KI-Werkzeuge im Betrieb sind datenschutzrechtlich beherrschbar, aber nicht voraussetzungslos. Entscheidend sind vier Punkte: eine Rechtsgrundlage für die eingegebenen Daten, ein Vertrag zur Auftragsverarbeitung mit dem Anbieter, eine geklärte Übermittlung in Drittländer und eine verbindliche interne Regel, was eingegeben werden darf. Wer diese vier Punkte hat, kann arbeiten. Wer sie nicht hat, arbeitet trotzdem, nur eben ungeregelt.
Das eigentliche Risiko ist nicht die Technik
In den Betrieben, die wir betreuen, ist die häufigste Konstellation nicht das verbotene Werkzeug, sondern das unbemerkte. Mitarbeitende nutzen KI, weil sie hilft, melden es aber nicht, weil niemand danach gefragt hat. Damit verlassen Angebotstexte mit Kundennamen, Bewerbungsunterlagen und Auszüge aus Verträgen das Unternehmen, ohne dass irgendwo dokumentiert wäre, wohin.
Das ist weniger ein technisches als ein organisatorisches Problem. Ein Verbot löst es selten, weil die Nutzung dann nur unsichtbar wird. Eine klare Regel mit einem zugelassenen Werkzeug löst es meistens.
Die vier Punkte im Einzelnen
Rechtsgrundlage für die eingegebenen Daten
Sobald personenbezogene Daten in ein KI-Werkzeug eingegeben werden, ist das eine Verarbeitung und braucht eine Grundlage nach Art. 6 DSGVO. Bei Beschäftigtendaten kommt § 26 BDSG hinzu. Besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten, gehören ohne sehr sorgfältige Prüfung überhaupt nicht in ein solches System.
Vertrag zur Auftragsverarbeitung
Der Anbieter verarbeitet die Daten für Sie und ist damit Auftragsverarbeiter. Art. 28 DSGVO verlangt einen Vertrag mit festgelegtem Inhalt. Für die Geschäftszugänge der großen Anbieter existieren solche Verträge, sie müssen aber aktiv abgeschlossen und abgelegt werden. Bei privaten Zugängen gibt es sie in aller Regel nicht.
Übermittlung in Drittländer
Die meisten Anbieter verarbeiten ganz oder teilweise außerhalb der EU. Dafür braucht es eine Grundlage nach Kapitel V der DSGVO, in der Praxis Standardvertragsklauseln oder eine Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework. Prüfen Sie das anbieterbezogen und halten Sie das Ergebnis fest, statt es zu unterstellen.
Interne Regel und Nachweis
Eine kurze, verständliche Richtlinie reicht: welches Werkzeug zugelassen ist, welche Daten eingegeben werden dürfen und welche nicht, wer im Zweifel entscheidet. Dazu eine kurze Unterweisung, deren Durchführung dokumentiert wird. Das ist zugleich Ihr Nachweis nach Art. 5 Abs. 2 DSGVO.
Was viele übersehen
Die Ausgabe ist auch eine Verarbeitung
Nicht nur die Eingabe zählt. Wenn ein KI-System Texte über Personen erzeugt, etwa eine Zusammenfassung einer Bewerbung oder eine Einschätzung zu einem Kunden, entstehen neue personenbezogene Daten. Auch sie unterliegen der Richtigkeitspflicht nach Art. 5 Abs. 1 lit. d DSGVO und den Betroffenenrechten.
Automatisierte Entscheidungen
Art. 22 DSGVO verbietet im Grundsatz Entscheidungen mit rechtlicher Wirkung, die ausschließlich auf automatisierter Verarbeitung beruhen. Wer KI in der Bewerbervorauswahl oder bei Bonitätsfragen einsetzt, muss sicherstellen, dass ein Mensch tatsächlich entscheidet und nicht nur formal abnickt.
Der EU AI Act gilt zusätzlich, nicht stattdessen
Die KI-Verordnung ersetzt die DSGVO nicht, sie kommt hinzu. Für die meisten Betriebe steht dabei die Pflicht zur KI-Kompetenz im Vordergrund: Wer KI einsetzt, muss dafür sorgen, dass die damit befassten Personen ausreichend verstehen, was sie tun. Weitergehende Pflichten treffen vor allem Anbieter und Anwendungen mit hohem Risiko.
Der Einsatz gehört ins Verarbeitungsverzeichnis
Sobald personenbezogene Daten im Spiel sind, ist der KI-Einsatz eine Verarbeitungstätigkeit nach Art. 30 DSGVO und dort zu führen, mit Zweck, Datenkategorien, Empfängern und Löschfristen. Das wird regelmäßig vergessen, weil das Werkzeug wie ein Hilfsmittel wirkt und nicht wie ein System.
Ein pragmatischer Weg für kleine und mittlere Betriebe
Legen Sie ein Werkzeug fest und beschaffen Sie dafür Geschäftszugänge. Schließen Sie den Auftragsverarbeitungsvertrag ab und legen Sie ihn zu den Unterlagen. Schreiben Sie eine Seite Regeln. Unterweisen Sie einmal und dokumentieren Sie das. Nehmen Sie den Einsatz ins Verarbeitungsverzeichnis auf. Prüfen Sie nach einem halben Jahr, was sich in der Praxis eingespielt hat.
Das ist überschaubar und schafft genau den Zustand, den eine Aufsichtsbehörde sehen will: geregelt, dokumentiert, nachweisbar. Was eine Behörde bei einer Prüfung tatsächlich anfordert, steht im Beitrag Was prüft die Aufsichtsbehörde wirklich.
Wenn Sie den Einsatz im Betrieb sauber aufsetzen wollen, begleiten wir das als externer Datenschutzbeauftragter. Ein Erstgespräch dauert rund zwanzig Minuten: Kontakt aufnehmen oder anrufen unter 05406 500 4210.
Häufige Fragen zu KI im Unternehmen
Ist die Nutzung von ChatGPT im Unternehmen erlaubt?
Ja, wenn die Rahmenbedingungen stimmen: Rechtsgrundlage, Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, geklärte Drittlandübermittlung und eine verbindliche interne Regelung.
Darf ich Kundendaten in ein KI-Werkzeug eingeben?
Nur mit Rechtsgrundlage und nur, wenn der Anbieter als Auftragsverarbeiter gebunden ist. Sicherer ist, personenbezogene Daten vor der Eingabe zu entfernen.
Reicht ein privater Account für die betriebliche Nutzung?
Nein. Private Zugänge sehen in der Regel keinen Auftragsverarbeitungsvertrag vor, und Eingaben können zur Verbesserung der Modelle verwendet werden.
Muss KI-Nutzung ins Verarbeitungsverzeichnis?
Ja, sobald personenbezogene Daten verarbeitet werden. Zweck, Datenkategorien, Empfänger und Löschfristen sind zu dokumentieren.
Was verlangt der EU AI Act von normalen Unternehmen?
Vor allem KI-Kompetenz: Wer KI-Systeme einsetzt, muss für ausreichendes Verständnis der damit befassten Personen sorgen. Weitergehende Pflichten treffen vor allem Anbieter und Hochrisiko-Anwendungen.
