Was bedeutet DSGVO im Zusammenhang mit KI?

Die Datenschutz-Grundverordnung schützt personenbezogene Daten. Dazu gehören Informationen, die sich direkt oder indirekt einer natürlichen Person zuordnen lassen, zum Beispiel Namen, Mailadressen, Telefonnummern, Kundendaten, Personaldaten oder Bewerbungsunterlagen.

Sobald solche Daten verarbeitet werden, stellt sich unter anderem die Frage, ob dafür eine Rechtsgrundlage besteht, wie lange die Daten gespeichert werden dürfen, wer darauf zugreifen kann und welche Rechte die betroffenen Personen haben.

Das gilt natürlich auch dann, wenn diese Daten mithilfe eines KI-Systems verarbeitet werden. Die DSGVO ist deshalb ein wichtiger Bestandteil jeder KI-Strategie. Sie ist aber nicht die gesamte KI-Strategie.

Nicht jede sensible Information ist personenbezogen

Viele der wertvollsten Informationen eines Unternehmens fallen nicht unmittelbar unter die DSGVO. Dazu gehören zum Beispiel Kalkulationen, Preislisten, Produktideen, Fertigungsunterlagen, Quellcode, Vertriebsstrategien, Angebote, Vertragsentwürfe, interne Planungen oder Geschäftszahlen.

Diese Informationen können für ein Unternehmen von enormer Bedeutung sein. Trotzdem sind sie nicht automatisch personenbezogene Daten.

Genau hier entsteht häufig ein falsches Sicherheitsgefühl. Eine Lösung kann datenschutzrechtlich sauber aufgesetzt sein und trotzdem ein erhebliches Risiko für vertrauliche Unternehmensinformationen darstellen.

Die entscheidende Frage lautet deshalb nicht nur:

Dürfen wir diese Daten verarbeiten?

Sondern auch:

Sollten wir diese Informationen überhaupt an diesen Dienst übermitteln?

Datenschutz und Datensicherheit sind nicht dasselbe

Datenschutz konzentriert sich auf personenbezogene Daten. Datensicherheit betrifft alle schützenswerten Informationen.

Dabei geht es um ganz praktische Fragen:

• Wo werden die Daten verarbeitet?
• Wer kann darauf zugreifen?
• Wer betreibt die technische Infrastruktur?
• Werden Inhalte gespeichert?
• Werden sie für andere Zwecke verwendet?
• Können sie für das Training eines Modells genutzt werden?
• Was passiert bei einem Sicherheitsvorfall?
• Lassen sich Daten vollständig löschen?
• Welche Möglichkeiten hat ein Unternehmen, wenn sich die Bedingungen eines Anbieters ändern?

Diese Fragen sind nicht nur für personenbezogene Daten relevant. Sie gelten genauso für Geschäftsgeheimnisse, technische Unterlagen, Kundenstrategien und internes Fachwissen.

DSGVO-konform bedeutet nicht automatisch sicher

Der Begriff „DSGVO-konform“ wird häufig wie ein allgemeines Qualitätssiegel verwendet. In der Praxis ist die Aussage ohne weitere Erklärung nur begrenzt aussagekräftig.

Ein Unternehmen sollte genauer prüfen, worauf sich die Aussage bezieht:

• Geht es um den Standort der Server?
• Um die vertraglichen Regelungen?
• Um die Löschung von Daten?
• Um die Nutzung von Eingaben für Trainingszwecke?
• Um Zugriffsrechte innerhalb des Anbieters?
• Oder um die rechtliche Grundlage für die Verarbeitung?

Eine Lösung kann in einem bestimmten Bereich DSGVO-konform sein und trotzdem an anderer Stelle Risiken enthalten. Deshalb lohnt sich immer ein Blick auf das gesamte System.

Der Serverstandort allein reicht nicht aus

Viele Anbieter werben damit, dass Daten in Europa gespeichert werden. Das kann ein wichtiger Punkt sein. Es beantwortet aber nicht alle Fragen.

Entscheidend ist auch, welches Unternehmen den Dienst betreibt, welchem Recht dieses Unternehmen unterliegt und wer technisch oder rechtlich auf die Daten zugreifen kann.

In diesem Zusammenhang wird häufig der US CLOUD Act genannt. Dieses Gesetz kann US-Unternehmen unter bestimmten Voraussetzungen dazu verpflichten, Daten an US-Behörden herauszugeben. Das kann auch Daten betreffen, die nicht in den USA gespeichert werden.

Ob und in welchem Umfang das im Einzelfall relevant ist, hängt von der konkreten technischen und rechtlichen Ausgestaltung ab.

Für Unternehmen bedeutet das: Der Speicherort ist wichtig. Die rechtliche Kontrolle über die Daten ist mindestens genauso wichtig.

Was passiert mit Daten in großen Sprachmodellen?

Bei der Nutzung von Sprachmodellen werden häufig Inhalte eingegeben, die im normalen Arbeitsalltag entstehen. Mitarbeitende lassen Texte verbessern, Dokumente zusammenfassen, Verträge prüfen, Angebote formulieren oder technische Fragen beantworten.

Dabei können schnell sensible Informationen in externe Systeme gelangen. Nicht immer ist den Nutzenden bewusst, welche Daten sie gerade weitergeben.

Das Risiko entsteht oft nicht durch absichtliches Fehlverhalten. Es entsteht durch Bequemlichkeit und fehlende Regeln.

Deshalb sollten Unternehmen klar festlegen, welche Informationen in externe KI-Systeme eingegeben werden dürfen und welche nicht. Auch die technische Absicherung spielt eine wichtige Rolle.

Eine zentrale Unternehmenslösung mit geregelten Zugriffsrechten ist in vielen Fällen sicherer als die unkontrollierte Nutzung privater Konten durch einzelne Mitarbeitende.

Die Abhängigkeit von Anbietern gehört ebenfalls zur Risikobetrachtung

Viele leistungsfähige KI-Technologien stammen heute aus den USA. Für Unternehmen bietet das große Chancen. Gleichzeitig entsteht eine Abhängigkeit von Anbietern, Plattformen und politischen Rahmenbedingungen, auf die europäische Unternehmen nur begrenzt Einfluss haben.

Dienste können ihre Preise ändern. Funktionen können entfallen. Nutzungsbedingungen können angepasst werden. Der Zugang zu bestimmten Modellen kann regional eingeschränkt werden. Auch politische Entscheidungen oder Exportregeln können die Verfügbarkeit von Technologien beeinflussen.

Unternehmen sollten sich deshalb nicht nur fragen, welche Lösung heute am leistungsfähigsten ist. Sie sollten auch prüfen, wie sicher diese Technologie langfristig verfügbar ist.

Besonders kritisch wird es, wenn zentrale Prozesse vollständig von einem einzelnen Anbieter abhängen. Dann wird aus einer technischen Entscheidung schnell ein unternehmerisches Risiko.

Wo Unternehmen über die DSGVO hinausgehen müssen

Eine verantwortungsvolle KI-Nutzung braucht mehr als eine Datenschutzprüfung. Sie braucht klare Regeln für Unternehmensdaten, technische Sicherheitsmaßnahmen, geregelte Zugriffsrechte, eine bewusste Auswahl der Anbieter und Verträge, die verständlich regeln, was mit den Daten geschieht.

Sie braucht außerdem eine Strategie für den Fall, dass ein Dienst nicht mehr verfügbar ist, und Mitarbeitende, die wissen, welche Informationen sie in ein KI-System eingeben dürfen.

Die DSGVO bleibt dabei wichtig. Sie ist aber nur ein Teil des Gesamtbildes.

Vimmera Denkanstoß

Fragen Sie sich einmal:

• Wissen Sie, welche Daten Ihre Mitarbeitenden heute bereits in KI-Systeme eingeben?
• Gibt es dafür klare Regeln?
• Wissen Sie, wo diese Daten verarbeitet werden?
• Kennen Sie die rechtlichen Rahmenbedingungen der eingesetzten Anbieter?
• Ist geregelt, ob Eingaben gespeichert oder für Trainingszwecke genutzt werden?
• Könnten Sie den Anbieter wechseln, wenn sich Preise, Bedingungen oder Verfügbarkeit ändern?
• Sind auch vertrauliche Unternehmensdaten geschützt, die nicht unter die DSGVO fallen?

Wenn Sie mehrere dieser Fragen nicht eindeutig beantworten können, sollte die KI-Nutzung in Ihrem Unternehmen genauer betrachtet werden.

Praxisfrage der Woche

Wäre Ihr Unternehmen ausreichend geschützt, wenn morgen alle personenbezogenen Daten vollständig DSGVO-konform verarbeitet würden?

Oder blieben trotzdem Risiken für Geschäftsgeheimnisse, internes Wissen und strategisch wichtige Informationen bestehen?

Zum Mitnehmen

Die DSGVO ist wichtig. Sie schützt personenbezogene Daten und schafft klare Regeln für deren Verarbeitung. Beim Einsatz von KI reicht das allein jedoch nicht aus.

Unternehmen müssen genauso auf Datensicherheit, Vertraulichkeit, technische Kontrolle, rechtliche Zugriffsmöglichkeiten und die Abhängigkeit von einzelnen Anbietern achten.

Nicht jede wichtige Information ist personenbezogen. Aber viele Informationen sind für ein Unternehmen so wertvoll, dass sie mindestens genauso sorgfältig geschützt werden müssen.

Eine gute KI-Strategie beginnt deshalb nicht mit der Frage, ob eine Lösung DSGVO-konform ist. Sie beginnt mit der Frage, welche Daten das Unternehmen schützen muss und unter welchen Bedingungen diese Daten verarbeitet werden dürfen.

Einfach mal genauer hinschauen?

Sie möchten wissen, welche Risiken beim Einsatz von KI in Ihrem Unternehmen bestehen und wie sich Datenschutz, Datensicherheit und technologische Unabhängigkeit sinnvoll miteinander verbinden lassen?

Schreiben Sie uns gerne an info@vimmera.de. Gemeinsam betrachten wir Ihre bestehende KI-Nutzung und entwickeln einen Weg, der zu Ihren Anforderungen, Ihren Daten und Ihrem Unternehmen passt.