DSGVO & Vertrauen

DSGVO-konforme KI

DSGVO-konforme KI heißt: KI-Werkzeuge so auswählen und einsetzen, dass personenbezogene Daten nur mit Rechtsgrundlage, Vertrag (AVV) und Kontrolle über Speicherort und Training verarbeitet werden. Das ist keine Tool-Eigenschaft, sondern das Ergebnis aus Anbieterwahl und Arbeitsregeln.

Das Wichtigste in Kürze

Kein Tool ist „an sich" DSGVO-konform — es kommt auf Vertrag (AVV), Konfiguration und eure Nutzungsregeln an. Es gibt aber Anbieter wie anymize.ai die diese Themen für euch gelöst haben.
Kernfragen: Wo werden Daten verarbeitet? Trainiert der Anbieter damit? Gibt es einen AVV nach Art. 28?
Business-Versionen großer Anbieter schließen Training mit euren Daten typischerweise aus — Gratis-Accounts oft nicht
Verstoß-Rahmen der DSGVO: bis 20 Mio. € oder 4 % des Weltumsatzes

Was ist das?

Die DSGVO verbietet KI nicht — sie stellt dieselben Fragen wie an jede Software, die personenbezogene Daten verarbeitet: Wozu (Zweck und Rechtsgrundlage)? Wer (Verantwortlicher, Auftragsverarbeiter, AVV nach Art. 28)? Wo (EU-Verarbeitung oder Drittlandtransfer mit Garantien)? Wie lange (Löschung)? Und bei riskanten Einsätzen: Braucht es eine Datenschutz-Folgenabschätzung?

Bei KI kommen zwei Besonderheiten dazu. Erstens das Training: Manche Anbieter verwenden Eingaben zur Modellverbesserung — für Firmendaten muss das vertraglich ausgeschlossen oder abgeschaltet sein; Business-Tarife der großen Anbieter tun genau das. Zweitens die Eingabe-Disziplin: Das beste Vertragswerk hilft nichts, wenn Beschäftigte Kundendaten in private Gratis-Accounts kopieren — deshalb gehören Nutzungsregeln und Schulung zwingend dazu.

Je nach Schutzbedarf gibt es Abstufungen: europäische Anbieter oder EU-Rechenzentren, Anonymisierung vor der Eingabe, bis hin zu lokal betriebenen Modellen (On-Premise), bei denen keine Daten das Haus verlassen. Fürs Anonymisieren setzen wir auf die Plattform unseres Partners anymize: Sie entfernt personenbezogene Daten automatisch aus den Eingaben, bevor sie ein KI-Modell erreichen — so bleibt auch die Arbeit mit Kundendokumenten DSGVO-sauber.

Was bringt das eurem Betrieb?

DSGVO-Konformität ist im Mittelstand kein Bremsklotz, sondern die Bedingung, unter der ihr KI überhaupt auf echte Arbeitsdaten loslassen könnt — und erst dort entsteht der Nutzen. Ein sauber aufgesetzter Rahmen (freigegebene Tools, AVV, klare Eingaberegeln) beendet zudem die Grauzone der Schatten-KI: Das Team bekommt einen erlaubten, leistungsfähigen Weg und muss nicht heimlich improvisieren.

Was kostet das?

Die Rahmen-Arbeit ist überschaubar: Tool-Bewertung und AVV-Prüfung zusammen mit eurem Datenschutzbeauftragten (wenige Stunden je Tool), Business-Tarife statt Gratis-Accounts (typisch zweistelliger Euro-Betrag pro Nutzer und Monat), eine kurze Nutzungsrichtlinie. Individuelle KI-Systeme bauen wir bei AI READY von vornherein DSGVO-konform — auf euren Systemen, ohne Weitergabe an Dritte, zum Festpreis ab 3.500 €. Keine Rechtsberatung: Die Einzelfallprüfung gehört zu eurem Datenschutzbeauftragten.

Beispiel aus dem Mittelstand

Ein Versicherungsmakler mit 30 Mitarbeitenden will Kundenkorrespondenz mit KI vorformulieren. Weg zur Konformität: Business-Tarif mit AVV und abgeschaltetem Training, EU-Datenregion, Regel „keine Gesundheitsdaten in Freitext-Eingaben", zweistündige Team-Einweisung. Für die Bestandsanalyse mit sensiblen Daten fiel die Entscheidung dagegen auf ein lokal betriebenes System — die Daten bleiben im Haus.

Häufige Fragen

Darf ich Kundendaten in ChatGPT eingeben?

In einen privaten Gratis-Account: nein — dort fehlen Auftragsverarbeitungsvertrag und Trainings-Ausschluss. In einer Business-Umgebung mit AVV, deaktiviertem Training und passender Rechtsgrundlage kann es zulässig sein; die Freigabe sollte euer Datenschutzbeauftragter erteilen, nicht das Bauchgefühl.

Welche Daten dürfen niemals in KI-Tools?

Ohne besonderen Schutzrahmen tabu sind besondere Kategorien nach Art. 9 DSGVO (Gesundheit, Religion, politische Meinung …), außerdem Geschäftsgeheimnisse und alles, was Vertraulichkeitsvereinbarungen unterliegt. Faustregel fürs Team: Was ihr nicht an einen externen Dienstleister mailen würdet, gehört auch nicht in ein ungeprüftes KI-Tool.

Ist eine lokale KI automatisch DSGVO-konform?

Sie löst das Übermittlungsproblem — Daten verlassen das Haus nicht — aber nicht automatisch alles andere: Zweckbindung, Zugriffsrechte und Löschfristen gelten auch intern. Lokal ist ein sehr wirksamer Baustein für sensible Daten, ersetzt aber die Grundordnung nicht.

Gibt es KI-Plattformen, die automatisch DSGVO-konform sind?

Die Einhaltung der DSGVO wird von unserem Partner anymize.ai für euch übernommen!