KI im Betrieb und Datenschutz: was erlaubt ist

Die häufigste Frage, bevor ein Betrieb KI einsetzt, ist die nach dem Datenschutz. Die kurze Antwort: KI lässt sich datenschutzkonform nutzen, aber nicht mit jedem Werkzeug und nicht nebenbei. Die Datenschutzkonferenz von Bund und Ländern hat dazu 2024 eine Orientierungshilfe veröffentlicht. Die wichtigsten Punkte für einen kleinen oder mittleren Betrieb:

Keine privaten Konten im Betrieb

Kostenlose oder private KI-Konten gehören nicht in den Betrieb. Nutzen Sie dienstliche Konten mit Geschäftstarif, bei denen Ihre Eingaben nicht zum Training verwendet werden.

Vertrag zur Auftragsverarbeitung

Verarbeitet ein Anbieter in Ihrem Auftrag personenbezogene Daten, etwa Namen und Adressen Ihrer Kunden, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Seriöse Anbieter stellen ihn für Geschäftskunden bereit.

Wo die Daten verarbeitet werden

Viele KI-Anbieter sitzen in den USA. Eine Übermittlung dorthin ist derzeit über das EU-US Data Privacy Framework zulässig, wenn der Anbieter zertifiziert ist. Gegen das Abkommen ist ein Verfahren beim Europäischen Gerichtshof anhängig. Wer auf Nummer sicher gehen will, wählt Anbieter oder Tarife mit Verarbeitung in der EU. Was genau gilt, hängt vom Anbieter und vom Tarif ab und wird bei der Einrichtung schriftlich festgehalten.

Ein Mensch entscheidet

Entscheidungen mit rechtlicher Wirkung dürfen nicht allein einer Maschine überlassen werden. Bei handwerksklar ist das Grundregel: Was das Haus verlässt, gibt ein Mensch frei.

So wenig Personenbezug wie möglich

Geben Sie nur ein, was für die Aufgabe nötig ist. Prüfen Sie Ergebnisse mit Personenbezug, bevor Sie sie weiterverwenden.

Regeln und Schulung im Team

Legen Sie fest, welches Werkzeug wofür genutzt werden darf, und schulen Sie Ihre Leute. Das verlangt auch die KI-Verordnung, siehe KI-Kompetenz nach der KI-Verordnung.

Wie ein Agent im Betrieb datenschutzgerecht aufgesetzt wird, zeigen wir unter KI-Agenten datenschutzkonform.

Dieser Artikel ist keine Rechtsberatung. Binden Sie Ihren Datenschutzbeauftragten ein, wenn Sie einen haben.