Datenschutz ist die größte Hürde beim KI-Einsatz: Laut Bitkom nennen ihn 66 Prozent der Unternehmen, die KI bereits nutzen. Die deutschen Datenschutzbehörden haben dazu 2024 die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ veröffentlicht. Sie gliedert die Prüfung in drei Phasen: Auswahl, Einrichtung und Nutzung. Die folgende Checkliste fasst die wichtigsten Punkte für den Alltag im Mittelstand zusammen.
Die Checkliste
- Zweck festlegen. Wofür genau soll die KI eingesetzt werden? „Wir probieren mal“ ist kein Zweck. Ein klarer Zweck entscheidet, welche Daten Sie überhaupt brauchen.
- Personenbezogene Daten prüfen. Verarbeitet die KI Namen, E-Mails, Kundendaten oder Daten von Beschäftigten? Wenn möglich, Daten weglassen oder pseudonymisieren.
- Rechtsgrundlage klären. Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach der DSGVO, etwa einen Vertrag oder ein berechtigtes Interesse.
- Anbieter prüfen. Wo werden die Daten verarbeitet, in der EU oder in einem Drittland? Gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO?
- Training mit Ihren Daten ausschließen. Viele Anbieter nutzen Eingaben in kostenlosen Tarifen zum Training. Prüfen Sie, ob das in Ihrem Tarif ausgeschlossen ist.
- Datenschutz-Folgenabschätzung prüfen. Bei Profiling oder umfangreicher Verarbeitung sensibler Daten, etwa Gesundheitsdaten, kann sie Pflicht sein (Art. 35 DSGVO).
- Keine Entscheidung ohne Menschen. Entscheidungen mit rechtlicher Wirkung für Personen, zum Beispiel über eine Bewerbung, dürfen nicht allein die KI treffen (Art. 22 DSGVO).
- Transparent informieren. Beschreiben Sie den KI-Einsatz in Ihrer Datenschutzerklärung, wenn personenbezogene Daten betroffen sind.
- Regeln und Schulung. Legen Sie in einer KI-Richtlinie fest, welche Tools erlaubt sind und welche Daten nicht hineingehören. Das hängt eng mit der KI-Schulungspflicht zusammen.
- Dokumentieren und überprüfen. Halten Sie fest, warum Sie sich für ein Tool entschieden haben, und schauen Sie regelmäßig, ob das noch stimmt.
Welche Fehler passieren am häufigsten?
- Verträge, Kundenlisten oder Personalunterlagen landen in einem kostenlosen öffentlichen Chatbot.
- Einzelne Beschäftigte nutzen eigene Konten, von denen niemand im Unternehmen weiß.
- Es gibt keinen Vertrag zur Auftragsverarbeitung mit dem KI-Anbieter.
- KI-Ergebnisse werden ungeprüft an Kunden weitergegeben.
Der einfachste Weg: Daten gar nicht erst herausgeben
Viele Punkte der Liste werden leichter, wenn die KI auf Ihrem eigenen Server oder in einem Rechenzentrum in Deutschland läuft. Dann verlassen die Daten Ihr Unternehmen nicht, und es gibt keinen Drittlandtransfer. Wann sich das lohnt, steht in Lokale KI statt Cloud.
Dieser Beitrag ist keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich an Ihren Datenschutzbeauftragten oder Ihre Rechtsberatung.
Quellen
- Datenschutzkonferenz: Pressemitteilung zur Orientierungshilfe „KI und Datenschutz“ (6. Mai 2024)
- IHK Hannover: KI datenschutzkonform einsetzen
- Haufe: Orientierungshilfe der DSK: KI und Datenschutz
- LfDI Baden-Württemberg: Navigationshilfe ONKIDA
- Bitkom: Erstmals nutzt die Mehrheit der Unternehmen KI (14. September 2026)
