KI & DSGVO

Sobald KI personenbezogene Daten verarbeitet — E-Mails, Kundennamen, Supportanfragen — greift die DSGVO. Drei Punkte sind dann ausschlaggebend: Wo wird das Modell betrieben (EU-Hosting bevorzugt), gibt es einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, und werden die Daten zum Modelltraining verwendet (oft unerwünscht).

Anbieter wie Mistral oder selbst gehostete Open-Source-Modelle erleichtern DSGVO-Konformität, weil sie in der EU laufen und klare Verträge bieten. US-Modelle (OpenAI, Anthropic) lassen sich nutzen, wenn keine personenbezogenen Daten übermittelt werden oder ein Enterprise-Vertrag mit EU-Datenresidenz besteht. Mit dem EU AI Act kommen zusätzliche Pflichten je nach Risikoklasse der Anwendung — Compliance gehört von Anfang an in das Projekt, nicht nachträglich.

In der Praxis bedeutet DSGVO-Konformität bei KI fünf konkrete Anforderungen. Erstens: eine dokumentierte Rechtsgrundlage für die Verarbeitung (Vertragserfüllung, berechtigtes Interesse oder explizite Einwilligung). Zweitens: ein AVV mit jedem KI-Anbieter, der personenbezogene Daten verarbeitet, idealerweise mit EU-Datenresidenz und „no training". Drittens: Datenminimierung — keine Daten, die für die Aufgabe nicht zwingend notwendig sind, an das Modell übergeben. Viertens: Logging und Auditfähigkeit für Anfragen nach Betroffenenrechten (Auskunft, Löschung). Fünftens: Information der Betroffenen in der Datenschutzerklärung, dass KI-Systeme zur Verarbeitung eingesetzt werden.

Der EU AI Act, seit 2024 in Kraft, ergänzt diese Pflichten je nach Risikoklasse der Anwendung. Klassische KMU-Anwendungen wie Mail-Triage oder Dokumentenextraktion gelten als „minimales Risiko" und unterliegen kaum zusätzlichen Pflichten. Sobald jedoch automatisierte Entscheidungen mit rechtlicher Wirkung getroffen werden (Kreditentscheidung, Mietzusage, Personalauswahl), springt die Anwendung in die „Hochrisiko"-Klasse mit umfangreichen Dokumentations-, Transparenz- und Aufsichtsanforderungen.