KI und Datenschutz: Was Unternehmen beim Einsatz von Künstlicher Intelligenz klären müssen

Künstliche Intelligenz wird in Unternehmen für Textgenerierung, Analyse, Automatisierung und Entscheidungsunterstützung eingesetzt. Der Tätigkeitsbericht des LfDI MV beschreibt ein stark wachsendes Interesse an KI-Systemen und betont gleichzeitig die besondere Bedeutung der verwendeten Daten. Die Qualität von KI-Ergebnissen hängt häufig von Qualität und Umfang der Daten ab. Trainings- und Eingabedaten können personenbezogene Informationen enthalten. Zusätzlich weist der Bericht darauf hin, dass viele Anbieter ihren Sitz außerhalb der Europäischen Union haben. Für Unternehmen entsteht daraus ein komplexes Zusammenspiel aus Technik, Datenschutz, Beschaffung und KI-Regulierung. Wer KI schnell einführt, ohne diese Fragen zu klären, schafft später schwer korrigierbare Abhängigkeiten.

Der Bericht verbindet die Qualität von KI-Ergebnissen mit Qualität und Quantität der zugrunde liegenden Daten. Für Unternehmen bedeutet das zweierlei. Erstens sollten Daten für den vorgesehenen Zweck geeignet und fachlich verlässlich sein. Zweitens muss geklärt werden, ob personenbezogene Daten überhaupt verwendet werden dürfen und welche Schutzmaßnahmen erforderlich sind. Ein großes Datenvolumen ist nicht automatisch besser. Gerade bei personenbezogenen Daten gilt: Nur weil ein System technisch mehr Daten verarbeiten kann, ist deren Nutzung nicht automatisch gerechtfertigt. Datenminimierung, Zweckbindung und Zugriffsbegrenzung bleiben wichtige Leitlinien.

Der Tätigkeitsbericht weist ausdrücklich darauf hin, dass die KI-Verordnung den Umgang mit personenbezogenen Daten nicht allgemein regelt und die DSGVO parallel angewendet werden muss. In der Praxis sollte ein Unternehmen deshalb zwei Prüfpfade miteinander verbinden. Einerseits ist zu klären, welche Rolle und welche Pflichten sich aus dem KI-Regelwerk ergeben. Andererseits bleiben Fragen nach Rechtsgrundlage, Betroffenenrechten, Auftragsverarbeitung, Drittlandbezug, Löschung und Sicherheit bestehen. Ein gemeinsamer Governance-Prozess verhindert, dass dieselbe Anwendung mehrfach und widersprüchlich bewertet wird.

Viele KI-Dienste werden von Unternehmen außerhalb der EU angeboten. Der Tätigkeitsbericht nennt dies als Herausforderung für digitale Souveränität. Für Unternehmen sollte daher die Anbieterprüfung über Preis und Funktion hinausgehen. Relevant sind unter anderem Datenstandorte, Unterauftragnehmer, Vertragsbedingungen, Möglichkeiten zur Deaktivierung von Trainingsnutzung, Export- und Löschfunktionen sowie die Frage, wie leicht ein Anbieterwechsel möglich wäre. Abhängigkeit ist nicht nur ein Datenschutzthema. Sie kann auch die Verfügbarkeit und strategische Handlungsfähigkeit betreffen.

KI sollte nicht ungesteuert durch einzelne Mitarbeitende eingeführt werden. Unternehmen brauchen einen einfachen Freigabeprozess. Dieser kann je nach Risiko unterschiedlich tief sein. Ein internes Übersetzungstool ohne personenbezogene Daten ist anders zu bewerten als ein System, das Bewerbungen analysiert oder Gesundheitsdaten verarbeitet. Wichtig ist ein Inventar der eingesetzten KI-Anwendungen. Nur bekannte Systeme können geprüft, geschult und kontrolliert werden. Zusätzlich sollten Eingaben und Ausgaben kritisch bewertet werden. Der Bericht betont, dass gerade die Qualität der KI-Ausgaben nicht ungeprüft übernommen werden sollte.

1. Erfassen Sie alle bereits eingesetzten oder geplanten KI-Anwendungen.

2. Beschreiben Sie Zweck, Datenarten, Nutzergruppen und Anbieter je Anwendung.

3. Prüfen Sie KI-Regelwerk und DSGVO gemeinsam statt in getrennten Silos.

4. Bewerten Sie Drittlandbezüge und Anbieterabhängigkeiten.

5. Legen Sie klare Regeln für personenbezogene und vertrauliche Eingaben fest.

6. Prüfen Sie bei erhöhtem Risiko, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

7. Schulen Sie Mitarbeitende darin, Ergebnisse von KI fachlich und datenschutzrechtlich kritisch zu prüfen.

Ein praxistauglicher KI-Freigabeprozess kann in drei Stufen arbeiten. Anwendungen mit geringem Risiko und ohne vertrauliche oder personenbezogene Daten erhalten eine einfache Prüfung. Systeme mit personenbezogenen Daten oder externen Datenflüssen brauchen eine vertiefte Datenschutz- und Anbieterbewertung. Anwendungen mit besonders weitreichenden Auswirkungen sollten zusätzlich eine umfassende Risikoanalyse und gegebenenfalls eine Datenschutz-Folgenabschätzung durchlaufen. Wichtig ist, dass Beschäftigte diese Stufen verstehen und wissen, an wen sie sich vor der Nutzung eines neuen Tools wenden. Ebenso sollte geregelt sein, wie bereits eingesetzte Schatten-IT erfasst wird. Das Ziel ist nicht, jede KI-Idee zu verlangsamen. Ein klarer Prozess schafft vielmehr Rechtssicherheit, verhindert Doppelprüfungen und sorgt dafür, dass innovative Anwendungen schneller in einen kontrollierten Betrieb überführt werden können.

Auch für KI-Anwendungen sollte die Entscheidung über die weitere Nutzung regelmäßig überprüft werden. Ein System, das in einer Pilotphase nur mit Beispieldaten gearbeitet hat, kann im späteren Regelbetrieb völlig andere Risiken erzeugen. Deshalb sollten Unternehmen nach einigen Monaten prüfen, welche Daten tatsächlich verarbeitet werden, welche Funktionen genutzt werden und ob die ursprünglichen Annahmen noch stimmen. Ebenso wichtig ist die Frage, ob Beschäftigte die internen Regeln verstehen. Eine kurze Nutzungsauswertung verbindet Technik, Datenschutz und Praxis und verhindert, dass ein einmal freigegebenes KI-System dauerhaft ungeprüft weiterläuft.

Datenschutz Prinz kann Unternehmen beim Aufbau einer pragmatischen KI-Governance begleiten. Dazu gehören KI-Inventar, Datenschutzprüfung, Vertrags- und Anbieterbewertung, Richtlinien für Beschäftigte und die Einbindung von Datenschutz-Folgenabschätzungen. Ziel ist ein sicherer Einsatz, ohne Innovation durch unnötige Doppelprozesse zu blockieren.

Der Tätigkeitsbericht zeigt: KI bietet Effizienzpotenzial, benötigt aber eine klare Daten- und Verantwortungsstruktur. Unternehmen sollten nicht nur fragen, was ein KI-System kann, sondern welche Daten es benötigt, wo diese verarbeitet werden und welche Regeln parallel gelten. Wer diese Fragen früh klärt, schafft eine belastbare Grundlage für den Einsatz von KI.

Darf man personenbezogene Daten in KI-Systeme eingeben?

Das hängt vom konkreten Zweck, der Rechtsgrundlage, dem Anbieter und den Schutzmaßnahmen ab. Eine pauschale Freigabe ist nicht sinnvoll.

Gilt neben der KI-Verordnung weiterhin die DSGVO?

Ja. Der Bericht betont ausdrücklich, dass beide Regelwerke parallel relevant sein können.

Braucht jedes KI-System eine Datenschutz-Folgenabschätzung?

Nein. Das Erfordernis hängt vom konkreten Risiko der Verarbeitung ab und muss im Einzelfall geprüft werden.