Morgen, am 28. Januar, ist Europäischer Datenschutztag. Kaum ein Thema beschäftigt Unternehmen in diesem Jahr dabei so sehr wie künstliche Intelligenz. Texte entwerfen, E-Mails zusammenfassen, Protokolle schreiben, Daten auswerten: KI-Werkzeuge sind in vielen Büros längst im Einsatz, oft schneller, als die Geschäftsleitung es mitbekommen hat. Höchste Zeit, sich die Frage zu stellen, wie KI und Datenschutz im Unternehmen zusammenpassen. Die gute Nachricht: Es geht, wenn man ein paar Regeln beachtet.
Warum KI ein Datenschutzthema ist
Die DSGVO gilt immer dann, wenn personenbezogene Daten verarbeitet werden. Und das passiert bei KI-Nutzung schneller, als man denkt:
- Eine Mitarbeiterin lässt sich eine Kundenbeschwerde zusammenfassen und kopiert dafür die E-Mail mit Namen und Adresse in den Chat.
- Ein Kollege lässt ein Bewerbungsanschreiben bewerten.
- Das Protokoll einer Teambesprechung mit Gesundheitsthemen wird per KI aufbereitet.
- Eine Kundenliste wird hochgeladen, um eine Auswertung zu erstellen.
In all diesen Fällen landen personenbezogene Daten bei einem externen Anbieter, oft außerhalb der EU, und je nach Einstellung werden sie zum Training des Modells verwendet. Ob das zulässig ist, hängt vom Anbieter, vom Vertrag, von den Einstellungen und vor allem vom Inhalt ab.
KI und Datenschutz im Unternehmen: Die wichtigsten Fragen
Gibt es eine Rechtsgrundlage?
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Artikel 6 DSGVO. Für besondere Kategorien wie Gesundheitsdaten gelten noch strengere Regeln. Ein „Wir wollten nur schnell eine Zusammenfassung“ reicht nicht.
Wer ist der Anbieter und wo stehen die Server?
Bei der Nutzung eines KI-Dienstes wird der Anbieter in der Regel zum Auftragsverarbeiter. Dann brauchen Sie einen Vertrag zur Auftragsverarbeitung. Bei Anbietern außerhalb der EU muss zusätzlich die Datenübermittlung abgesichert sein. Kostenlose Privatversionen bieten das meist nicht, Business-Versionen häufig schon.
Werden die Daten zum Training verwendet?
Viele Dienste nutzen Eingaben standardmäßig, um ihre Modelle weiterzuentwickeln. In Business-Tarifen lässt sich das in der Regel abschalten oder ist von vornherein ausgeschlossen. Prüfen Sie das in den Vertragsbedingungen, nicht nur in der Werbung.
Werden Menschen durch KI bewertet?
Wenn KI Entscheidungen über Menschen vorbereitet oder trifft, etwa bei Bewerbungen, wird es heikel. Die DSGVO setzt automatisierten Einzelentscheidungen enge Grenzen, und häufig ist eine Datenschutz-Folgenabschätzung nötig.
Hilfreiche Orientierung
Die Datenschutzkonferenz, das Gremium der deutschen Datenschutzaufsichtsbehörden, hat im Mai 2024 eine Orientierungshilfe zu künstlicher Intelligenz und Datenschutz veröffentlicht. Sie richtet sich an Unternehmen, die KI-Anwendungen einsetzen, und ist ein guter Ausgangspunkt. Darüber hinaus ist seit August 2024 die europäische KI-Verordnung in Kraft. Sie gilt schrittweise: Ab dem 2. Februar 2025, also in wenigen Tagen, greifen die ersten Regeln, darunter Verbote bestimmter KI-Praktiken und die Pflicht, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen. Die DSGVO bleibt daneben vollständig anwendbar.
Was erlaubt ist und was nicht: Eine Faustregel
| Ampel | Beispiele |
|---|---|
| Grün: in der Regel unproblematisch | Allgemeine Texte ohne Personenbezug, Ideen sammeln, Formulierungshilfe, Code-Beispiele ohne Kundendaten |
| Gelb: nur mit freigegebenem Werkzeug und Regeln | Interne Dokumente, anonymisierte oder pseudonymisierte Daten, Zusammenfassungen von Besprechungen |
| Rot: nicht ohne gründliche Prüfung | Gesundheitsdaten, Bewerbungen, Personalakten, Kundendaten im Klartext, Geschäftsgeheimnisse |
Drei Situationen aus dem Büroalltag
Die Antwort auf eine Kundenbeschwerde
Statt die komplette E-Mail mit Namen, Kundennummer und Adresse in den Chat zu kopieren, beschreiben Sie den Sachverhalt neutral: „Ein Kunde beschwert sich über eine verspätete Lieferung und verlangt eine Gutschrift. Formuliere eine freundliche Antwort.“ Das Ergebnis ist genauso brauchbar, und es fließen keine personenbezogenen Daten ab.
Das Protokoll der Teambesprechung
Transkriptions- und Zusammenfassungsfunktionen sind praktisch. Informieren Sie aber alle Teilnehmenden vorher, nutzen Sie nur ein freigegebenes Werkzeug und lassen Sie vertrauliche Themen wie Krankheit oder Personalfragen außen vor.
Die Auswertung der Kundendatei
Hier ist Vorsicht geboten. Wenn überhaupt, dann nur mit einem Werkzeug, für das ein Vertrag zur Auftragsverarbeitung besteht, und am besten mit pseudonymisierten Daten, bei denen Namen durch Nummern ersetzt sind.
Checkliste: Ihre KI-Richtlinie in zehn Punkten
- Welche KI-Werkzeuge sind im Betrieb freigegeben, welche nicht?
- Wer entscheidet über neue Werkzeuge?
- Werden nur Business-Konten genutzt, keine privaten Zugänge?
- Liegt ein Vertrag zur Auftragsverarbeitung vor?
- Ist die Nutzung der Eingaben zum Training ausgeschlossen?
- Welche Daten dürfen eingegeben werden, welche auf keinen Fall?
- Werden KI-Ergebnisse vor der Verwendung von Menschen geprüft?
- Ist die KI-Nutzung im Verzeichnis der Verarbeitungstätigkeiten erfasst?
- Sind die Beschäftigten geschult?
- Wurde der Betriebsrat beteiligt, falls vorhanden?
Der letzte Punkt wird gerne übersehen: Wenn ein Werkzeug geeignet ist, Verhalten oder Leistung der Beschäftigten zu überwachen, hat ein Betriebsrat ein Mitbestimmungsrecht. Bei vielen KI-Diensten mit Protokollierung ist das der Fall.
Verbieten ist keine Lösung
Manche Unternehmen reagieren auf die Unsicherheit mit einem Komplettverbot. Unsere Erfahrung: Das funktioniert selten. Die Werkzeuge sind zu nützlich, und wer sie im Betrieb nicht nutzen darf, nimmt dann eben das private Handy. Damit ist niemandem geholfen, am wenigsten dem Datenschutz. Besser ist es, ein oder zwei geprüfte Werkzeuge bereitzustellen, klare Regeln aufzuschreiben und das Team zu schulen. So wird aus einer Grauzone ein geordneter Prozess.
Wir helfen Ihnen gerne
Sie möchten KI im Betrieb nutzen, aber sicher? Das Datenschutz-Team der Mittelstandsoptimierer prüft die Werkzeuge, die Sie einsetzen wollen, erstellt Ihre KI-Richtlinie, ergänzt Ihr Verzeichnis der Verarbeitungstätigkeiten und schult Ihr Team. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
