Datenschutzrichtlinien für den Einsatz von Künstlicher Intelligenz in Unternehmen

Datenschutz im Zeitalter der Künstlichen Intelligenz: Fünf Leitprinzipien für Unternehmen

Die rapide Entwicklung der Künstlichen Intelligenz (KI) transformiert zahlreiche Branchen und eröffnet Unternehmen immense Potenziale zur Effizienzsteigerung und Innovation. Gleichzeitig gehen mit dem Einsatz von KI-Systemen erhebliche Herausforderungen im Bereich des Datenschutzes einher. Die Verarbeitung großer Datenmengen, oft auch personenbezogener Informationen, erfordert eine präzise und rechtlich fundierte Herangehensweise. Dieser Artikel beleuchtet die Kernaspekte, die Unternehmen beim datenschutzkonformen Einsatz von KI beachten sollten, und bietet konkrete Handlungsempfehlungen.

Die fundamentale Herausforderung: Schutz personenbezogener Daten

KI-Systeme sind auf umfangreiche Datensätze angewiesen, um ihre Leistungsfähigkeit zu entfalten. Diese Daten können sensible personenbezogene Informationen enthalten, die gemäß der Datenschutz-Grundverordnung (DSGVO) einem besonderen Schutz unterliegen. Unternehmen müssen sicherstellen, dass sie nicht nur die notwendigen Daten sammeln und nutzen, sondern dabei auch den Grundsatz der Datenminimierung konsequent anwenden. Ein unbedachter Umgang mit diesen Daten kann nicht nur zu einem Vertrauensverlust führen, sondern auch erhebliche rechtliche und finanzielle Konsequenzen nach sich ziehen, bis hin zu Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

Regel 1: Datenbereinigung und Anonymisierung vor der Eingabe

Eine der wichtigsten Maßnahmen beim Einsatz von KI-Tools ist die sorgfältige Bereinigung oder Anonymisierung von Daten, bevor diese in KI-Systeme eingegeben werden. Dies ist von entscheidender Bedeutung, da einmal hochgeladene oder im Chat geteilte Daten oftmals nicht vollständig von den Servern der KI-Anbieter entfernt werden können, selbst wenn dies explizit angefordert wird. Eine Kundenfeedback-Analyse oder ähnliche Vorgänge mit personenbezogenen Daten erfordern daher eine vorherige Aufbereitung, um Datenschutzverletzungen zu vermeiden. Der Grundsatz der Datenminimierung sollte hierbei stets als Leitfaden dienen.

Regel 2: Deaktivierung der Datennutzung zu Trainingszwecken

Viele KI-Anbieter nutzen die eingegebenen Daten standardmäßig, um ihre Modelle weiter zu trainieren und zu verbessern. Dies kann jedoch dazu führen, dass personenbezogene Daten unkontrolliert weiterverarbeitet werden und im schlimmsten Fall sogar anderen Nutzern des Tools zugänglich gemacht werden. Es ist daher unerlässlich, diese Funktion zu deaktivieren. Bei gängigen Chatbots wie ChatGPT, Claude und Google Gemini ist dies über die Einstellungen möglich:

• ChatGPT: Unter dem Punkt „Datenkontrolle“ in den Einstellungen.
• Google Gemini: Direkt über den Reiter „Aktivitäten“. Hierbei ist zu beachten, dass eine generelle Deaktivierung der Speicherung auch den Zugriff auf vergangene Eingaben verhindert.
• Claude: Unter dem Punkt „Datenschutz“ muss der Regler bei „Hilf dabei, Claude zu verbessern“ deaktiviert sein.

Unternehmen sollten sich zudem direkt mit den Anbietern auseinandersetzen, um individuelle Absprachen zur Datennutzung zu treffen. Für kleine und mittelständische Unternehmen, die keine direkten Verhandlungen führen können, ist die manuelle Deaktivierung dieser Funktionen ein Mindeststandard.

Regel 3: Transparenz und Rechtsgrundlagen klären

Der Einsatz von KI-Systemen, die personenbezogene Daten verarbeiten, erfordert eine klare Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO. Dies kann die ausdrückliche Einwilligung der betroffenen Personen sein oder ein berechtigtes Interesse des Unternehmens. Die Einwilligung stellt den sichersten Weg dar, ist jedoch oft mit einem höheren administrativen Aufwand verbunden. Zudem müssen Unternehmen transparent darüber informieren, wie und warum personenbezogene Daten verarbeitet werden. Eine klare und verständliche Datenschutzerklärung ist hierbei unerlässlich. Auch die Erklärbarkeit der KI-Entscheidungsprozesse ist aus rechtlicher Sicht relevant, da die DSGVO das Recht auf eine Erklärung bei automatisierten Entscheidungen vorsieht.

Für automatisierte Entscheidungen, die rechtliche oder erhebliche Auswirkungen auf Betroffene haben, gelten nach Art. 22 DSGVO strenge Ausnahmeregelungen. Eine bloße menschliche Beteiligung im Entscheidungsprozess ist nicht ausreichend; es muss ein echter Entscheidungsspielraum gegeben sein. KI darf unterstützen, jedoch nie ohne menschliche Kontrolle finale Entscheidungen treffen, insbesondere in sensiblen Bereichen wie Kreditvergabe oder Personalbeurteilung.

Regel 4: Technische und organisatorische Maßnahmen (TOMs) sowie interne Richtlinien

Der Schutz personenbezogener Daten erfordert geeignete technische und organisatorische Maßnahmen. Dazu gehören robuste Sicherheitsprotokolle, regelmäßige Sicherheitsüberprüfungen und die Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit der Daten. Insbesondere Zugriffsbeschränkungen nach dem Need-to-Know-Prinzip müssen definiert und durchgesetzt werden, um zu verhindern, dass KI-Systeme bestehende Berechtigungen umgehen.

Darüber hinaus sind unternehmensinterne KI-Richtlinien für Mitarbeiter unverzichtbar. Diese Richtlinien sollten festlegen, welche KI-Tools zulässig sind, zu welchen Zwecken sie genutzt werden dürfen und welche Prozesse eingehalten werden müssen. Regelmäßige Schulungen der Mitarbeiter zur datenschutzkonformen Nutzung von KI-Tools sind ebenfalls essenziell, um unbewusste Verstöße zu vermeiden und die KI-Kompetenz der Belegschaft zu stärken. Diese Pflicht zur Sicherstellung der KI-Kompetenz ist seit dem 2. Februar 2025 auch in der KI-Verordnung verankert.

Regel 5: Sorgfältige Auswahl der KI-Dienstleister und Auftragsverarbeitung

Viele Unternehmen entwickeln keine eigene KI, sondern nutzen cloudbasierte KI-Dienste (KI-as-a-Service). In diesen Fällen handelt es sich in der Regel um eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO. Es ist zwingend erforderlich, dass Unternehmen mit dem KI-System-Anbieter einen Auftragsverarbeitungsvertrag (AV-Vertrag) abschließen. Dieser Vertrag stellt sicher, dass der Anbieter die Datenschutzvorgaben einhält und die Daten nicht zu eigenen Zwecken verwendet.

Besondere Vorsicht ist bei der Nutzung von KI-Tools aus sogenannten Drittstaaten (außerhalb der EU bzw. des EWR) geboten, wie beispielsweise den USA. Hier gelten zusätzliche Anforderungen gemäß Art. 44 ff. DSGVO. Unternehmen sollten prüfen, ob der Tool-Anbieter DPF-zertifiziert ist (Data Privacy Framework), um die Rechtmäßigkeit der Datenübertragung zu gewährleisten. Auch wenn große US-Anbieter wie Microsoft oder Zoom durch entsprechende Abkommen derzeit datenschutzkonform genutzt werden können, ist eine kontinuierliche Überprüfung der rechtlichen Rahmenbedingungen und der jeweiligen Zertifizierungen unerlässlich.

Datenschutz-Folgenabschätzung und Betroffenenrechte

Für KI-Systeme, die ein hohes Risiko für die Rechte und Freiheiten betroffener Personen darstellen, ist eine Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO erforderlich. Diese Bewertung hilft, potenzielle Risiken frühzeitig zu identifizieren und geeignete Maßnahmen zu deren Minderung zu entwickeln. Viele KI-Anwendungen, insbesondere solche, die zur Steuerung der Interaktion mit Betroffenen eingesetzt werden oder persönliche Merkmale analysieren, werden von Datenschutzbehörden als hochrisikobehaftet eingestuft.

Zudem müssen Unternehmen sicherstellen, dass die Betroffenenrechte – wie das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch – auch im Kontext von KI vollständig gewährleistet sind. Dies kann eine Herausforderung darstellen, da die genaue Nachvollziehbarkeit und Löschung von Daten innerhalb komplexer KI-Systeme nicht immer trivial ist. Eine enge Zusammenarbeit mit dem Datenschutzbeauftragten und gegebenenfalls externen Rechtsberatern ist hier ratsam.

Fazit und Ausblick

Künstliche Intelligenz und Datenschutz sind keine Gegensätze, sondern müssen Hand in Hand gehen. Ein verantwortungsvoller, datenschutzkonformer Einsatz von KI stärkt das Vertrauen von Kunden, Partnern und Mitarbeitern und ist ein entscheidender Faktor für den nachhaltigen Erfolg im digitalen Zeitalter. Unternehmen, die von Anfang an klare Regeln schaffen, Transparenz fördern und die genannten Leitprinzipien beherzigen, legen den Grundstein für eine sichere und zukunftsfähige Integration von KI in ihre Geschäftsprozesse. Die kontinuierliche Beobachtung der sich wandelnden Gesetzgebung und technologischen Entwicklungen bleibt dabei eine Daueraufgabe.

Bibliographie

- t3n.de: KI-Datenschutz: Diese 5 Regeln musst du dir merken. (Abgerufen am 11.10.2025). - ituso.de: KI und der Datenschutz – 5 goldene Datenschutzregeln. (Abgerufen am 11.10.2025). - checkliste.net: KI & Datenschutz – Die ultimative Checkliste für Unternehmen. (Abgerufen am 11.10.2025). - haendlerbund.de: ChatGPT und Datenschutz » wie sicher ist die KI?. (Abgerufen am 11.10.2025). - gesellschaft-datenschutz.de: Die 10 KI Gebote – So nutzen Sie KI rechtssicher. (Abgerufen am 11.10.2025). - e-recht24.de: Datenschutz in Zeiten von künstlicher Intelligenz: Was müssen Unternehmen beim Einsatz von KI beachten?. (Abgerufen am 11.10.2025). - anwalt-daum.de: KI & Datenschutz 2025: Wie Unternehmen Künstliche Intelligenz rechtssicher einsetzen. (Abgerufen am 11.10.2025). - datenschutzkanzlei.de: KI und Datenschutz: Wegweiser für einen datenschutzkonformen Einsatz von KI. (Abgerufen am 11.10.2025). - impulse.de: 5 datenschutzkonforme KI-Helfer für produktivere Meetings. (Abgerufen am 11.10.2025).