KI-Tools und DSGVO: Was Unternehmen wirklich prüfen müssen

Der Auftragsverarbeitungsvertrag ist die Eintrittskarte

Sobald personenbezogene Daten in ein KI-Werkzeug gelangen – und das beginnt beim Namen im Anschreiben –, brauchen Sie einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Die meisten großen Anbieter stellen einen solchen Vertrag für ihre Geschäftstarife bereit; in Privattarifen fehlt er in der Regel.

Das ist der schnellste Filter: Kein AV-Vertrag, kein beruflicher Einsatz mit Personenbezug. Prüfen Sie dabei auch die Liste der Unterauftragsverarbeiter – Modelle laufen häufig bei einem anderen Anbieter als dem, mit dem Sie den Vertrag schließen.

Wo werden die Daten verarbeitet?

Die Verarbeitung in den USA ist nach dem EU-US Data Privacy Framework möglich, wenn der Anbieter zertifiziert ist. Verlassen Sie sich aber nicht auf Marketingaussagen: Die Zertifizierung lässt sich in der offiziellen Liste des US-Handelsministeriums nachschlagen.

Mehrere Anbieter bieten inzwischen eine Verarbeitung ausschließlich in der EU an. Für Behörden, Gesundheitswesen und Rechtsberatung ist das oft der pragmatischste Weg – ebenso wie offene Modelle, die in der eigenen Infrastruktur laufen.

Training mit Ihren Eingaben abschalten

Der wichtigste einzelne Schalter: Werden Ihre Eingaben zur Verbesserung der Modelle verwendet? In Geschäftstarifen ist das üblicherweise standardmäßig deaktiviert, in kostenlosen und privaten Tarifen häufig nicht.

Prüfen Sie außerdem die Speicherdauer. Manche Anbieter bewahren Eingaben zur Missbrauchserkennung einige Wochen auf, auch wenn sie nicht ins Training fließen. Für besonders sensible Daten kann eine vertraglich zugesicherte Nulltoleranz erforderlich sein.

Verzeichnis, Folgenabschätzung, Betroffenenrechte

Jede KI-Nutzung mit Personenbezug gehört ins Verarbeitungsverzeichnis. Bei umfangreicher oder systematischer Verarbeitung – etwa bei der Vorauswahl von Bewerbungen – wird zusätzlich eine Datenschutz-Folgenabschätzung fällig.

Denken Sie an die Betroffenenrechte: Auskunft, Berichtigung und Löschung müssen auch dann erfüllbar sein, wenn Daten in einem KI-Dienst verarbeitet wurden. Klären Sie vorab, wie der Anbieter Löschanfragen umsetzt.

AI Act: die zweite Ebene

Seit 2024 kommt der AI Act hinzu. Für die meisten Unternehmen sind zwei Punkte relevant: Systeme mit unannehmbarem Risiko sind verboten, und synthetisch erzeugte oder bearbeitete Inhalte müssen gekennzeichnet werden. Wer Mitarbeitende KI einsetzen lässt, muss außerdem für ausreichende KI-Kompetenz sorgen.

Hochrisiko-Anwendungen – etwa im Personalwesen oder bei Kreditentscheidungen – unterliegen deutlich strengeren Pflichten. Prüfen Sie früh, ob Ihr Einsatzzweck darunterfällt.

Dieser Text ersetzt keine Rechtsberatung. Er nennt die Punkte, mit denen Sie in ein Gespräch mit Ihrer Datenschutzbeauftragten gehen sollten.

Prüfreihenfolge: AV-Vertrag vorhanden? Verarbeitungsort geklärt? Training deaktiviert? Im Verzeichnis erfasst? Kennzeichnungspflichten nach AI Act bedacht?