KI-Schulungspflicht: Es gibt sie so nicht
Fast jeder Text zum Thema spricht von einer Pflicht und von Bußgeldern. Der Wortlaut gibt das nicht her. Was er stattdessen verlangt, ist weniger dramatisch und praktisch anspruchsvoller.
Weiterlesen →DSGVO-konforme KI & EU AI Act
Künstliche Intelligenz im Unternehmen einsetzen, ohne den Datenschutz zu umgehen und ohne das Thema auf später zu verschieben.
Warum die Frage fast immer falsch gestellt wird
„Ist diese KI DSGVO-konform?" ist die Frage, die uns am häufigsten gestellt wird, und sie lässt sich so nicht beantworten. Konform oder nicht konform ist kein Merkmal eines Modells. Dasselbe Modell kann in der einen Variante rechtmäßig eingesetzt werden und in der anderen nicht.
Der Unterschied liegt nicht in der Technik, sondern im Vertrag und in der Konfiguration: Gibt es einen Auftragsverarbeitungsvertrag? In welcher Region wird verarbeitet? Werden Eingaben zum Training verwendet? Wie lange bleiben sie gespeichert? Wer diese vier Fragen beantworten kann, hat die Antwort, unabhängig davon, welches Modell darunter läuft.
Das ist eine gute Nachricht: Es bedeutet, dass Datenschutz kein Ausschlusskriterium für KI ist, sondern eine Reihe von Entscheidungen, die man am Anfang trifft. Nachträglich ist es deutlich teurer. Dann müssen Datenflüsse zurückgebaut werden, die bereits laufen.
Bei Berufsgeheimnisträgern kommt zur DSGVO noch das Berufsrecht hinzu, und das setzt engere Grenzen. Was § 43e der Bundesrechtsanwaltsordnung für die Wahl eines Dienstleisters bedeutet, haben wir auf der Seite für Karlsruhe ausgeführt, wo die Dichte an Kanzleien diese Frage am häufigsten aufwirft.
Das hier ist keine Rechtsberatung
Wir sind Umsetzer, keine Kanzlei. Diese Seite beschreibt, wie KI-Anwendungen technisch gebaut werden, damit sie datenschutzrechtlich prüfbar sind: die Prüfung selbst und die rechtliche Bewertung Ihres Einzelfalls gehören zu Ihrer Datenschutzbeauftragten oder zu einer Anwältin. Was wir liefern, ist die technische Beschreibung, auf der diese Bewertung aufsetzen kann.
Die Artikel, die auf dieser Seite genannt werden, sollen zeigen, woran eine Prüfung ansetzt und was daraus technisch folgt. Ob eine Vorschrift in Ihrem Fall erfüllt ist, steht hier ausdrücklich nicht.
Woran es tatsächlich hängt
Sechs Punkte, die wir in jedem KI-Projekt klären, bevor die erste Zeile Code entsteht.
Auftragsverarbeitungsvertrag
Wer ein Sprachmodell über eine Schnittstelle nutzt, gibt Daten an einen Dienstleister. Dafür braucht es einen Vertrag nach Artikel 28 DSGVO, und dieser Artikel schreibt auch vor, was darin geregelt sein muss. OpenAI und Anthropic bieten solche Verträge für Geschäftskunden an, die kostenlosen Endkundenoberflächen derselben Anbieter nicht. Das ist der Unterschied, an dem die meisten Prüfungen hängen.
Verarbeitungsregion festlegen
Bei Microsoft Azure und AWS lässt sich bestimmen, in welcher Region verarbeitet wird. Eine EU-Region erspart die Prüfung nach Kapitel V der DSGVO (Artikel 44 bis 49), unter welchen Voraussetzungen eine Übermittlung in Drittländer zulässig wäre. Das ist keine Voreinstellung: Es muss beim Aufsetzen entschieden und dokumentiert werden.
Training ausschließen, Speicherdauer begrenzen
In den Geschäftskundenverträgen lässt sich vereinbaren, dass Eingaben nicht zum Training verwendet werden, und wie lange sie überhaupt gespeichert bleiben. Beides sind Vertrags- und Konfigurationsentscheidungen, keine Eigenschaften des Modells.
Protokollieren, was das System tut
Welche Anfrage ist eingegangen, welche Daten wurden dabei übermittelt, welche Antwort kam zurück. Das braucht man für Auskunftsersuchen nach Artikel 15, für die Löschpflicht nach Artikel 17, als Teil der technischen Maßnahmen nach Artikel 32 und für die Transparenzpflichten des EU AI Act. Im Alltag vor allem, um Fehler nachvollziehen zu können.
Datensparsamkeit im Ablauf selbst
Der wirksamste Schritt liegt vor allen Verträgen: Daten, die gar nicht erst übermittelt werden, müssen auch nicht abgesichert werden. Das ist der Grundsatz der Datenminimierung aus Artikel 5 Absatz 1 Buchstabe c. Für viele Anwendungsfälle genügt ein Auszug ohne Namen und Kontaktdaten. Wo das reicht, ist es die einfachere Lösung. Besondere Kategorien nach Artikel 9, etwa Gesundheits- oder Gewerkschaftsdaten, gehören ohne gesonderte Prüfung gar nicht in eine Schnittstelle.
Einordnung nach dem EU AI Act
Die KI-Verordnung ordnet Anwendungen nach Risiko ein. Die meisten betrieblichen Fälle liegen in den niedrigen Kategorien, deren Transparenzpflichten in Artikel 50 der KI-Verordnung stehen: Wer mit einem System spricht, muss das erfahren. Aufwendiger wird es, wenn ein System über Menschen entscheidet, also bei Personalauswahl, Bonität oder Zugang zu Leistungen. Dort greifen zusätzlich Artikel 22 DSGVO für automatisierte Entscheidungen und regelmäßig eine Folgenabschätzung nach Artikel 35. Wir liefern dazu die technische Beschreibung, die eine rechtliche Einordnung erst möglich macht.
Das größere Risiko ist meist ein anderes
Wer den Einsatz von KI im Unternehmen aufschiebt, verhindert ihn nicht. Er verlagert ihn nur dorthin, wo niemand hinsieht. Mitarbeitende, die eine Aufgabe schneller erledigen wollen, öffnen eine frei zugängliche Oberfläche und fügen dort ein, was gerade anliegt: einen Vertragsentwurf, eine Kundenmail, eine Liste mit Namen.
Das ist der Fall, den niemand geplant hat und den niemand dokumentiert: kein Auftragsverarbeitungsvertrag, keine bekannte Region, keine Protokollierung, kein Wissen darüber, welche Daten das Haus verlassen haben. Ein Verbot ändert daran erfahrungsgemäß wenig, solange es keinen erlaubten Weg gibt, der genauso bequem ist.
Deshalb ist der geordnete Einstieg in aller Regel der sicherere: ein Zugang, der vertraglich geklärt ist, in einer bekannten Region läuft und protokolliert wird und der gut genug ist, dass ihn die Leute freiwillig benutzen. Warum auch unregulierte Werkzeuge unter gesetzliche Vorgaben fallen, zeigt der Beitrag zur KI-Schulungspflicht nach Art. 4 KI-Verordnung.
KI datenschutzkonform einführen
Sagen Sie uns, wo Sie stehen, wir sagen Ihnen, welche Punkte in Ihrem Fall zu klären sind.
💡 Kostenlose Erstberatung & unverbindliche Angebotsanfrage
1
2
3
Wählen Sie eine Kategorie
Bestehende KI-Nutzung prüfen
Sie setzen bereits KI ein und möchten wissen, wo die offenen Punkte liegen.
KI geordnet einführen
Sie möchten von vornherein einen Weg, der vertraglich und technisch geklärt ist.
Einordnung nach EU AI Act
Sie brauchen die technische Beschreibung Ihres Systems für die rechtliche Bewertung.
Sonstiges
Ein anderes Anliegen, das nicht in die genannten Kategorien passt
Was es kostet und wie lange es dauert
Damit Sie einordnen können, ob wir zusammenpassen, bevor Sie anfragen.
ab 2.500 €
zzgl. USt.
Gilt für ein KI-Projekt einschließlich der hier beschriebenen Klärungen. Eine reine Bestandsaufnahme bestehender KI-Nutzung ist deutlich kleiner. Dafür lohnt sich ein kurzes Gespräch statt eines Angebots von der Stange.
4–8 Wochen
typische Projektdauer
Für einen abgegrenzten Anwendungsfall von der Datensichtung bis zum produktiven Einsatz. Die Klärung von Verträgen und Region liegt am Anfang, nicht am Ende.
OpenAI- und Anthropic-APIs, Azure, AWS
eingesetzte Werkzeuge
Alle drei erlauben eine vertragliche Regelung und die Festlegung der Verarbeitungsregion. Genau daran entscheidet es sich, nicht am Modell.
Datenschutz und KI in der Praxis
Drei Beiträge zu den rechtlichen Kernfragen: was Art. 4 der KI-Verordnung verlangt, was der erweiterte Chat-Datenschutz in WhatsApp wirklich bewirkt und warum Werbung in ChatGPT im EWR ohne Personalisierung ausgespielt wird.
Erweiterter Chat-Datenschutz WhatsApp: was er wirklich tut
Ein Kettenbrief warnt, Meta-KI lese WhatsApp-Chats mit. Was an der neuen Funktion echt ist und was ein Betrieb daraus für Kundenkommunikation und eigene KI-Nutzung ableiten sollte.
Weiterlesen →Werbung in ChatGPT und Datenschutz: was im EWR anders ist
Im EWR läuft Werbung in ChatGPT ohne Personalisierung. Wer hier eine Kampagne plant, muss das wissen, und in den meisten deutschsprachigen Beiträgen zum Thema steht es nicht.
Weiterlesen →
Aimani Support