KI-Tools und DSGVO: Was Unternehmen wirklich prüfen müssen
Nicht jedes KI-Werkzeug scheidet aus Datenschutzgründen aus, aber jedes braucht eine Prüfung. Ein Überblick über die Punkte, die tatsächlich zählen.
Der Auftragsverarbeitungsvertrag ist die Eintrittskarte
Sobald personenbezogene Daten in ein KI-Werkzeug gelangen, und das beginnt beim Namen im Anschreiben, brauchen Sie einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Die meisten großen Anbieter stellen einen solchen Vertrag für ihre Geschäftstarife bereit; in Privattarifen fehlt er in der Regel.
Das ist der schnellste Filter: Kein AV-Vertrag, kein beruflicher Einsatz mit Personenbezug. Prüfen Sie dabei auch die Liste der Unterauftragsverarbeiter, Modelle laufen häufig bei einem anderen Anbieter als dem, mit dem Sie den Vertrag schließen.
Wo werden die Daten verarbeitet?
Die Verarbeitung in den USA ist nach dem EU-US Data Privacy Framework möglich, wenn der Anbieter zertifiziert ist. Verlassen Sie sich aber nicht auf Marketingaussagen: Die Zertifizierung lässt sich in der offiziellen Liste des US-Handelsministeriums nachschlagen.
Mehrere Anbieter bieten inzwischen eine Verarbeitung ausschließlich in der EU an. Für Behörden, Gesundheitswesen und Rechtsberatung ist das oft der pragmatischste Weg, ebenso wie offene Modelle, die in der eigenen Infrastruktur laufen.
Training mit Ihren Eingaben abschalten
Der wichtigste einzelne Schalter: Werden Ihre Eingaben zur Verbesserung der Modelle verwendet? In Geschäftstarifen ist das üblicherweise standardmäßig deaktiviert, in kostenlosen und privaten Tarifen häufig nicht.
Prüfen Sie außerdem die Speicherdauer. Manche Anbieter bewahren Eingaben zur Missbrauchserkennung einige Wochen auf, auch wenn sie nicht ins Training fließen. Für besonders sensible Daten kann eine vertraglich zugesicherte Nulltoleranz erforderlich sein.
Verzeichnis, Folgenabschätzung, Betroffenenrechte
Jede KI-Nutzung mit Personenbezug gehört ins Verarbeitungsverzeichnis. Bei umfangreicher oder systematischer Verarbeitung, etwa bei der Vorauswahl von Bewerbungen, wird zusätzlich eine Datenschutz-Folgenabschätzung fällig.
Denken Sie an die Betroffenenrechte: Auskunft, Berichtigung und Löschung müssen auch dann erfüllbar sein, wenn Daten in einem KI-Dienst verarbeitet wurden. Klären Sie vorab, wie der Anbieter Löschanfragen umsetzt.
AI Act: die zweite Ebene
Seit 2024 kommt der AI Act hinzu. Für die meisten Unternehmen sind zwei Punkte relevant: Systeme mit unannehmbarem Risiko sind verboten, und synthetisch erzeugte oder bearbeitete Inhalte müssen gekennzeichnet werden. Wer Mitarbeitende KI einsetzen lässt, muss außerdem für ausreichende KI-Kompetenz sorgen.
Hochrisiko-Anwendungen, etwa im Personalwesen oder bei Kreditentscheidungen, unterliegen deutlich strengeren Pflichten. Prüfen Sie früh, ob Ihr Einsatzzweck darunterfällt.
Dieser Text ersetzt keine Rechtsberatung. Er nennt die Punkte, mit denen Sie in ein Gespräch mit Ihrer Datenschutzbeauftragten gehen sollten.
Prüfreihenfolge: AV-Vertrag vorhanden? Verarbeitungsort geklärt? Training deaktiviert? Im Verzeichnis erfasst? Kennzeichnungspflichten nach AI Act bedacht?
Im Beitrag erwähnte Tools
Zu jedem Werkzeug gibt es einen ausführlichen Testbericht mit Noten und Preisen.
Le Chat
Mistral AIEuropäische Alternative mit Servern in der EU und offenen Modellen.
DeepL
DeepL SEÜbersetzung auf Referenzniveau, aus Köln, mit europäischem Datenschutz.
Stable Diffusion
Stability AI / Open SourceOffene Modelle für den Betrieb auf eigener Hardware, maximale Kontrolle, maximaler Aufwand.
ElevenLabs
ElevenLabsSprachsynthese, die im Deutschen kaum noch synthetisch klingt.
Jean-Marc Mihoc arbeitet täglich mit KI-Werkzeugen und testet sie hier mit selbst bezahlten Zugängen an echten Arbeitsaufgaben, statt an Demos. Er schreibt auf, was dabei herauskommt, auch wenn es unspektakulär ist, und sagt bei jedem Werkzeug dazu, für wen es sich nicht lohnt.
