Fünf Punkte entscheiden über die DSGVO-Konformität einer KI-Automatisierung

Prozesse mit KI zu automatisieren spart Zeit. Fast immer fließen dabei personenbezogene Daten: Kundenanfragen, Bewerbungen, Rechnungen, E-Mails.

Damit ist jede KI-Automatisierung auch ein Datenschutzprojekt.

Die gute Nachricht: DSGVO-konforme KI-Automatisierung ist kein Widerspruch, sondern eine Frage der richtigen Reihenfolge. Wer die folgenden fünf Punkte vor der Einführung klärt, automatisiert auf sicherem Boden; wer sie überspringt, baut Altlasten auf, die später teuer zu reparieren sind.

Die fünf Punkte, die vor der Einführung zu klären sind

1. Zweck und Rechtsgrundlage zuerst

Bevor ein Tool ausgewählt wird, gehört die Grundfrage beantwortet: welche Daten fließen wozu, und auf welcher Rechtsgrundlage nach Art. 6 DSGVO?

Eine Automatisierung, die Bewerberdaten verarbeitet, steht auf anderer Grundlage als eine, die Rechnungen sortiert. Diese Klärung ist unspektakulär, entscheidet aber über alles Weitere, von der Anbieterwahl bis zur Information der Betroffenen.

2. Anbieterwahl: Auftragsverarbeitung und Datenresidenz

Sobald ein externer KI-Dienst personenbezogene Daten verarbeitet, braucht es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Seriöse Anbieter stellen diesen bereit und verarbeiten Eingaben standardmäßig nicht zum Training ihrer Modelle; genau das gehört geprüft und dokumentiert, nicht angenommen.

Die praktisch wichtigste Trennlinie verläuft bei der Frage, wo verarbeitet wird: EU-Datenresidenz und der Schutz vor Drittland-Zugriffen sind die Punkte, an denen sich Anbieter wirklich unterscheiden.

Bei US-Anbietern ist auf eine tragfähige Transfergrundlage zu achten, etwa eine Zertifizierung unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln. Für besonders sensible Prozesse kann auch der lokale Betrieb offener Modelle eine Option sein, er will aber wirtschaftlich gerechnet sein.

3. Datenminimierung: nicht alles gehört in das Modell

Automatisierung verführt dazu, ganze Postfächer oder Dokumentbestände in ein KI-System zu geben. Die DSGVO verlangt das Gegenteil: nur die Daten, die für den Zweck nötig sind.

In der Praxis heißt das, Eingaben vor der Verarbeitung zu reduzieren, wo möglich zu pseudonymisieren und Aufbewahrungsfristen für automatisiert verarbeitete Daten festzulegen. Gute Automatisierungen sind hier von Anfang an sparsam gebaut, statt nachträglich beschnitten.

4. Transparenz und menschliche Kontrolle

Betroffene haben Rechte, auch gegenüber automatisierten Abläufen: Auskunft, Berichtigung, Löschung. Die Datenschutzerklärung muss die Verarbeitung korrekt beschreiben. Und wo Automatisierung Entscheidungen mit Wirkung für Einzelne vorbereitet, etwa im Personalbereich, gehört eine menschliche Prüfung in den Ablauf; vollautomatisierte Einzelentscheidungen mit rechtlicher Wirkung sind nach Art. 22 DSGVO nur in engen Grenzen zulässig. Der Mensch im Prozess ist dabei kein Bremsklotz, sondern die Stelle, an der Fehler der Automatisierung auffallen, bevor sie Schaden anrichten.

5. Die KI-Verordnung läuft parallel mit

DSGVO-Konformität allein genügt seit Inkrafttreten der KI-Verordnung nicht mehr. Wer KI-Systeme einsetzt, ist Betreiber im Sinne der Verordnung und trägt eigene Pflichten: KI-Kompetenz nach Art. 4 für alle, die mit den Systemen arbeiten, Transparenzpflichten nach Art. 50 bei Systemen mit Außenwirkung, und je nach Konstellation mehr, siehe Anbieter oder Betreiber und die Fristen-Übersicht.

Datenschutz und KI-Verordnung gehören deshalb in dieselbe Prüfung, nicht in zwei getrennte Projekte.

Reihenfolge schlägt Nachrüstung

In der Praxis bewährt sich diese Abfolge: erst den Prozess und die Datenflüsse verstehen, dann Zweck und Rechtsgrundlage festhalten, dann den Anbieter nach den Kriterien oben auswählen, dann sparsam bauen und die menschliche Kontrolle einplanen, und zum Schluss Dokumentation und Schulung, damit der Betrieb nachweisbar geregelt ist.

Das ist kein Bürokratie-Programm: Sauber aufgesetzt kostet der Datenschutz-Teil einer Automatisierung einen überschaubaren Anteil des Projekts und erspart die teure Nachrüstung.

Genau so setzen wir Automatisierungen auf: von der Strategie über die Anbieterwahl bis zur technischen Umsetzung, DSGVO und KI-Verordnung von Anfang an mitgedacht. Wenn Sie eine Automatisierung planen oder eine bestehende absichern wollen: In einem kostenlosen Erstgespräch sagen wir Ihnen ehrlich, wo Ihr Vorhaben steht.

Wo die Anbieterprüfung in der Gesamtplanung sitzt, steht in KI-Strategie im Mittelstand.