Künstliche Intelligenz ist in vielen Unternehmen längst Alltag: Chatbots beantworten Kundenanfragen, Text- und Bildgeneratoren unterstützen Marketing und Vertrieb, Analyse-Tools werten große Datenmengen aus. Gleichzeitig warnen Aufsichtsbehörden und Fachverbände vor erheblichen Datenschutzrisiken, sobald KI mit personenbezogenen Daten arbeitet. Für die Geschäftsleitung stellt sich daher nicht die Frage, ob KI genutzt wird, sondern ob dies DSGVO-konform, haftungssicher und gewinnbringend möglich ist.
Rechtsrahmen im Überblick: KI und Datenschutz
Sobald eine KI personenbezogene Daten verarbeitet – etwa Namen, E-Mail-Adressen oder IP-Adressen – greift die DSGVO. Erforderlich sind dann eine tragfähige Rechtsgrundlage (Art. 6 DSGVO), die Einhaltung von Zweckbindung, Datenminimierung und Transparenzgebot sowie – bei risikoreichen Anwendungen – eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.
Der KI-Einsatz ist also nicht per se unzulässig – insbesondere streng zweckbezogen gerechtfertigt, wenn die eigentliche Datenverarbeitung mit gewöhnlicher Software auch zulässig gewesen wäre.
Typische Fallstricke und Haftungsfolgen
Viele KI-Tools laufen als Cloud-Dienste außerhalb der EU, was Fragen zu internationalen Datentransfers und der Durchsetzung von Betroffenenrechten aufwirft. Häufig greift aber ein rechtfertigender EU-Angemessenheitsbeschluss für solche Länder. Daneben sind Risiken automatisierter Entscheidungsfindung (Art. 22 DSGVO), etwa bei Bewerber-Scoring, Kreditvergabe oder Bonitätsprüfungen, zu beachten. Diese sind nur selten rein KI-gesteuert zulässig und erfordern zusätzliche Schutzmechanismen.
Compliance und praktische Umsetzung
KI ist keine reine IT-Frage, sondern eine strategische Compliance-Aufgabe. Praktisch bewährt haben sich insbesondere folgende Schritte:
- Use Cases erfassen und klassifizieren: Welche KI-Anwendungen werden im Unternehmen genutzt (z. B. Chatbots, Analysetools, HR-Software)? Behörden empfehlen, den gesamten Datenlebenszyklus von der Erhebung über Training bis zur Nutzung systematisch zu betrachten.
- Rechtsgrundlagen und Zwecke festlegen: Für jeden KI-Einsatz sollten konkrete Zwecke und die jeweilige Rechtsgrundlage (Vertrag, Einwilligung, berechtigtes Interesse etc.) dokumentiert werden.
- Rollen und Verträge klären: Je nach Architektur ist der KI-Anbieter Auftragsverarbeiter oder eigenständig Verantwortlicher. Entsprechend sind Auftragsverarbeitungsverträge nach Art. 28 DSGVO erforderlich.
- Folgenabschätzung und technisch-organisatorische Maßnahmen: Bei hohem Risiko (Profiling, Bewertungen, Überwachung) ist eine Datenschutz-Folgenabschätzung Pflicht. Dazu gehören geeignete technische und organisatorische Maßnahmen wie Pseudonymisierung/Anonymisierung, rollenbasierte Zugriffe, Protokollierung, Löschkonzepte und gezielte Schulungen. Eine vollständige Anonymisierung der KI-Eingaben führt dazu, dass Datenschutz nicht länger zu beachten ist.
- Transparenz und Betroffenenrechte sichern: Betroffene müssen wissen, dass KI eingesetzt wird, und ihre Rechte (Auskunft, Löschung, Widerspruch) auch gegenüber KI-Verarbeitungen effektiv wahrnehmen können. Unternehmen benötigen hierfür interne Prozesse und – bei externen Tools – ausreichende Informationen des Anbieters zur Funktionsweise und Datennutzung.
Fazit
Die gesetzliche Pflicht für Unternehmen, Mitarbeiter im Umgang mit KI schulen zu müssen, kommt nicht von ungefähr: Wer KI im Unternehmen nutzt, kommt an Datenschutz und Compliance nicht vorbei.
Die gute Nachricht: Mit einem klaren Überblick über alle KI-Use Cases, definierten Rechtsgrundlagen, sauberen Verträgen und gelebten Prozessen für Transparenz und Betroffenenrechte lassen sich rechtliche Risiken beherrschbar machen. Da dies selten Alltagsgeschäft von Unternehmen ist, sollte datenschutzrechtliche Beratung in Anspruch genommen werden – damit Probleme gelöst werden, bevor sie entstehen.
