KI und Datenschutz: Wie können Unternehmen Künstliche Intelligenz sicher einsetzen?
Wie sich KI und Datenschutz in Unternehmen sinnvoll vereinen lassen, welche Risiken cloudbasierte KI birgt und wann lokale KI die bessere Wahl ist.
KI und Datenschutz gehören untrennbar zusammen, denn Unternehmen können Künstliche Intelligenz nur dann sinnvoll einsetzen, wenn personenbezogene Daten, Betriebsgeheimnisse und sensible Informationen geschützt sind. Genau hier stellt sich für viele Unternehmen die Frage: Wie lässt sich KI nutzen, ohne rechtliche oder sicherheitsrelevante Risiken einzugehen?
Die gute Nachricht ist: Ja, KI lässt sich sicher nutzen – aber nicht mit jeder KI-Lösung. Den Fragen, wie Unternehmen künstliche Intelligenz und Datenschutz zusammenbringen und wo die Grenzen der öffentlichen KIs wie ChatGPT liegen, gehen wir in diesem Artikel nach.
Warum Datenschutz beim Einsatz von KI mitdenken?
Datenschutz und -sicherheit müssen beim Einsatz von KI berücksichtigt werden, weil KI-Systeme regelmäßig mit sensiblen Daten arbeiten – also mit Daten, die sehr wertvoll sind und nicht in falsche Hände geraten sollten.
KI wird z.B. eingesetzt für:
- interne Wissenssysteme
- Dokumentenanalyse
- Code- und Textgenerierung
- Prozessautomatisierung
Dabei werden schnell personenbezogene Daten, Kundeninformationen oder internes Know-how verarbeitet. Ohne klare Regeln kann das dazu führen, dass sensible Informationen unkontrolliert an externe KI-Anbieter weitergegeben werden.
Was bedeutet Datenschutz in der Nutzung von KI genau?
KI-Compliance bedeutet im Unternehmenskontext, dass jede KI-Nutzung sowohl mit Blick auf DSGVO-Konformität als auch auf Datensicherheit bewertet werden muss.
Dabei geht es um zwei Ebenen:
- Datenschutz (DSGVO): Schutz personenbezogener Daten
- Datensicherheit: Schutz aller sensiblen Unternehmensdaten – auch solcher, die nicht personenbezogen sind
Und genau hier entsteht oft ein Trugschluss: DSGVO-Konformität bedeutet nicht automatisch auch Sicherheit für Unternehmensgeheimnisse.
Welche Anforderungen stellt der Datenschutz nach DSGVO?
Datenschutz nach DSGVO bedeutet, dass die Verarbeitung personenbezogener Daten rechtlich abgesichert, transparent und kontrollierbar erfolgen muss.
Ein zentraler Baustein dabei ist der Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter:
- Der AVV regelt, wie personenbezogene Daten verarbeitet werden
- Er schafft eine rechtliche Grundlage nach DSGVO
Damit befindet man sich im grünen Bereich nach DSGVO.
Aber: Ein AVV schützt nicht automatisch vor dem Abfluss von Betriebsgeheimnissen oder vertraulichem Unternehmenswissen. Interne Informationen können weiterhin das Unternehmen verlassen.
Ein AVV löst also den rechtlichen Datenschutz, aber nicht das Sicherheitsproblem sensibler Unternehmensdaten. Gerade bei z.B. Geschäftsgeheimnissen, strategischen Dokumenten, Quellcode oder internen Entscheidungsgrundlagen bleibt bei Cloud-KI immer ein Restrisiko.
Das zeigt das Beispiel einer ChatGPT Datenpanne in Italien, die zum vorübergehenden Verbot von ChatGPT geführt hat. Dabei wurden Daten aus Unterhaltungen mit ChatGPT und auch Zahlungsinformationen geleakt.
Zwar bietet OpenAI die Möglichkeit, einen AVV abzuschließen, doch viele Datenschutzexpert*innen raten dennoch zur Zurückhaltung. Grund dafür sind unter anderem die eingeschränkte Transparenz der Datenverarbeitung, begrenzte Kontrollmöglichkeiten und offene Fragen zur Nutzung von Eingaben und Trainingsdaten. Darauf weisen Datenschutzberatungen wie Proliance hin.
Was sind die Risiken bei der Nutzung von cloudbasierten KI-Systemen?
Typische Risiken cloudbasierter KI-Systeme sind:
- Datenverarbeitung außerhalb der eigenen Infrastruktur
- fehlende Transparenz über Speicherorte
- unklare Nutzung von Eingaben für Modellverbesserung
- begrenzte Kontrollmöglichkeiten
Auch die Schatten-IT kann zum Problem werden: Bieten Unternehmen Ihren Mitarbeitenden keine KI-Lösung an, kann es dazu kommen, dass sie private KI-Accounts nutzen, um sich die tägliche Arbeit zu vereinfachen.
Wie können Unternehmen KI sicher einsetzen?
Immer mehr Unternehmen entscheiden sich bewusst gegen cloudbasierte KI-Dienste für interne Anwendungsfälle. Unternehmen können KI dann wirklich sicher einsetzen, wenn die KI z.B. nur lokal auf Unternehmensdaten zugreift.
Was ist eine lokale KI?
Lokale KI bedeutet, dass das Sprachmodell (LLM) auf eigener Hardware oder in einer privaten Cloud-Instanz betrieben wird, ohne dass Daten an externe Provider abfließen.
Eine lokale KI-Lösung bietet entscheidende Vorteile:
- Daten bleiben vollständig im Unternehmen
- Kein Abfluss sensibler Informationen
- Volle Kontrolle über Modelle, Daten und Zugriffe
- DSGVO-konform und sicher für Betriebsgeheimnisse
So finden künstliche Intelligenz und Datenschutz zusammen.
Welche Fragen sollten sich Unternehmen zu KI und Datenschutz stellen?
Unternehmen sollten sich zu KI und Datenschutz nicht nur rechtliche, sondern auch strategische Fragen stellen.
Zum Beispiel:
- Welche Daten darf unsere KI verarbeiten?
- Reicht ein AVV aus oder brauchen wir mehr Kontrolle?
- Gibt es Daten, die das Unternehmen nie verlassen dürfen?
- Wie schützen wir unser internes Wissen langfristig?
Diese Fragen entscheiden darüber, ob KI zum Risiko oder zum echten Mehrwert wird und ob eine lokale Lösung nicht sinnvoller wäre.
Welche Rolle spielt der EU AI Act für Unternehmen?
Der EU AI Act verpflichtet Unternehmen dazu, den Einsatz von KI transparenter, kontrollierbarer und risikobewusst zu gestalten.
Der EU AI Act ergänzt die DSGVO und stellt zusätzliche Anforderungen an den Einsatz von KI-Systemen, insbesondere für Unternehmen in Hochrisiko-Anwendungsbereichen, wie im Gesundheits- und Bankwesen oder im Bereich der kritischen Infrastruktur.
Hier zeigt sich ein Vorteil lokaler KI-Lösungen:
Unternehmen behalten deutlich mehr Kontrolle darüber, wie KI-Systeme funktionieren, welche Daten sie verarbeiten und wie die Anforderungen des EU AI Acts eingehalten werden.
Fazit: Wie lassen sich KI und Datenschutz sinnvoll vereinen?
KI und Datenschutz lassen sich vereinen, wenn Unternehmen bewusst entscheiden, wo ihre Daten verarbeitet werden.
Durch AVVs werden Daten bei der Verwendung einer KI zwar nach DSGVO geschützt, am sichersten sind interne sensible Daten aber, wenn Sie eine lokale KI verwenden. So behalten Sie die Kontrolle über Betriebsgeheimnisse und andere wichtige Daten.
Künstliche Intelligenz und Datenschutz stehen also nicht im Widerspruch.
