DSGVO und KI

Die DSGVO kennt keinen eigenen KI-Paragrafen – ihre Grundsätze gelten für KI-Systeme genauso wie für jede andere Datenverarbeitung. Wer personenbezogene Daten durch ein Sprachmodell verarbeiten lässt, braucht eine Rechtsgrundlage (Art. 6 DSGVO), muss den Zweck festlegen und darf nur die Daten übergeben, die dafür nötig sind. Setzt ein Unternehmen einen KI-Anbieter ein, wird dieser in der Regel Auftragsverarbeiter – dann verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Hinzu kommen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, etwa Verschlüsselung und Zugriffskontrolle.

Im Unternehmensalltag entscheidet sich Datenschutz beim KI-Einsatz an konkreten Fragen: Wo werden Eingaben verarbeitet – in der EU oder in einem Drittland? Werden sie nach der Antwort gespeichert oder für das Training von Modellen verwendet? Und wer im Unternehmen darf welche Inhalte überhaupt an eine KI übergeben? Gerade in KMU entsteht Risiko oft nebenbei, wenn Beschäftigte Kundendaten in frei verfügbare Chatbots kopieren, für die weder ein Vertrag noch eine Kontrolle existiert. Eine kurze interne KI-Richtlinie und geprüfte Werkzeuge beugen dem vor.

Verarbeitungsregion, Speicherung und Trainingsnutzung hängen von den freigegebenen Modellendpunkten und den jeweiligen Vereinbarungen ab. Prüfen Sie diese Bedingungen für Ihre Installation. Zugriffe auf Unternehmenswissen werden über Rollen und Freigaben geregelt.

Dazu kommt der Berechtigungs-Grundsatz: Die KI darf Berechtigungen nicht umgehen. Antworten stützen sich nur auf Quellen, die für die anfragende Person freigegeben sind, und zeigen Quellenangaben – Datenminimierung nicht als Absichtserklärung, sondern als technischer Filter zur Abfragezeit. Zu unterscheiden ist die DSGVO vom EU AI Act: Die Verordnung (EU) 2024/1689 regelt KI-Systeme selbst, die DSGVO den Umgang mit personenbezogenen Daten. Beide gelten nebeneinander.