KI datenschutzkonform nutzen: So wählen Sie den richtigen Anbieter
5 Min. Lesezeit
Kurz beantwortet
Für eine datenschutzkonforme KI-Nutzung prüfen Sie vor allem fünf Punkte: einen Vertrag zur Auftragsverarbeitung, den Ort der Datenverarbeitung, den Ausschluss Ihrer Daten vom Training, Speicherdauer und Löschung sowie die Absicherung des Zugangs. Europäische Anbieter oder EU-Rechenzentren großer Anbieter machen vieles einfacher. Sehr sensible Daten lassen sich auch auf eigenen Servern verarbeiten.
Was bedeutet das für Ihr Unternehmen? Erstgespräch vereinbaren
Datenschutz ist bei KI-Projekten eine berechtigte Sorge, aber selten ein Grund, darauf zu verzichten. Mit den richtigen Fragen an den Anbieter und einigen klaren Regeln lässt sich KI in den meisten Fällen datenschutzkonform einsetzen. Wichtig ist, die Prüfung früh zu machen, nicht erst kurz vor dem Start.
Welche Fragen sollten Sie jedem Anbieter stellen?
- Gibt es einen Vertrag zur Auftragsverarbeitung? Sobald personenbezogene Daten verarbeitet werden, ist er in der Regel Pflicht (Art. 28 DSGVO). Geschäftsangebote bieten ihn an, kostenlose Privatkonten meist nicht.
- Wo werden die Daten verarbeitet? In der EU ist es am einfachsten. Bei Übermittlungen in andere Länder gelten zusätzliche Anforderungen (Art. 44 ff. DSGVO).
- Werden meine Daten zum Training verwendet? Das sollte vertraglich ausgeschlossen sein.
- Wie lange werden Eingaben gespeichert? Klare Fristen und die Möglichkeit, Daten zu löschen, gehören dazu.
- Wie ist der Zugang gesichert? Anmeldung mit zweitem Faktor, Rollen und Rechte, Protokollierung von Zugriffen.
US-Anbieter oder europäischer Anbieter?
Die Frage wird oft grundsätzlich diskutiert. Pragmatisch betrachtet: Große US-Anbieter bieten für Geschäftskunden inzwischen Verträge, Verarbeitung in der EU und den Ausschluss vom Training an. Für die USA gibt es zudem einen Angemessenheitsbeschluss, das EU-US Data Privacy Framework, dessen Bestand allerdings umstritten ist. Ein Restrisiko bleibt, weil US-Behörden unter Umständen auch auf Daten in europäischen Rechenzentren zugreifen können.
Europäische Modellanbieter und deutsche Rechenzentren, die offene Modelle bereitstellen, vermeiden diese Frage. Die Qualität reicht für viele typische Aufgaben gut aus. Meine Empfehlung: Je sensibler die Daten, desto stärker spricht alles für eine europäische Lösung. Für allgemeine Texte ohne Personenbezug ist die Wahl weniger kritisch.
Wann brauchen Sie eine Datenschutz-Folgenabschätzung?
Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen bedeutet (Art. 35 DSGVO). Bei KI kann das der Fall sein, wenn Mitarbeitende systematisch bewertet, besondere Kategorien wie Gesundheitsdaten verarbeitet oder Entscheidungen über Menschen vorbereitet werden. Für das Auslesen von Rechnungen oder das Sortieren von E-Mails ist sie meist nicht nötig. Beziehen Sie Ihren Datenschutzbeauftragten früh ein.
Welche Daten gehören nicht in KI-Werkzeuge?
Ohne passende Absicherung gehören Gesundheitsdaten, Personalakten, Geschäftsgeheimnisse und vertrauliche Verträge nicht in frei verfügbare Werkzeuge. Klare Regeln für Ihr Team stehen im Beitrag ChatGPT im Unternehmen.
Und wenn die Daten das Haus nicht verlassen sollen?
Dann können offene Modelle auf eigenen Servern oder bei einem deutschen Hoster laufen. Das kostet mehr, gibt Ihnen aber volle Kontrolle. Der Beitrag Brauchen wir ein eigenes KI-Modell? erklärt den Unterschied zwischen eigenem Betrieb und eigenem Training. Welche Pflichten der EU AI Act zusätzlich mitbringt, steht im Beitrag EU AI Act im Mittelstand.
Julius Launhardt bringt KI datenschutzbewusst in mittelständische Unternehmen, bevorzugt mit europäischen Anbietern und mit Augenmaß. Eine Rechtsberatung ersetzt das nicht. Mehr dazu auf der Seite zu IT-, Daten- und KI-Sicherheit.
Häufige Fragen
Darf ich US-Anbieter wie OpenAI oder Microsoft nutzen?
Grundsätzlich ja, wenn Vertrag, Rechtsgrundlage und Übermittlung geregelt sind. Für die USA gibt es derzeit einen Angemessenheitsbeschluss der EU-Kommission. Viele Geschäftsangebote bieten zudem Datenverarbeitung in der EU an.
Brauche ich eine Datenschutz-Folgenabschätzung?
Nicht für jede KI-Nutzung. Nötig ist sie, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt, etwa bei der systematischen Bewertung von Mitarbeitenden. Ihr Datenschutzbeauftragter kann das einschätzen.
Reicht es, Namen vor der Eingabe zu entfernen?
Das hilft und ist eine gute Gewohnheit. Oft lassen sich Personen aber auch ohne Namen erkennen, etwa über Kundennummern oder Details aus dem Text. Pseudonymisierte Daten bleiben personenbezogene Daten.
Sind europäische KI-Modelle schlechter?
Der Abstand ist in den letzten Jahren deutlich kleiner geworden. Für viele typische Aufgaben im Mittelstand, etwa Dokumente auslesen oder E-Mails sortieren, reichen europäische und offene Modelle gut aus. Testen Sie mit Ihren eigenen Beispielen.