Worum geht's?
Künstliche Intelligenz (KI) bietet enorme Chancen für Unternehmen – von personalisierter Beantwortung von Kundenanfragen bis hin zum automatisierten Marketing. Doch mit den Möglichkeiten wächst auch die Verantwortung: Dürfen Mitarbeiter- und Kundendaten in KI-Tools eingegeben werden? Muss ich AV-Verträge abschließen? Wer ist für Datenschutzverstöße verantwortlich? Viele Unternehmen stehen vor diesem Berg an Fragen und verzichten entweder direkt auf den Einsatz von KI oder, was noch wesentlich problematischer ist, setzen KI-Technologien bedenkenlos ein.
Doch KI ist aus der Unternehmenswelt nicht mehr wegzudenken und wird auch künftig für die Wettbewerbsfähigkeit von Bedeutung sein. Daher sollten Sie Ihr Unternehmen spätestens jetzt für den KI-Einsatz wappnen. Erhalten Sie in diesem Beitrag einen Überblick über den datenschutzkonformen Einsatz von KI.
1. KI im Unternehmen einsetzen
Ob Kundenservice, Marketing oder Human Resources. Die Nutzungsmöglichkeiten von KI im Unternehmen sind unglaublich vielfältig. Hier sind einige konkrete Beispiele, bei denen der Einsatz von KI aus datenschutzrechtlichen Gesichtspunkten problematisch wird:
ACHTUNG
Bei all diesen Beispielen würden Sie gegen die DS-GVO verstoßen, wenn Sie nicht vorher entsprechende datenschutzrechtliche Regelungen im Unternehmen vornehmen. Was Sie tun müssen, erfahren Sie jetzt.
2. So geht’s: Künstliche Intelligenz datenschutzkonform einsetzen
Wenn es um KI & Datenschutz geht, ist die Verarbeitung von personenbezogenen Daten das Kernproblem. Personenbezogene Daten sind Informationen, die sich auf eine natürliche Person, also einen Menschen, beziehen, der durch diese Daten identifiziert wird oder identifiziert werden kann. Beispiele für personenbezogene Daten sind:
- Name, Vorname, Privatanschrift
- Telefonnummer, E-Mail-Adresse, IP-Adresse
- Geburtsdatum, Alter, Personalausweisnummer
- Sozialversicherungs-, Krankenversicherungsnummer
- Steueridentifikations- und Kontonummern
- Zeugnisse, wie z.B. Arbeitszeugnis
- Fotos von erkennbaren Personen
1. Rechtmäßigkeit der Verarbeitung
Sobald Sie personenbezogene Daten in eine KI-Anwendung eingeben, findet eine Verarbeitung personenbezogener Daten nach der DSGVO statt. Für diese Datenverarbeitung brauchen Sie im ersten Schritt gem. Art. 6 Abs. 1 DSGVO eine Rechtsgrundlage.
Das kann die Einwilligung der Personen sein, deren Daten Sie in das KI-Tool eingeben wollen. Die Einwilligung ist der sicherste Weg, jedoch für Unternehmen auch sehr aufwändig. Alternativ können Sie basierend auf einem berechtigten Interesse personenbezogene Daten verarbeiten. Ob Sie personenbezogene Daten auf Basis Ihres berechtigten Interesses in KI-Systemen verarbeiten dürfen, hängt allerdings vom Einzelfall ab. Das hat auch das European Data Protection Board in seiner Stellungnahme vom 17. Dezember 2024 bestätigt. Daher sollten Sie sich nicht darauf verlassen und lieber die Einwilligungen der betroffenen Personen einholen.
BEISPIEL: NUTZERDATEN
Wenn Sie externe KI-Tools, wie Chatbots oder automatisierte Analysen auf Ihrer Website einsetzen, verarbeiten diese Dienste in der Regel personenbezogene Daten Ihrer Nutzer. Ihre Webseiten-Nutzer müssen in diese Datenverarbeitung jedoch vorher einwilligen. Dafür können Sie ein Cookie-Banner verwenden.
2. Datenschutzerklärung
Im nächsten Schritt müssen Sie die KI-Tools, die Sie verwenden, in Ihre Datenschutzerklärung aufnehmen. Übrigens: Bei eRecht24 Premium können Sie sich Ihre Datenschutzerklärung mit einer Passage für ChatGPT erstellen.
3. AV-Verträge
Weiterhin müssen Sie mit dem KI-System-Anbieter einen Auftragsverarbeitungsvertrag (AV-Vertrag) abschließen. Diesen Vertrag benötigen Sie immer dann, wenn Sie jemanden mit der Verarbeitung von personenbezogenen Daten beauftragen. Wenn Sie KI-Systeme einsetzen und personenbezogene Daten z.B. von Kunden oder Mitarbeitern eingeben, beauftragen Sie den Anbieter des Tools, diese Daten zu verarbeiten.
BEISPIEL
Bei ChatGPT können Sie ein "Data Processing Agreement" mit OpenAI abschließen. Auch wenn unklar ist, ob die Anforderungen dem deutschen Datenschutz entsprechen, sollten Sie dieses vorsorglich abschließen.
4. Technische und organisatorische Maßnahmen ergreifen
Es gibt verschiedene technische und organisatorische Maßnahmen (TOMs), mit denen Sie den datenschutzgerechten Einsatz von KI sicherstellen können. Ein wesentlicher Punkt ist dabei die Anonymisierung von personenbezogenen Daten vor der Eingabe in KI-Systeme. Dabei können Tools, wie Microsoft Presidio, Sie unterstützen. Durch die Anonymisierung kommen Sie im Übrigen dem Grundsatz der Datenminimierung nach.
Sofern Sie die Eingabe personenbezogener Daten in KI-Modelle nicht umgehen können, prüfen Sie die Datenschutzrichtlinien des KI-Tools. In jedem Fall sollten Sie die Künstliche Intelligenz so einstellen, dass das KI-Modell mit eingegebenen Daten nicht trainiert wird. Sonst kann es passieren, dass personenbezogene Daten weiterverarbeitet werden und sogar anderen Tool-Nutzern angezeigt werden. Sie würden also die Kontrolle über die personenbezogenen Daten verlieren.
Vergessen Sie nicht, die technischen und organisatorischen Maßnahmen in Ihr Verarbeitungsverzeichnis (VVT) aufzunehmen.
5. KI-Richtlinie für Mitarbeiter
Es bringt nichts, wenn nur Sie wissen, welche personenbezogenen Daten in eine KI eingegeben werden dürfen und welche nicht. Deshalb sollten Sie Ihren Mitarbeitern klare Richtlinien vorgeben. Bei eRecht24 Premium können Sie sich mit dem Generator für KI-Richtlinien Ihre individuelle Mitarbeiter-Richtlinie erstellen.
Übrigens: Da viele Mitarbeiter zwar mit KI arbeiten, jedoch wenig Hintergrundwissen haben, schreibt die KI-Verordnung seit 2. Februar 2025 vor, dass Sie die KI-Kompetenz Ihrer Mitarbeiter, beispielsweise durch KI-Schulungen und Richtlinien, sicherstellen müssen.
6. Datenschutz- und Grundrechtsfolgenabschätzung
Je nachdem, um was für ein KI-Tool es sich handelt, kann es erforderlich sein, dass Sie eine Datenschutz-Folgenabschätzung und eine Grundrechtsfolgenabschätzung vornehmen. KI-Tools mit einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen sind davon betroffen. KI-Systeme, die davon betroffen sind, sind zum Beispiel solche, die bei der Auswahl für passende Bewerber im Personalbereich verwendet werden.
7. KI-Modelle aus den USA
Da viele KI-Systeme ihre Server in den USA haben, ergeben sich weitere Herausforderungen. Durch die Übertragung der Daten in die USA sollten Sie unter anderem prüfen, ob der Tool-Anbieter DPF-zertifiziert ist. Mehr dazu können Sie in unserem Artikel zum Data Privacy Framework lesen.
Zusammengefasst sollten Sie folgende Schritte vornehmen, wenn Sie personenbezogene Daten in KI-Anwendungen eingeben wollen:
- Rechtmäßigkeit der Verarbeitung sicherstellen.
- KI-Tools in die Datenschutzerklärung aufnehmen.
- AV-Verträge abschließen und Verarbeitungsverzeichnis aktualisieren.
- Technische und organisatorische Maßnahmen (z. B. Anonymisierung der Daten) umsetzen.
- Interne KI-Richtlinie für Mitarbeiter bereitstellen.
- Datenschutz- und Grundrechtsfolgenabschätzung vornehmen.
- DPF-Zertifizierung bei KI-Tools aus den USA prüfen.
WICHTIG
Durch die KI-Verordnung kommen weitere Pflichten auf Sie zu. Diese richten sich nach dem Risiko, das von dem KI-Tool ausgeht. Dabei unterscheidet die KI-Verordnung in hohes, geringes und minimales Risiko. Es gilt: Je riskanter ein KI-System ist, desto strenger sind die Anforderungen an Compliance und Informationspflichten.
3. Wer ist für Datenschutzverstöße bei KI-Systemen verantwortlich?
Grundsätzlich gilt: Das Unternehmen, das das KI-System einsetzt, ist für Datenschutzverstöße verantwortlich. Auch wenn Sie externe KI-Anwendungen nutzen, die von einem Drittanbieter bereitgestellt werden, sind Sie für die Einhaltung der DSGVO verantwortlich. Der Drittanbieter ist nur Auftragsverarbeiter und Sie müssen vertraglich - Stichwort: AV-Vertrag - dafür sorgen, dass er die Datenschutzvorgaben einhält.
Für Datenschutzverstöße von Mitarbeitern haften in der Regel Sie als Unternehmen, da Sie die verantwortliche Stelle im Sinne der DSGVO sind. Aus diesem Grund sollten Sie entsprechende technische und organisatorische Maßnahmen ergreifen, um Datenschutzverstöße zu verhindern. Wenn Sie nämlich entsprechende Richtlinien und Schulungen anbieten und Mitarbeiter gegen diese Anweisung verstoßen, können Sie sich exkulpieren.
Regeln Sie daher mit Ihren Mitarbeitern, wie Sie mit personenbezogenen Daten umgehen sollen. Bei eRecht24 Premium stellen wir Ihnen eine Muster-Datenschutzverpflichtung für Ihre Mitarbeiter zur Verfügung, die an die Vorgaben der DSGVO angepasst ist.
4. DSGVO vs. KI-Verordnung
Nachdem am 1. August 2024 die KI-Verordnung in Kraft getreten ist, fragen sich viele inzwischen, inwieweit sich nun Pflichten für ihr Unternehmen ändern. Die Datenschutz-Grundverordnung (DSGVO) und die KI-Verordnung der EU verfolgen letztendlich ähnliche Ziele, setzen jedoch unterschiedliche Schwerpunkte. Die KI-Verordnung ersetzt somit die DSGVO nicht, sondern gilt uneingeschränkt weiter. Durch diese Tabelle erhalten Sie einen gebündelten Überblick über die Unterschiede:
|
DSGVO |
KI-Verordnung |
|
|
Ziel |
Schutz personenbezogener Daten |
Regulierung von KI-Systemen nach ihrem Risiko |
|
Anwendungsbereich |
Gilt für alle Unternehmen, die personenbezogene Daten verarbeiten |
Betrifft Anbieter und Betreiber von KI-Systemen |
|
Regelungsbereich |
Regelungen zur Datenerhebung, -speicherung und -verarbeitung |
Einstufung von KI-Systemen nach Risikoklassen mit Verboten |
|
Bußgelder |
bis zu 20 Mio. Euro oder 4% des weltweiten Jahresumsatzes |
bis zu 35 Mio. € bzw. 7% des weltweiten Jahresumsatzes |
Während die DSGVO den Schutz personenbezogener Daten regelt, geht es in der KI-Verordnung um die Sicherheit von KI-Systemen. In jedem Fall lässt sich festhalten: Egal ob Sie gegen die DSGVO oder die KI-Verordnung verstoßen, ein solcher Verstoß kann sehr teuer werden.
5. FAQ
