← Blog
KI und DSGVO: So nutzen Sie künstliche Intelligenz rechtssicher mit personenbezogenen Daten
Dürfen personenbezogene Daten in KI-Tools eingegeben werden? Rechtsgrundlagen, Auftragsverarbeitungsverträge, Datentransfer außerhalb der EU und praktische Maßnahmen für eine konforme KI-Nutzung.
KI und DSGVO treffen jedes Mal aufeinander, wenn Mitarbeiter den Namen eines Kunden, eine E-Mail-Adresse, einen Lebenslauf oder Gesundheitsdaten in ein KI-Tool eingeben. Die Datenschutz-Grundverordnung gilt auch für KI — jede Verarbeitung personenbezogener Daten erfordert eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag und entsprechende Sicherheitsmaßnahmen.
TL;DR — Wichtigste Punkte
- Die DSGVO gilt für jede Eingabe personenbezogener Daten in ein KI-Tool.
- Sie benötigen einen Auftragsverarbeitungsvertrag (AVV/DPA) mit dem KI-Anbieter.
- Achten Sie auf die Datenübermittlung in Drittstaaten außerhalb der EU.
- Bei KI in Personalprozessen gilt zusätzlich die KI-Verordnung (Hochrisiko).
Kernfragen vor der Nutzung von KI mit personenbezogenen Daten
| Frage | Warum es wichtig ist |
|---|---|
| Was ist die Rechtsgrundlage? | Ohne diese ist die Verarbeitung rechtswidrig |
| Haben wir einen AV-Vertrag? | Der KI-Anbieter ist Auftragsverarbeiter gemäß Artikel 28 |
| Wo werden die Daten verarbeitet? | Transfers außerhalb der EU erfordern zusätzliche Garantien |
| Werden Daten für das Training genutzt? | Dies kann ein neuer, unzulässiger Zweck sein |
| Ist eine DPIA erforderlich? | Bei umfangreicher oder risikoreicher Verarbeitung ja |
Praktische Maßnahmen
- Nutzen Sie Business-Versionen von KI-Tools mit einem AV-Vertrag.
- Wählen Sie die Verarbeitung in der EU, wo verfügbar (z. B. Microsoft EU Data Boundary).
- Anonymisieren oder pseudonymisieren Sie Daten vor der Eingabe.
- Aktualisieren Sie das Verzeichnis der Verarbeitungstätigkeiten.
- Führen Sie für Personal- und ähnliche Fälle eine Datenschutz-Folgenabschätzung durch.
- Schulen Sie Mitarbeiter mit einer klaren KI-Richtlinie.
Häufig gestellte Fragen
- Darf ich Kundennamen in ChatGPT eingeben?
- In der kostenlosen Version ohne AV-Vertrag raten wir davon ab. In einem Business-Tool mit DPA und entsprechender Rechtsgrundlage kann dies zulässig sein.
- Erfüllt Microsoft 365 Copilot die DSGVO?
- Microsoft bietet einen AV-Vertrag und die EU Data Boundary an, aber die Konformität hängt auch von Ihrer Nutzung und den Einstellungen ab.
- Wer haftet, wenn die KI Daten preisgibt?
- Der Verantwortliche, also Ihr Unternehmen, bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich.
#DSGVO#KI#personenbezogene Daten#Datenschutz