KI-Tools sind in vielen Unternehmen längst im Einsatz, oft schneller als die Datenschutzabteilung reagieren kann. Mitarbeitende kopieren Kundendaten in ChatGPT, laden Verträge in ein Sprachmodell hoch oder lassen ein KI-Tool interne Reports zusammenfassen, ohne sich zu fragen, was mit diesen Daten passiert. Das Ergebnis ist häufig sogenannte Schatten-KI, Tools, die niemand offiziell freigegeben hat, die aber trotzdem täglich genutzt werden. Dieser Artikel zeigt, wie ihr KI DSGVO-konform in eurem Alltag einsetzt, welche Daten tabu sind und welche technischen sowie organisatorischen Maßnahmen wirklich helfen.
Warum viele Unternehmen KI nutzen, ohne die DSGVO-Risiken zu kennen
Der erste Kontakt mit generativer KI passiert selten über die IT-Abteilung. Meist bringt ein einzelnes Teammitglied das Tool aus dem privaten Alltag mit und nutzt es eigenständig auch beruflich. Diese Eigeninitiative ist grundsätzlich positiv, birgt aber ein Risiko. Ohne klare Regeln landen sensible Informationen oft in Anwendungen, deren Datenverarbeitung niemand geprüft hat.
Die DSGVO gilt unabhängig davon, welches Tool verwendet wird. Wer personenbezogene Daten in eine kostenlose KI-Anwendung eingibt, ohne die Verarbeitung rechtlich abzusichern, riskiert Bußgelder, Reputationsschäden und im schlimmsten Fall den Verlust von Geschäftsgeheimnissen. Gleichzeitig zeigt die Praxis, ein komplettes Verbot führt selten zum Ziel, weil Mitarbeitende die Tools trotzdem nutzen, nur eben unkontrolliert und ohne jede Absicherung. Klare Leitplanken wirken deutlich besser als ein pauschales Verbot, weil sie Mitarbeitenden einen sicheren Rahmen geben, innerhalb dessen sie produktiv arbeiten können, statt sie in die unkontrollierte Schattennutzung zu drängen.
Seit der EU AI Act schrittweise in Kraft tritt, kommt eine zweite Ebene hinzu. Neben der DSGVO müssen Unternehmen künftig auch einordnen, in welche Risikokategorie ihr KI-Einsatz fällt. Für die meisten Anwendungsfälle im Büroalltag, etwa Textzusammenfassung oder Recherche, ist das Risiko gering. Trotzdem lohnt sich ein Blick auf die aktuellen Vorgaben, bevor neue Tools unternehmensweit ausgerollt werden, insbesondere wenn KI-Systeme Entscheidungen über Personen treffen oder vorbereiten, etwa bei Bewerbungen oder Kreditvergaben.
Welche Daten ihr niemals in ein KI-Tool eingeben solltet
Die wichtigste Regel ist einfach zu merken, aber schwer im Alltag durchzuhalten. Alles, was ihr nicht auf eine offene Pinnwand im Büro hängen würdet, gehört auch nicht in ein KI-Tool ohne vorherige Prüfung. Konkret zählen folgende Kategorien zu den größten Risiken.
Kundendaten wie Namen, Adressen, Vertragsnummern oder Bestelldetails zählen zu den personenbezogenen Daten und dürfen nur verarbeitet werden, wenn eine passende Rechtsgrundlage und ein Auftragsverarbeitungsvertrag mit dem KI-Anbieter vorliegen. Mitarbeiterdaten wie Gehaltsinformationen, Krankmeldungen oder Bewerbungsunterlagen unterliegen denselben strengen Regeln und verdienen im Zweifel eine noch vorsichtigere Handhabung, weil hier zusätzlich das Vertrauensverhältnis zwischen Unternehmen und Belegschaft auf dem Spiel steht.
Gesundheitsdaten gelten nach Artikel 9 DSGVO als besondere Kategorie personenbezogener Daten und erfordern zusätzliche Schutzmaßnahmen, die die meisten Standard-KI-Tools nicht erfüllen. Finanzdaten, Verträge und interne Kalkulationen zählen zwar nicht immer zu den personenbezogenen Daten im engeren Sinn, gefährden aber bei einem Datenleck unmittelbar die Wettbewerbsfähigkeit, etwa wenn Preiskalkulationen oder Vertragskonditionen an Dritte gelangen.
Quellcode und technische Dokumentationen werden häufig unterschätzt. Wer proprietären Code in ein KI-Tool zur Fehlersuche eingibt, das die Eingaben zu Trainingszwecken speichert, gibt im Zweifel Geschäftsgeheimnisse an einen Dritten weiter. Ein realistisches Beispiel: Ein Entwickler kopiert einen fehlerhaften Codeausschnitt inklusive interner API-Schlüssel in ein öffentliches KI-Tool, um Hilfe bei der Fehlersuche zu bekommen. Der Schlüssel ist damit potenziell außerhalb der eigenen Kontrolle und müsste im Idealfall sofort ausgetauscht werden, sobald der Vorfall auffällt.
Eine einfache Faustregel hilft im Arbeitsalltag. Bei jeder Eingabe kurz prüfen, ob die Information auch außerhalb des Unternehmens bekannt sein dürfte. Ist das nicht der Fall, gehört sie zunächst anonymisiert, in Teilen entfernt oder gar nicht in das Tool.
Wie ihr KI DSGVO-konform in eurem Unternehmen einsetzt
KI DSGVO-konform einzusetzen beginnt bei der Rechtsgrundlage, noch vor der Technik. Für jede Verarbeitung personenbezogener Daten braucht es eine Rechtsgrundlage nach Artikel 6 DSGVO, meist die berechtigten Interessen des Unternehmens oder die Einwilligung der betroffenen Person. Zusätzlich braucht jeder eingesetzte KI-Anbieter, der Daten im Auftrag verarbeitet, einen Auftragsverarbeitungsvertrag.
Für die Praxis bedeutet das, bevor ein Team ein neues KI-Tool nutzt, sollte klar sein, welche Datenkategorien verarbeitet werden, ob ein Auftragsverarbeitungsvertrag vorliegt und wer im Unternehmen die Freigabe erteilt. Diese drei Fragen lassen sich in wenigen Minuten klären und verhindern die meisten der später mühsam zu behebenden Probleme. Gerade in kleineren Teams hilft es, diese Prüfung als festen Schritt in den Onboarding-Prozess für neue Software aufzunehmen, statt sie dem Zufall zu überlassen.
Was bei der Auswahl von KI-Anbietern für die Datenverarbeitung zu beachten ist
Die KI Datenverarbeitung unterscheidet sich stark je nach Anbieter und Vertragsmodell. Consumer-Versionen wie die kostenlose Version von ChatGPT speichern Eingaben standardmäßig zu Trainingszwecken, sofern die Einstellung nicht aktiv deaktiviert wird. Enterprise- und API-Versionen bieten dagegen häufig Zero Data Retention an. Eingaben werden nach der Verarbeitung nicht gespeichert und fließen nicht in das Training zukünftiger Modelle ein.
Bei der Anbieterauswahl lohnt sich ein Blick auf folgende Punkte. Liegt ein Auftragsverarbeitungsvertrag vor? Wo werden die Daten verarbeitet, innerhalb oder außerhalb der EU? Gibt es Zertifizierungen wie ISO 27001 oder SOC 2? Lässt sich die Zero-Data-Retention-Option vertraglich absichern? Eine vendor-neutrale Bewertung hilft dabei, das passende Tool anhand der eigenen Infrastruktur, Compliance-Anforderungen und des Budgets auszuwählen, statt sich allein an der Bekanntheit eines Anbieters zu orientieren.
Für besonders sensible Bereiche kommen private Deployments oder lokal gehostete Modelle infrage. Diese Lösungen kosten mehr Aufwand in der Einrichtung, geben Unternehmen aber die volle Kontrolle über die eigene KI Datenverarbeitung. Für viele Mittelständler reicht allerdings bereits eine gut konfigurierte Enterprise-Lösung mit vertraglich abgesicherter Datenverarbeitung völlig aus, ein aufwendiges Self-Hosting lohnt sich meist erst ab einem bestimmten Datenvolumen oder bei besonders strengen Compliance-Vorgaben.
Im kostenlosen Erstgespräch klären wir gemeinsam, welche Schritte für euer Unternehmen sinnvoll sind.
Wie künstliche Intelligenz in Unternehmen sicher integriert wird
Technische Maßnahmen zur sicheren KI-Integration
Technisch lässt sich viel absichern, bevor überhaupt ein Mitarbeitender mit einem KI-Tool arbeitet. Rollenbasierte Zugriffsrechte stellen sicher, dass nur befugte Personen Zugang zu sensiblen Datenquellen haben. Protokollierung und Monitoring der Nutzung schaffen Nachvollziehbarkeit, falls es doch zu einem Vorfall kommt. Wo möglich, sollten Schnittstellen über die API statt über Copy-Paste im Browser-Tool laufen, weil sich API-Zugriffe granularer absichern und protokollieren lassen. Zusätzlich lohnt sich eine regelmäßige Überprüfung, welche Mitarbeitenden tatsächlich noch Zugriff auf welche KI-Tools benötigen, damit Berechtigungen nicht über Jahre unkontrolliert wachsen.
Organisatorische Maßnahmen und Schulung der Mitarbeitenden
Technik allein reicht nicht aus. Eine interne KI-Richtlinie legt fest, welche Tools erlaubt sind, welche Daten verarbeitet werden dürfen und wer neue Tools freigibt. Regelmäßige Schulungen sorgen dafür, dass diese Regeln im Alltag auch ankommen und nicht nur im Intranet stehen. Ein schrittweiser Rollout, beginnend mit einem Pilotteam, hilft dabei, die Richtlinie vor der unternehmensweiten Einführung in der Praxis zu testen und anzupassen.
Wenn künstliche Intelligenz in Unternehmen auf diese Weise eingeführt wird, mit klaren technischen Leitplanken und einer gelebten Richtlinie, sinkt das Risiko von Datenpannen erheblich, ohne dass die Produktivität darunter leidet. Entscheidend ist, dass Geschäftsführung, IT und Fachbereiche die Richtlinie gemeinsam tragen, statt sie als reine IT-Vorgabe zu behandeln, die im Tagesgeschäft schnell wieder in Vergessenheit gerät.
Was KI Compliance in der Praxis konkret bedeutet
KI Compliance lässt sich auf eine kurze Checkliste herunterbrechen, die sich in den meisten Unternehmen innerhalb weniger Wochen umsetzen lässt.
KI Compliance lässt sich auf eine kurze Checkliste herunterbrechen, die sich in den meisten Unternehmen innerhalb weniger Wochen umsetzen lässt. Entscheidend ist dabei weniger die Anzahl der Punkte als die Reihenfolge: Wer zuerst die vertragliche Absicherung klärt und erst danach über Tools und Schulungen entscheidet, spart sich im Nachhinein aufwendige Korrekturen.
In der Praxis scheitert KI Compliance selten an einem einzelnen fehlenden Punkt, sondern daran, dass technische und organisatorische Maßnahmen getrennt voneinander gedacht werden. Ein Unternehmen mit sauberen Zugriffsrechten, aber ohne interne Richtlinie, ist genauso angreifbar wie eines mit einer Richtlinie, die niemand kennt. Die folgende Checkliste bringt beide Ebenen zusammen und lässt sich direkt als Ausgangspunkt für die eigene Umsetzung nutzen.
Diese Checkliste ersetzt keine individuelle Rechtsberatung, gibt aber die Richtung vor, in der sich die meisten KI Compliance Fragen im Unternehmensalltag klären lassen.
Häufige Fragen zum datensicheren Einsatz von KI im Unternehmen
-
Dürfen wir ChatGPT im Unternehmen nutzen, ohne gegen die DSGVO zu verstoßen?
Ja, sofern ihr die Enterprise- oder API-Version mit einem gültigen Auftragsverarbeitungsvertrag nutzt und keine sensiblen Daten ohne Rechtsgrundlage eingebt. Die kostenlose Consumer-Version eignet sich dafür in der Regel nicht, da hier weder ein Auftragsverarbeitungsvertrag noch eine Zero-Data-Retention-Option zur Verfügung steht.
-
Welche Daten dürfen wir überhaupt an KI-Systeme übergeben?
Unkritische, bereits öffentlich zugängliche oder vollständig anonymisierte Informationen lassen sich meist bedenkenlos verwenden. Personenbezogene Daten, Gesundheitsdaten und Geschäftsgeheimnisse benötigen zusätzliche vertragliche und technische Absicherung, bevor sie in ein KI-Tool eingegeben werden dürfen.
-
Was unterscheidet KI Compliance von klassischem Datenschutz?
KI Compliance umfasst zusätzlich Fragen zur Modellarchitektur, zur Trainingsdatenverwendung und zur Nachvollziehbarkeit von KI-Entscheidungen, die im klassischen Datenschutz in dieser Form nicht vorkommen.
-
Wie integrieren wir künstliche Intelligenz in unserem Unternehmen sicher?
Über eine Kombination aus technischen Maßnahmen wie Zugriffsrechten und Monitoring sowie organisatorischen Maßnahmen wie einer internen KI-Richtlinie und regelmäßigen Schulungen. Ein schrittweiser Rollout mit einem Pilotteam senkt zusätzlich das Risiko.
-
Was passiert bei einem DSGVO-Verstoß durch den Einsatz von KI im Unternehmen?
Die Datenschutzbehörde kann Bußgelder verhängen, die sich am weltweiten Jahresumsatz orientieren. Zusätzlich drohen Reputationsschäden und der Verlust des Kundenvertrauens, der sich oft schwerer beheben lässt als das Bußgeld selbst.
-
Reicht eine allgemeine IT-Richtlinie aus, oder brauchen wir eine eigene KI-Richtlinie?
Eine eigene KI-Richtlinie ist sinnvoll, weil generative KI-Tools andere Risiken mit sich bringen als klassische Software, etwa die Speicherung von Eingaben zu Trainingszwecken oder die Weitergabe von Daten an Subunternehmer des Anbieters.
Datensicherer Einsatz von KI ist eine laufende Aufgabe. Sie beginnt mit der Rechtsgrundlage, setzt sich über die Anbieterauswahl fort und mündet in einer gelebten Richtlinie. Unternehmen, die diese drei Ebenen früh zusammen denken, sparen sich spätere Aufräumarbeiten und können die Vorteile von KI nutzen, ohne bei jeder neuen Anwendung wieder bei null anzufangen.
Ihr wollt KI in eurem Unternehmen datensicher einsetzen, wisst aber nicht, wo ihr anfangen sollt?
Ihr wollt KI in eurem Unternehmen datensicher einsetzen, wisst aber nicht, wo ihr anfangen sollt?
