DSGVO und KI: was darf ins Modell?

Der Unterschied, auf den es ankommt

Privates oder kostenloses Konto: Eingaben können zum Training verwendet werden, es gibt keinen Auftragsverarbeitungsvertrag. Das ist datenschutzrechtlich der kritische Fall.

Geschäftskonto mit AVV: Eingaben werden nicht zum Training verwendet, die Verarbeitung ist vertraglich geregelt. Das ist der praktisch wichtigste Hebel. Mit einem solchen Konto ist die Nutzung eine reguläre Auftragsverarbeitung — vergleichbar damit, einen externen Dienstleister zu beauftragen.

Der Wechsel vom privaten auf ein Geschäftskonto kostet meist wenig, verändert aber die Rechtslage grundlegend.

Was zusätzlich geklärt sein muss

Auch mit Geschäftskonto und AVV braucht jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage — Vertrag, berechtigtes Interesse oder Einwilligung. Dazu gehört ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten.

Bei US-amerikanischen Anbietern ist der Ort der Verarbeitung zu prüfen — mehrere Anbieter ermöglichen inzwischen EU-Rechenzentren. Darüber hinaus gilt die Transparenzpflicht gegenüber Betroffenen: Wenn Kundendaten in ein KI-System fließen, ist das in Datenschutzhinweisen zu nennen.

Eine Regel, die im Alltag funktioniert

Wenn Sie es nicht in einer E-Mail an einen externen Dienstleister schreiben würden, schreiben Sie es auch nicht in ein KI-Werkzeug.

Unproblematisch: allgemeine Fragen, Textentwürfe ohne Personenbezug, Code, Auswertungen anonymisierter Inhalte.

Ohne AVV nicht: Namen, E-Mail-Adressen, Kundennummern, Inhalte aus Bewerbungsunterlagen, Gesundheitsangaben, Vertragsdetails mit Personenbezug.

Der Punkt, den kaum jemand kennt: KI-Kompetenz ist Pflicht

Seit dem 2. Februar 2025 gilt Artikel 4 des EU AI Acts: Alle Unternehmen, die KI-Systeme beruflich einsetzen, sind verpflichtet, für ausreichende KI-Kompetenz ihrer Mitarbeitenden zu sorgen.

Praktisch bedeutet das: eine kurze interne Schulung, eine schriftliche Nutzungsregelung und eine dokumentierte Unterweisung. Für einen kleinen Betrieb ist das der Aufwand eines Vormittags — aber er muss gemacht und nachgewiesen werden können.

Was das konkret für Sie bedeutet

Die Reihenfolge, die funktioniert:

1. 1. Erfassen, was benutzt wird. Welche KI-Werkzeuge nutzen Mitarbeitende — mit privaten Konten, Firmenkonten, gar nicht erfasst?
2. 2. Auf Geschäftskonten umstellen. Wo personenbezogene Daten hineinkommen könnten, braucht es ein Konto mit AVV.
3. 3. Nutzungsregelung schreiben. Eine Seite reicht: Was darf rein, was nicht, welche Werkzeuge sind freigegeben.
4. 4. Kurz schulen und dokumentieren. Für Artikel 4 EU AI Act: Termin, Inhalt, Teilnehmerliste.
5. 5. Ins Verarbeitungsverzeichnis aufnehmen. KI-Werkzeuge gehören als Verarbeitungstätigkeit eingetragen.