Mitarbeitende erhalten Zugriff auf das KI-System. Zugriffe werden protokolliert.
• Menschliche Kontrolle: Die KI erstellt lediglich Vorschläge. Eine geschulte Person prüft jede Antwort, bevor sie an Kundinnen oder Kunden gesendet wird.
• Transparente Datenschutzhinweise: Das Unternehmen informiert Kunden darüber, dass KI unterstützend im Supportprozess eingesetzt werden kann.
• Lösch- und Speicherkonzept: Eingaben und Ausgaben werden nur so lange gespeichert, wie es für den definierten Zweck notwendig ist.

Dieses Beispiel zeigt: Nicht die KI selbst ist automatisch DSGVO-widrig. Entscheidend ist, wie du sie einsetzt, welche Daten verarbeitet werden und welche Schutzmaßnahmen umgesetzt sind.

Häufige Datenschutzfehler

Viele Datenschutzprobleme entstehen nicht durch böswilliges Verhalten, sondern durch fehlende Vorbereitung. Unternehmen führen KI-Tools schnell ein, ohne die rechtlichen, technischen und organisatorischen Folgen ausreichend zu prüfen.

Häufige Fehler sind:

• Öffentliche KI-Tools ohne Prüfung nutzen: Wenn Mitarbeitende sensible Daten in frei zugängliche KI-Tools eingeben, kann das zu Datenschutzverletzungen führen.
• Keine Rechtsgrundlage definieren: Ohne klare Rechtsgrundlage ist die Verarbeitung personenbezogener Daten nicht DSGVO-konform.
• Datenschutzhinweise nicht aktualisieren: Wenn KI in bestehenden Prozessen eingesetzt wird, müssen Informationspflichten geprüft und gegebenenfalls angepasst werden.
• Auftragsverarbeitung vergessen: Externe KI-Anbieter werden oft wie normale Software behandelt, obwohl eine datenschutzrechtliche Prüfung erforderlich ist.
• Keine Datenschutz-Folgenabschätzung durchführen: Bei risikoreichen KI-Anwendungen kann eine DSFA Pflicht sein. Wird sie ignoriert, drohen rechtliche und organisatorische Probleme.
• Keine internen KI-Richtlinien erstellen: Ohne klare Regeln wissen Mitarbeitende nicht, welche Daten sie eingeben dürfen und welche nicht.
• KI-Ergebnisse ungeprüft übernehmen: KI kann falsche, veraltete oder diskriminierende Ergebnisse liefern. Eine menschliche Prüfung bleibt wichtig.
• Training mit Echtdaten ohne Schutzmaßnahmen: Wenn personenbezogene Daten zum Training verwendet werden, müssen Zweck, Rechtsgrundlage, Minimierung und Betroffenenrechte genau geklärt sein.

Um diese Fehler zu vermeiden, solltest du KI-Projekte nicht isoliert in der IT einführen. Datenschutz, Informationssicherheit, Fachabteilungen, Geschäftsführung und gegebenenfalls der Betriebsrat sollten frühzeitig eingebunden werden.

Kurze Zusammenfassung

Der Einsatz von Künstlicher Intelligenz im Unternehmen ist DSGVO-konform möglich, wenn du klare Datenschutzregeln einhältst. Entscheidend sind eine gültige Rechtsgrundlage, transparente Informationen, Datenminimierung, sichere Anbieterwahl, technische Schutzmaßnahmen und menschliche Kontrolle. Besonders bei sensiblen Daten, automatisierten Entscheidungen oder externen KI-Diensten solltest du sorgfältig prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Wer KI strategisch, kontrolliert und dokumentiert einführt, kann die Vorteile moderner KI-Systeme nutzen, ohne Datenschutzrisiken unnötig zu erhöhen.