KI und Datenschutz: DSGVO-konforme KI-Nutzung im Unternehmen

Der EU AI Act tritt stufenweise in Kraft, die DSGVO gilt unverändert – und Ihre Mitarbeiter nutzen vermutlich bereits KI-Tools. Zeit, Ordnung zu schaffen.

Die rechtliche Lage 2026

DSGVO und KI

• Art. 22 DSGVO: Automatisierte Einzelentscheidungen erfordern menschliche Überprüfung
• Art. 13/14 DSGVO: Transparenzpflicht – Betroffene müssen über KI-Einsatz informiert werden
• Art. 35 DSGVO: Datenschutz-Folgenabschätzung bei risikoreicher KI-Verarbeitung

EU AI Act – Was betrifft KMU?

• Hochrisiko-KI: Strenge Anforderungen für KI in HR, Kreditvergabe, Gesundheit
• Allgemeine KI: Transparenzpflichten bei KI-generierten Inhalten
• Verbotene KI: Social Scoring, biometrische Massenüberwachung

Das Problem mit Cloud-KI-Diensten

Wenn Mitarbeiter ChatGPT, Google Gemini oder Claude nutzen:

1. Datenabfluss: Jede Eingabe wird an US-Server gesendet
2. Training: Ihre Daten könnten für Modelltraining verwendet werden
3. Kein Löschrecht: Einmal gesendet, schwer zurückzuholen
4. Compliance-Verstoß: Branchenspezifische Regulierungen (BaFin, Berufsgeheimnis)

Reale Risiken

• Samsung-Mitarbeiter luden vertraulichen Quellcode in ChatGPT hoch
• Anwälte zitierten KI-erfundene Gerichtsurteile
• Patientendaten in KI-Chatbots eingegeben

Lösungsansätze

Option 1: KI-Richtlinie erstellen

• Definieren, welche Daten in Cloud-KI eingegeben werden dürfen
• Schulung aller Mitarbeiter
• Regelmäßige Kontrolle

Option 2: Enterprise-KI mit Datenschutz-Vereinbarung

• Microsoft 365 Copilot (Daten bleiben im M365-Tenant)
• Azure OpenAI Service (eigene Instanz)
• Auftragsverarbeitungsvertrag (AVV) abschließen

Option 3: Lokale KI-Installation (empfohlen)

• Kein Datenabfluss – alles bleibt im eigenen Netzwerk
• Volle Kontrolle – Sie bestimmen Modell, Updates und Zugriff
• DSGVO-konform by Design – keine Datenübertragung an Dritte
• Keine laufenden Lizenzkosten – einmalige Investition

Checkliste: KI DSGVO-konform einführen

• Bestandsaufnahme: Welche KI-Tools werden bereits genutzt?
• Risikobewertung: Welche Daten fließen in KI-Systeme?
• KI-Richtlinie erstellen und kommunizieren
• Datenschutz-Folgenabschätzung durchführen
• Verarbeitungsverzeichnis aktualisieren
• Mitarbeiter schulen
• Lokale Alternative evaluieren
• Regelmäßige Überprüfung einplanen

Fazit

KI-Nutzung und Datenschutz schließen sich nicht aus – aber Sie brauchen eine klare Strategie. Für Unternehmen mit sensiblen Daten ist eine lokale KI-Installation die sicherste und langfristig günstigste Lösung.

---

Wir beraten Sie zur DSGVO-konformen KI-Einführung – von der Richtlinie bis zur lokalen Installation.