DSGVO / Datenschutz (bei KI)
Datenschutz-Anforderungen beim Einsatz von KI-Systemen.
Erklärung
Die DSGVO stellt klare Anforderungen an den Umgang mit personenbezogenen Daten in KI-Systemen. Unternehmen müssen sicherstellen, dass KI-Anwendungen datenschutzkonform arbeiten.
So funktioniert's
Vor dem KI-Einsatz wird geprüft: Welche Daten werden verarbeitet? Wo werden sie gespeichert? Wer hat Zugriff? Gibt es eine Rechtsgrundlage? Sind Löschfristen definiert?
Praxisbeispiel
Ein KI-Chatbot, der Kundendaten verarbeitet, muss auf DSGVO-konformen Servern (EU) laufen, Daten nach Fristen löschen und eine Datenschutzerklärung bereitstellen.
Warum es wichtig ist
DSGVO-Verstöße können teuer werden (bis 4 % des Jahresumsatzes). Datenschutz muss von Anfang an mitgedacht werden – nicht als Nachgedanke.
ChatGPT, Claude und Co. DSGVO-konform nutzen: Worauf kommt es an?
Entscheidend ist weniger das Modell als der Vertrag und die Konfiguration. Kostenlose Verbraucherversionen sind für personenbezogene Daten aus dem Unternehmen in der Regel ungeeignet. Business- und API-Angebote großer Anbieter bieten dagegen Auftragsverarbeitungsverträge, schließen die Nutzung der Eingaben für das Training meist aus und ermöglichen teilweise eine Datenverarbeitung in der EU.
Dazu kommen die organisatorischen Hausaufgaben: Rechtsgrundlage und Zweck festlegen, das Verarbeitungsverzeichnis ergänzen, bei hohem Risiko eine Datenschutz-Folgenabschätzung durchführen, Löschfristen definieren und Mitarbeitende schulen, welche Daten in welche Tools dürfen. Bei Verarbeitung außerhalb der EU sind zusätzlich die Regeln für Drittlandübermittlungen zu beachten.
Datenschutz by Design in KI-Projekten
Technisch lässt sich viel Risiko vermeiden, bevor es entsteht: personenbezogene Daten vor dem Modellaufruf pseudonymisieren oder entfernen, Zugriffsrechte der Quellsysteme in RAG-Anwendungen übernehmen, Protokolle ohne unnötige Inhalte speichern und für besonders sensible Daten ein lokales LLM oder On-Premise-Betrieb wählen.
Häufige Fragen
Darf man personenbezogene Daten in ChatGPT eingeben?
In die kostenlose Verbraucherversion sollten keine personenbezogenen Daten aus dem Unternehmen eingegeben werden. Mit Business-Vertrag, Auftragsverarbeitungsvertrag und klaren internen Regeln ist eine datenschutzkonforme Nutzung möglich. Die konkrete Bewertung gehört in die Hände des Datenschutzbeauftragten.
Gilt neben der DSGVO auch der EU AI Act?
Ja, beide gelten parallel. Die DSGVO regelt den Umgang mit personenbezogenen Daten, der EU AI Act regelt KI-Systeme nach ihrem Risiko, unabhängig davon, ob personenbezogene Daten verarbeitet werden.
Braucht man für KI-Anwendungen eine Datenschutz-Folgenabschätzung?
Nicht immer, aber häufig. Eine Datenschutz-Folgenabschätzung ist nach Art. 35 DSGVO nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt, etwa bei umfangreicher Verarbeitung sensibler Daten oder bei systematischer Bewertung von Personen. Ob das zutrifft, sollte mit dem Datenschutzbeauftragten geklärt werden.