KI und Datenschutz (DSGVO) – Sichere KI für Unternehmen

Was bedeutet KI und Datenschutz?

KI und Datenschutz beschreibt die rechtlichen, technischen und organisatorischen Anforderungen an die Verarbeitung personenbezogener Daten durch künstliche Intelligenz. Unternehmen müssen beim Einsatz von KI-Systemen sicherstellen, dass personenbezogene Informationen entsprechend der Datenschutz-Grundverordnung (DSGVO) verarbeitet und vor unberechtigtem Zugriff geschützt werden.

Besonders wichtig ist dabei die Frage, wo Unternehmensdaten verarbeitet werden, welche Informationen an externe KI-Anbieter übertragen werden und wer Zugriff auf diese Daten erhält.

Lokal betriebene KI kann hier deutliche Vorteile bieten: Werden KI-Modelle auf eigenen Servern ausgeführt, können vertrauliche Informationen innerhalb der unternehmenseigenen IT-Infrastruktur verarbeitet werden. Dadurch lassen sich bestimmte Risiken externer Datenübertragungen reduzieren und die Kontrolle über Datenflüsse und Zugriffsrechte verbessern.

Allerdings ist auch eine vollständig lokale KI nicht automatisch DSGVO-konform. Entscheidend sind die konkrete Verarbeitung, ihre rechtliche Grundlage und die umgesetzten Schutzmaßnahmen.

Warum ist Datenschutz beim Einsatz künstlicher Intelligenz wichtig?

Künstliche Intelligenz wird zunehmend zur Verarbeitung geschäftlicher Informationen eingesetzt. Dazu gehören beispielsweise Kundenanfragen, Vertragsunterlagen, interne Berichte, technische Dokumentationen und Informationen aus betrieblichen Datenbanken. Solche Dokumente können personenbezogene Daten enthalten, selbst wenn sie nicht ausdrücklich als vertraulich gekennzeichnet sind.

Beispiele sind:

• Namen und Kontaktdaten von Kunden
• Informationen über Beschäftigte
• Personenbezogene Angaben in Verträgen
• Kundenhistorien und Kommunikationsinhalte
• Individuelle Leistungs- oder Bewertungsdaten
• Personenbezogene Informationen in Geschäftsberichten

Werden diese Daten mit einem KI-System verarbeitet, müssen die Anforderungen der DSGVO berücksichtigt werden. Bei externen KI-Diensten stellt sich zusätzlich die Frage, welche Informationen das Unternehmen verlassen und welche weiteren Organisationen an der Verarbeitung beteiligt sind. Auch Informationen ohne Personenbezug können besonderen Vertraulichkeitsanforderungen unterliegen. Geschäftsgeheimnisse und vertrauliche Entwicklungsunterlagen fallen beispielsweise nicht allein deshalb unter die DSGVO, können aber dennoch schutzbedürftig sein.

Welche DSGVO-Grundsätze gelten für KI-Systeme?

Die DSGVO enthält keine allgemeine Ausnahme für den Einsatz künstlicher Intelligenz. Sobald personenbezogene Daten verarbeitet werden, gelten grundsätzlich dieselben Datenschutzanforderungen wie bei anderen IT-Anwendungen.

Zu den wichtigsten Grundsätzen nach Artikel 5 DSGVO gehören:

Rechtmäßigkeit der Verarbeitung

Für die Verarbeitung personenbezogener Daten muss eine geeignete Rechtsgrundlage nach Artikel 6 DSGVO bestehen. Je nach Anwendung können unterschiedliche Rechtsgrundlagen infrage kommen. Eine Einwilligung ist dabei nicht in jedem Fall erforderlich oder die passende Lösung.

Zweckbindung

Personenbezogene Daten dürfen grundsätzlich nur für festgelegte, eindeutige und rechtmäßige Zwecke verarbeitet werden. Ein Unternehmen sollte deshalb definieren, welche Aufgaben ein KI-System übernehmen darf und für welche Zwecke die angebundenen Daten verwendet werden.

Datenminimierung

Es dürfen nur diejenigen personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind. Beispielsweise muss nicht zwangsläufig ein vollständiger Kundendatensatz an eine KI übergeben werden, wenn für eine konkrete Aufgabe wenige ausgewählte Informationen ausreichen.

Richtigkeit

Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls aktuell sein. Da KI-Systeme fehlerhafte Informationen erzeugen können, sind bei entsprechenden Anwendungen geeignete Prüfmechanismen erforderlich.

Speicherbegrenzung

Personenbezogene Daten dürfen grundsätzlich nicht länger gespeichert werden, als dies für den vorgesehenen Zweck erforderlich ist. Das betrifft beispielsweise gespeicherte Eingaben, Gesprächsverläufe und erzeugte Dokumente.

Integrität und Vertraulichkeit

Personenbezogene Daten müssen durch angemessene technische und organisatorische Maßnahmen geschützt werden. Dazu gehören beispielsweise Zugriffsbeschränkungen, Verschlüsselung und geeignete Sicherheitskonzepte.

Rechenschaftspflicht

Unternehmen müssen die Einhaltung der einschlägigen Datenschutzvorgaben nachweisen können. Die eingesetzten KI-Anwendungen und ihre Datenverarbeitung sollten deshalb nachvollziehbar dokumentiert werden.

Welche Datenschutzrisiken entstehen durch Cloud-KI?

Bei cloudbasierten KI-Anwendungen erfolgt die Verarbeitung von Anfragen regelmäßig auf der Infrastruktur eines externen Anbieters. Dies ist nicht grundsätzlich datenschutzrechtlich problematisch. Professionelle Cloud-Dienste können umfangreiche Sicherheitsfunktionen und vertragliche Schutzmechanismen anbieten. Dennoch müssen Unternehmen zusätzliche Fragen klären.

Übermittlung vertraulicher Informationen

Werden Unternehmensdokumente oder personenbezogene Daten in einen externen KI-Dienst eingegeben, verlassen diese Informationen möglicherweise die eigene IT-Infrastruktur. Dabei muss geprüft werden, ob die Übermittlung zulässig und für den vorgesehenen Zweck erforderlich ist.

Beteiligung externer Dienstleister

Je nach Vertragsgestaltung können KI-Anbieter und weitere Dienstleister an der Datenverarbeitung beteiligt sein. Die jeweiligen datenschutzrechtlichen Rollen und Verantwortlichkeiten müssen festgestellt werden.

Speicherung von Eingaben

Unternehmen sollten prüfen, ob Benutzereingaben, hochgeladene Dokumente oder erzeugte Antworten gespeichert werden und welche Löschmöglichkeiten bestehen.

Verwendung von Daten für Trainingszwecke

Bei externen KI-Angeboten ist besonders wichtig, ob eingegebene Informationen zur Verbesserung oder zum Training von KI-Modellen verwendet werden dürfen. Dies hängt vom jeweiligen Anbieter, Produkt, Vertrag und den gewählten Einstellungen ab.

Internationale Datenübertragungen

Wenn personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums übertragen oder dort zugänglich gemacht werden, können zusätzliche Anforderungen nach Kapitel V DSGVO entstehen. Nicht jede Nutzung eines Cloud-Dienstes führt automatisch zu einer unzulässigen Drittlandübermittlung. Entscheidend sind die konkreten Datenflüsse und rechtlichen Rahmenbedingungen.

Warum kann lokale KI beim Datenschutz Vorteile bieten?

Bei einer lokalen KI werden geeignete KI-Modelle auf eigenen Servern oder Workstations ausgeführt. Die eigentliche Modellverarbeitung erfolgt innerhalb der eigenen IT-Infrastruktur. Für Unternehmen ergeben sich daraus mehrere wichtige Vorteile.

1. Vertrauliche Daten bleiben im eigenen Netzwerk

Eine vollständig lokal betriebene KI kann Unternehmensdokumente verarbeiten, ohne diese für die eigentliche Berechnung an einen externen KI-Dienst übertragen zu müssen. Dies ist besonders interessant bei vertraulichen Kundenunterlagen, Kalkulationen, Entwicklungsinformationen und internen Geschäftsdaten. Voraussetzung ist, dass auch die übrigen Softwarekomponenten keine entsprechenden Informationen an externe Dienste übermitteln.

2. Mehr Kontrolle über Datenflüsse

Beim Betrieb auf eigener Hardware kann das Unternehmen selbst festlegen, welche Systeme miteinander kommunizieren dürfen. Netzwerkregeln, Firewalls und Berechtigungskonzepte können gezielt auf die jeweilige KI-Anwendung abgestimmt werden. Auch ein Betrieb ohne dauerhafte Internetverbindung ist bei geeigneter Architektur möglich. Dadurch lassen sich externe Datenübertragungen technisch begrenzen oder vermeiden.

3. Eigene Regeln für Speicherung und Löschung

Unternehmen können bei lokal betriebenen Lösungen die Speicherung von Gesprächsverläufen, Dokumenten und Auswertungen stärker selbst gestalten.

So lassen sich beispielsweise individuelle Aufbewahrungsfristen und Löschregeln festlegen. Die Umsetzung muss allerdings alle relevanten Datenbestände berücksichtigen, einschließlich Protokollen, Backups und gegebenenfalls Suchindizes.

4. Integration in vorhandene Sicherheitskonzepte

Eine lokale KI kann in bestehende Unternehmensstrukturen eingebunden werden. Dazu gehören beispielsweise zentrale Benutzerverwaltung, Netzwerksegmentierung und rollenbasierte Berechtigungen. Auf diese Weise können bereits etablierte Sicherheitsmaßnahmen auch für die KI-Nutzung eingesetzt oder entsprechend erweitert werden.

5. Geringere Abhängigkeit von externen Datenverarbeitern

Wenn eine KI-Anwendung vollständig innerhalb des Unternehmens betrieben wird und keine externen Dienste an der personenbezogenen Datenverarbeitung beteiligt sind, kann die Zahl der datenschutzrechtlich einzubeziehenden Dienstleister reduziert werden. Dadurch können bestimmte vertragliche und organisatorische Abstimmungen entfallen.

Nicht ausgeschlossen sind allerdings weitere externe Beteiligte, beispielsweise bei Fernwartung, Softwarediensten oder ausgelagertem Betrieb.

Ist lokale KI automatisch DSGVO-konform?

Nein. Auch bei einer lokalen KI müssen sämtliche einschlägigen datenschutzrechtlichen Anforderungen erfüllt werden. Die Speicherung und Verarbeitung auf eigenen Servern stellt zunächst nur einen technischen Aspekt dar. Unternehmen müssen weiterhin prüfen, ob die Verarbeitung personenbezogener Daten rechtmäßig und erforderlich ist. Außerdem müssen geeignete Maßnahmen zum Schutz der Daten umgesetzt werden.

Dazu gehören insbesondere:

• Eine geeignete Rechtsgrundlage
• Festgelegte Verarbeitungszwecke
• Transparente Informationen für betroffene Personen
• Angemessene Benutzerberechtigungen
• Schutz vor unbefugtem Zugriff
• Aufbewahrungs- und Löschkonzepte
• Regelungen zum Umgang mit Sicherheitsvorfällen
• Dokumentation der relevanten Verarbeitungsvorgänge

Ein zusätzlicher Aspekt ist das verwendete KI-Modell selbst. Wurde ein Modell mit personenbezogenen Daten trainiert, können auch Fragen zum Datenschutz bei der Modellentwicklung und zur möglichen Offenlegung gespeicherter Informationen entstehen. Der Europäische Datenschutzausschuss weist deshalb darauf hin, dass KI-Modelle nicht pauschal als anonym betrachtet werden können.

Lokaler Betrieb bietet somit wichtige technische Kontrollmöglichkeiten, ersetzt jedoch keine datenschutzrechtliche Bewertung.

Was ist ein Auftragsverarbeitungsvertrag bei KI?

Ein Auftragsverarbeitungsvertrag (AVV) ist eine vertragliche Vereinbarung nach Artikel 28 DSGVO. Er ist erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet und die Voraussetzungen einer Auftragsverarbeitung vorliegen. Beim Einsatz externer KI-Dienste muss deshalb geprüft werden, welche Rolle der Anbieter übernimmt.

Zu den typischen Regelungsinhalten gehören:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Datenverarbeitung
• Kategorien personenbezogener Daten
• Pflichten und Rechte der Beteiligten
• Technische und organisatorische Schutzmaßnahmen
• Einsatz weiterer Auftragsverarbeiter
• Löschung oder Rückgabe von Daten
• Kontroll- und Nachweismöglichkeiten

Nicht jedes Vertragsverhältnis mit einem KI-Anbieter ist automatisch eine Auftragsverarbeitung. Die Einordnung hängt von den tatsächlichen Aufgaben und Entscheidungsmöglichkeiten der beteiligten Organisationen ab. Bei einer vollständig intern betriebenen KI ohne beteiligten externen Auftragsverarbeiter ist für diesen internen Verarbeitungsvorgang kein zusätzlicher Auftragsverarbeitungsvertrag mit einem KI-Cloud-Anbieter erforderlich.

Was gilt bei der Übertragung von KI-Daten in Drittländer?

Werden personenbezogene Daten an Empfänger außerhalb des Europäischen Wirtschaftsraums übermittelt, müssen gegebenenfalls die Anforderungen der Artikel 44 bis 49 DSGVO beachtet werden. Je nach Empfängerland und konkreter Konstellation kommen unterschiedliche rechtliche Mechanismen infrage.

Dazu gehören beispielsweise Angemessenheitsbeschlüsse der Europäischen Kommission oder geeignete Garantien wie Standardvertragsklauseln. Dabei müssen auch mögliche Zugriffe aus Drittländern und die tatsächlichen technischen Bedingungen berücksichtigt werden.

Ein wesentlicher Vorteil vollständig lokaler KI besteht darin, dass externe Übermittlungen personenbezogener Eingaben für die eigentliche KI-Verarbeitung vermieden werden können.

Dadurch können bestimmte Fragen internationaler Datenübermittlungen für diesen Verarbeitungsschritt entfallen. Allerdings müssen gegebenenfalls weitere Datenflüsse, beispielsweise durch Softwarewartung, Schnittstellen oder Telemetrie, gesondert geprüft werden.

Was bedeutet Datenschutz durch Technikgestaltung bei KI?

Artikel 25 DSGVO behandelt den Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Der Grundgedanke besteht darin, Datenschutzanforderungen bereits bei der Planung und Entwicklung einer Anwendung zu berücksichtigen.

Bei KI-Systemen bedeutet das beispielsweise:

• Möglichst wenige personenbezogene Daten verarbeiten
• Nicht benötigte Datenfelder entfernen
• Zugriffe auf vertrauliche Informationen begrenzen
• Datenschutzfreundliche Standardeinstellungen verwenden
• Gesprächsverläufe nicht unnötig speichern
• Datenflüsse dokumentieren und kontrollieren
• Geeignete Pseudonymisierungs- oder Anonymisierungsverfahren prüfen

Gerade eine lokal betriebene KI bietet Möglichkeiten, diese Anforderungen innerhalb einer kontrollierten technischen Umgebung umzusetzen. Die konkrete Wirksamkeit hängt jedoch von der Softwarearchitektur und der Qualität der technischen Umsetzung ab.

Wann ist eine Datenschutz-Folgenabschätzung für KI erforderlich?

Eine Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 DSGVO ist erforderlich, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Nicht jeder KI-Einsatz erfordert automatisch eine DSFA. Entscheidend sind unter anderem Art, Umfang, Umstände und Zwecke der Verarbeitung. Ein erhöhtes Risiko kann beispielsweise entstehen, wenn KI-Systeme umfangreiche personenbezogene Informationen auswerten oder besonders sensible Daten verarbeiten.

Bei entsprechenden Anwendungen müssen Unternehmen die Risiken vor dem Einsatz systematisch bewerten. Dabei werden unter anderem die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung sowie geeignete Schutzmaßnahmen untersucht. Auch beim Einsatz lokaler KI kann eine Datenschutz-Folgenabschätzung erforderlich sein.

Können eigene Unternehmensdokumente DSGVO-konform mit KI verarbeitet werden?

Grundsätzlich ist die Verarbeitung eigener Unternehmensdokumente durch eine KI möglich, sofern die jeweiligen rechtlichen Voraussetzungen erfüllt sind. Dabei muss insbesondere berücksichtigt werden, ob die Dokumente personenbezogene Informationen enthalten. Ein technisch interessanter Ansatz ist Retrieval-Augmented Generation (RAG). Hierbei wird ein KI-Sprachmodell mit einer angebundenen Wissensbasis kombiniert.

Ein Mitarbeiter kann eine Frage stellen, woraufhin das System passende Informationen aus freigegebenen Dokumenten sucht und dem Sprachmodell zur Beantwortung bereitstellt. Bei einer vollständig lokalen RAG-Lösung können sowohl die Dokumentensuche als auch die KI-Verarbeitung innerhalb des Unternehmensnetzwerks stattfinden. Damit müssen vertrauliche Dokumenteninhalte nicht zwangsläufig an einen externen KI-Anbieter übertragen werden.

Wichtig ist allerdings, dass vorhandene Dokumentenberechtigungen auch innerhalb der KI-Anwendung durchgesetzt werden. Ein Mitarbeiter darf durch die KI nicht auf Informationen zugreifen können, für die er in den ursprünglichen Systemen keine Berechtigung besitzt.

Praxisbeispiel: Vertrauliche Produktentwicklung mit lokaler KI

Ein mittelständisches Unternehmen entwickelt technische Produkte und verfügt über umfangreiche interne Entwicklungsunterlagen. Die Dokumente enthalten Konstruktionsinformationen, technische Spezifikationen und teilweise personenbezogene Angaben zu Projektbeteiligten. Die Mitarbeiter möchten mithilfe eines KI-Assistenten Informationen aus den Dokumentationen recherchieren und technische Inhalte zusammenfassen. Bei einem externen KI-Dienst müsste zunächst geprüft werden, ob und unter welchen Bedingungen entsprechende Dokumenteninhalte übertragen werden dürfen.

Eine lokale KI kann dagegen so aufgebaut werden, dass die Dokumente auf unternehmenseigenen Systemen bleiben. Das Sprachmodell und die benötigten Suchkomponenten werden innerhalb des Unternehmensnetzwerks ausgeführt. Über ein Berechtigungskonzept lässt sich festlegen, welche Mitarbeiter auf bestimmte Dokumentengruppen zugreifen dürfen.

Damit können vertrauliche Entwicklungsinformationen für KI-Anwendungen nutzbar gemacht werden, ohne die eigentliche Verarbeitung an einen externen KI-Cloud-Dienst auszulagern. Auch hier bleiben eine geeignete Rechtsgrundlage für personenbezogene Daten und angemessene Sicherheitsmaßnahmen erforderlich.

Welche Rolle spielt der EU AI Act beim Datenschutz?

Neben der DSGVO müssen Unternehmen gegebenenfalls die europäische KI-Verordnung, den sogenannten EU AI Act, berücksichtigen. Beide Regelwerke verfolgen unterschiedliche, teilweise miteinander verbundene Ziele. Die DSGVO regelt insbesondere den Schutz personenbezogener Daten.

Der EU AI Act enthält dagegen Anforderungen an bestimmte KI-Systeme und KI-Anwendungen, beispielsweise hinsichtlich Risikoklassifizierung, Transparenz und weiterer Pflichten. Ein Teil der Regelungen des EU AI Act gilt bereits. Die Anwendbarkeit weiterer Anforderungen richtet sich nach den jeweiligen gesetzlichen Übergangsfristen.

Die Einhaltung des EU AI Act bedeutet nicht automatisch, dass eine Datenverarbeitung auch DSGVO-konform ist. Umgekehrt ersetzt die Einhaltung der DSGVO nicht die möglicherweise einschlägigen Anforderungen der europäischen KI-Verordnung. Unternehmen sollten deshalb beide Regelwerke im Zusammenhang mit dem konkreten KI-Einsatz betrachten.

Wie können Unternehmen KI datenschutzfreundlich einführen?

Eine datenschutzfreundliche KI-Einführung sollte strukturiert geplant werden.

Schritt 1: Anwendungsfall und Datenarten festlegen

Zunächst wird geklärt, welche Aufgaben die KI übernehmen soll und welche Informationen dafür benötigt werden. Dabei sollte zwischen öffentlichen, internen, vertraulichen und personenbezogenen Daten unterschieden werden.

Schritt 2: Rechtsgrundlage und Risiken prüfen

Anschließend werden die datenschutzrechtlichen Voraussetzungen bewertet. Dazu gehört gegebenenfalls die Prüfung, ob eine Datenschutz-Folgenabschätzung notwendig ist.

Schritt 3: Geeignetes Betriebsmodell auswählen

Abhängig von Schutzbedarf und Leistungsanforderungen wird entschieden, ob eine Cloud-KI, eine lokale KI oder eine hybride Lösung eingesetzt werden soll. Gerade bei vertraulichen Daten kann eine lokal betriebene KI interessante Vorteile bieten, weil externe Übertragungen reduziert oder vermieden werden können.

Schritt 4: Sicherheits- und Berechtigungskonzept umsetzen

Vor dem produktiven Einsatz müssen unter anderem Benutzerrechte, Verschlüsselung, Netzwerksicherheit und Datenaufbewahrung geregelt werden.

Schritt 5: Datenschutzfreundliche Einstellungen festlegen

Soweit erforderlich, werden die Speicherung von Eingaben, Protokollierung, externe Schnittstellen und mögliche Trainingsverwendungen begrenzt.

Schritt 6: Mitarbeiter schulen

Anwender müssen wissen, welche Daten sie in die KI eingeben dürfen und wie mit erzeugten Ergebnissen umzugehen ist. Klare interne Nutzungsrichtlinien unterstützen die sichere Einführung.

Schritt 7: Regelmäßige Überprüfung sicherstellen

Auch nach der Einführung müssen die Systeme und ihre Datenverarbeitung regelmäßig überprüft werden. Besonders bei neuen Funktionen oder geänderten Datenquellen kann eine erneute Bewertung notwendig sein.

Häufige Fragen zu KI und Datenschutz

Ist die Nutzung von künstlicher Intelligenz DSGVO-konform?

Die Nutzung künstlicher Intelligenz kann DSGVO-konform gestaltet werden. Entscheidend sind der konkrete Verwendungszweck, die verarbeiteten  personenbezogenen Daten, die Rechtsgrundlage und die eingesetzten technischen und organisatorischen Maßnahmen.

Ist lokale KI datenschutzfreundlicher als Cloud-KI?

Lokale KI kann erhebliche Datenschutzvorteile bieten, weil die eigentliche Verarbeitung innerhalb der eigenen IT-Infrastruktur erfolgen kann. Dadurch lassen sich Datenübertragungen an externe Anbieter vermeiden. Ob eine Lösung insgesamt datenschutzfreundlicher ist, hängt jedoch von ihrer konkreten Absicherung ab.

Dürfen personenbezogene Daten in ChatGPT eingegeben werden?

Das lässt sich nicht pauschal beantworten. Unternehmen müssen insbesondere das verwendete ChatGPT-Angebot, die Vertragsbedingungen, die Datenverarbeitung und die Rechtsgrundlage prüfen. Ohne entsprechende Bewertung sollten vertrauliche oder personenbezogene Informationen nicht unkontrolliert eingegeben werden.

Ist ein eigener KI-Server automatisch DSGVO-konform?

Nein. Auch ein eigener KI-Server benötigt ein geeignetes Datenschutz- und Sicherheitskonzept. Der lokale Betrieb kann die Kontrolle über die Datenverarbeitung erleichtern, ersetzt aber keine rechtliche Prüfung.

Benötigt jedes Unternehmen einen Auftragsverarbeitungsvertrag für KI?

Nicht grundsätzlich. Ein Auftragsverarbeitungsvertrag ist erforderlich, wenn personenbezogene Daten durch einen Dienstleister im Auftrag verarbeitet werden und die Voraussetzungen des Artikels 28 DSGVO vorliegen.

Werden Daten bei lokaler KI an externe Anbieter übertragen?

Nicht zwangsläufig. Eine vollständig lokal betriebene KI kann Anfragen und Dokumente innerhalb des eigenen Netzwerks verarbeiten. Allerdings müssen mögliche Datenübertragungen durch Zusatzsoftware, Telemetrie, Fernwartung oder externe Schnittstellen geprüft werden.

Können Mitarbeiter mit einer lokalen KI vertrauliche Dokumente auswerten?

Ja. Mit geeigneten lokalen Sprachmodellen und gegebenenfalls einer RAG-Anwendung können vertrauliche Dokumente innerhalb des Unternehmens verarbeitet werden. Voraussetzung sind angemessene Zugriffsrechte und die Einhaltung der datenschutzrechtlichen Anforderungen.

Wann benötigt ein Unternehmen eine Datenschutz-Folgenabschätzung für KI?

Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Die Bewertung hängt von den konkreten Daten und dem vorgesehenen Einsatz ab.

Was ist der Unterschied zwischen DSGVO und EU AI Act?

Die DSGVO regelt den Schutz personenbezogener Daten. Der EU AI Act enthält zusätzliche Anforderungen an bestimmte KI-Systeme und deren Einsatz. Abhängig vom Anwendungsfall können beide Regelwerke gleichzeitig relevant sein.

Welche KI-Lösung eignet sich für Unternehmen mit besonders vertraulichen Daten?

Für Unternehmen mit hohen Vertraulichkeitsanforderungen kann eine lokal betriebene KI besonders interessant sein. Sie ermöglicht die Verarbeitung innerhalb einer kontrollierten Infrastruktur und kann externe Datenübertragungen reduzieren. Entscheidend sind jedoch die konkrete Architektur, die benötigte Modellleistung und das Sicherheitskonzept.

Fazit: KI und Datenschutz durch kontrollierte Datenverarbeitung verbinden

Künstliche Intelligenz bietet Unternehmen vielfältige Möglichkeiten, Informationen effizienter zu verarbeiten und bestehende Geschäftsprozesse zu unterstützen. Beim Einsatz personenbezogener und vertraulicher Daten müssen jedoch die Anforderungen der DSGVO und geeignete Sicherheitsmaßnahmen berücksichtigt werden.

Lokal betriebene KI kann dabei wesentliche Vorteile bieten. Sie ermöglicht es, KI-Anwendungen innerhalb der eigenen IT-Infrastruktur auszuführen, externe Datenübertragungen zu reduzieren und Zugriffsrechte sowie Datenflüsse gezielt zu kontrollieren. Damit stellt lokale KI insbesondere für Unternehmen mit hohen Datenschutz- und Vertraulichkeitsanforderungen eine interessante Alternative zu rein cloudbasierten KI-Diensten dar. Voraussetzung für einen erfolgreichen Einsatz bleibt eine sorgfältige technische Planung, eine geeignete rechtliche Bewertung und ein professionell abgesicherter Betrieb.

Europäischer Datenschutzausschuss – Stellungnahme 28/2024 zu KI-Modellen

BfDI – Handreichung zum Datenschutz beim KI-Einsatz