Sobald ein Betrieb anfängt, mit KI zu arbeiten, taucht früher oder später eine Frage auf - und sie ist die richtige: Wo gehen meine Daten eigentlich hin? Wer eine Mail, eine Rechnung oder eine Kundenanfrage in ein KI-Tool gibt, gibt Informationen aus der Hand. Dieser Beitrag erklärt sachlich, worauf Sie dabei achten sollten, damit KI nicht zum Datenschutzrisiko wird, sondern bewusst und sicher eingesetzt werden kann.
Wo gehen Ihre Daten hin?
Viele KI-Dienste laufen nicht auf Ihrem eigenen Rechner, sondern auf Servern eines Anbieters. Wenn Sie dort etwas eingeben, verlässt diese Information Ihr Haus und wird woanders verarbeitet. Das ist nicht grundsätzlich schlimm - bei vielen Online-Diensten ist es ganz normal. Es bedeutet aber, dass Sie wissen sollten, wer die Daten bekommt, wo sie verarbeitet werden und was damit geschieht.
Welche Daten landen überhaupt in KI-Tools?
Hier wird oft unterschätzt, wie schnell es um personenbezogene Daten geht. Das sind alle Angaben, die sich auf eine Person beziehen lassen:
- Namen, Adressen, Telefonnummern und E-Mail-Adressen
- Inhalte von Kundenanfragen und Schriftverkehr
- Angaben auf Rechnungen, Verträgen und Lieferscheinen
- Personaldaten, wenn es um interne Abläufe geht
Sobald solche Inhalte in ein KI-Tool wandern, greift der Datenschutz. Das ist kein Sonderfall, sondern eher die Regel: Genau die Dokumente und Nachrichten, die man gern automatisch verarbeiten möchte, enthalten fast immer personenbezogene Daten.
DSGVO in aller Kürze
Die Datenschutz-Grundverordnung regelt, wie mit personenbezogenen Daten umzugehen ist. Drei Punkte sind für den KI-Einsatz besonders wichtig - bewusst kurz gehalten:
Rechtsgrundlage
Sie dürfen personenbezogene Daten nicht einfach beliebig verarbeiten. Es braucht einen Grund, den die DSGVO anerkennt - etwa die Erfüllung eines Vertrags oder eine Einwilligung. Bevor Daten in ein KI-Tool gehen, sollte klar sein, auf welcher Grundlage das geschieht.
Auftragsverarbeitung
Wenn ein Anbieter Daten in Ihrem Auftrag verarbeitet, sind Sie weiterhin verantwortlich. Für solche Fälle sieht die DSGVO einen Vertrag zur Auftragsverarbeitung vor, kurz AV-Vertrag. Er hält fest, was der Anbieter mit den Daten tun darf und was nicht. Ein seriöser Dienst stellt einen solchen Vertrag bereit.
Übermittlung in Drittländer
Viele bekannte KI-Dienste werden in den USA betrieben. Eine Übermittlung von Daten außerhalb der EU ist an zusätzliche Bedingungen geknüpft, weil dort andere Gesetze gelten. Das ist kein grundsätzliches Verbot, aber ein Punkt, den Sie kennen und prüfen sollten.
Öffentliche KI-Dienste oder Verarbeitung in der EU?
Es macht einen großen Unterschied, welche Art von Lösung Sie nutzen. Vereinfacht gibt es zwei Wege:
- Öffentliche KI-Dienste sind schnell verfügbar und oft kostenlos. Sie sind aber nicht automatisch für die Verarbeitung sensibler Betriebsdaten gedacht. Im ungünstigen Fall werden Eingaben gespeichert oder zur Verbesserung der KI verwendet.
- Lösungen mit Datenverarbeitung in der EU oder lokal halten die Daten in einem klar geregelten Rahmen. Hier wissen Sie, wo die Server stehen und unter welchen Bedingungen verarbeitet wird.
Für den Einsatz im Betrieb ist der zweite Weg in der Regel die ruhigere Wahl - besonders, sobald personenbezogene Daten im Spiel sind.
Worauf Sie bei der Auswahl achten
Wenn Sie ein KI-Tool für Ihren Betrieb auswählen, helfen ein paar konkrete Fragen:
- Gibt es einen AV-Vertrag? Ein seriöser Anbieter bietet ihn an, ohne dass Sie lange suchen müssen.
- Wo stehen die Server? Ein Serverstandort in der EU vereinfacht vieles.
- Werden meine Daten zum Training verwendet? Idealerweise lautet die Antwort: nein. Ihre Inhalte sollten nicht in das allgemeine Modell des Anbieters einfließen.
- Wie lange werden Daten gespeichert? Je kürzer und klarer geregelt, desto besser.
Praktische Vorsicht im Alltag
Neben der Auswahl des Werkzeugs zählt der alltägliche Umgang. Die einfachste Regel: Laden Sie keine sensiblen Daten unbedacht hoch. Bevor Sie ein Dokument in ein KI-Tool geben, lohnt der kurze Gedanke, ob darin Angaben stehen, die dort nichts zu suchen haben. Oft lässt sich eine Aufgabe lösen, ohne den vollen, ungeschwärzten Inhalt preiszugeben.
Sinnvoll ist außerdem, im Betrieb abzustimmen, welche Tools genutzt werden dürfen und welche nicht. So entsteht gar nicht erst die Situation, dass vertrauliche Daten über einen unbekannten Dienst nach außen wandern.
KI lässt sich datenschutzfreundlich einsetzen
Die wichtigste Botschaft zum Schluss: Datenschutz ist kein Grund, die Finger von KI zu lassen. Er ist ein Grund, sie bewusst aufzusetzen. Wer von Anfang an darauf achtet, wohin die Daten gehen, mit wem gearbeitet wird und was hochgeladen wird, kann KI nutzen, ohne den Datenschutz zu vernachlässigen. Wenn Sie überlegen, ob sich der Aufwand für Ihren Betrieb überhaupt lohnt, hilft Ihnen die ehrliche Einordnung dazu, ob sich KI für kleine Unternehmen lohnt.
Ein ehrlicher Hinweis: Dieser Beitrag erklärt Zusammenhänge, ist aber keine Rechtsberatung. Im Zweifel - gerade bei besonders sensiblen Daten - ist es sinnvoll, fachlichen oder juristischen Rat einzuholen.
Wenn Sie KI in Ihrem Betrieb einsetzen möchten und dabei auf der sicheren Seite sein wollen, schauen wir gern gemeinsam auf Ihre Abläufe. Im kostenlosen Erstgespräch klären wir, wie sich das datenschutzbewusst aufsetzen lässt - ehrlich und in Ihrer Sprache.