KI und Datenschutz: vier Fragen an jedes KI-System

Ob ein KI-System zum Datenschutz in Ihrem Unternehmen passt, zeigen vier Fragen: Wo werden die Daten verarbeitet? Fließen sie ins Training des Anbieters? Gelten die Berechtigungen aus Ihren bestehenden Programmen? Wie funktionieren Auskunft und Löschung? Der Hinweis „DSGVO-konform“ in einer Produktbeschreibung beantwortet keine davon. Dieser Beitrag ersetzt keine Rechtsberatung, er hilft beim Vorbereiten des Gesprächs mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten.

1. Der Ort der Verarbeitung

Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Daraus sollte auch hervorgehen, in welchen Ländern die Daten liegen. Für Anbieter in den USA gibt es seit dem 10.07.2023 einen Angemessenheitsbeschluss der EU-Kommission, er gilt für Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind. Die Aussage „Wir haben eine eigene KI“ sagt über den Ort der Verarbeitung nichts aus.

2. Training mit Ihren Daten

Bei den Geschäftsangeboten der großen Anbieter ist das Training mit Kundendaten nach deren Angaben standardmäßig ausgeschlossen. OpenAI schreibt das für seine Schnittstelle und die Business-Tarife von ChatGPT auf seiner Seite zum Datenschutz für Unternehmen. Anthropic hat bei der Änderung seiner Verbraucherbedingungen festgehalten, dass sie für die Schnittstelle und die Geschäftsangebote nicht gelten. Bei kostenlosen Verbraucherversionen sieht das anders aus, dort entscheiden die Einstellungen im Konto.

Daraus folgt eine schriftliche Regel im Unternehmen: welche Werkzeuge für welche Daten verwendet werden dürfen. Mandanten- oder Patientendaten gehören nicht in ein privates Konto.

3. Die Berechtigungen

Eine KI-Suche über die eigenen Unterlagen darf nur zeigen, was die fragende Person auch in der Ablage öffnen dürfte. Übernimmt das System die Berechtigungen nicht, kann eine Mitarbeiterin plötzlich Gehaltsdaten erfragen, die sie vorher nie gesehen hätte. Wie sich das vor dem Anbinden prüfen lässt, steht im Beitrag Unternehmenswissen mit KI durchsuchen.

4. Auskunft und Löschung

Wer Auskunft nach Art. 15 DSGVO verlangt oder die Löschung nach Art. 17, muss eine vollständige Antwort bekommen. In einem KI-System können Kopien personenbezogener Daten an mehreren Stellen liegen: in der Wissensbasis, in Protokollen und in Zwischenspeichern des Anbieters. Vor dem Start sollte klar sein, wie sich diese Stellen durchsuchen und bereinigen lassen und wie lange der Anbieter Eingaben speichert. Für eine Datenpanne gilt die Meldefrist von 72 Stunden nach Art. 33 DSGVO auch dann, wenn sie im KI-System passiert.

Bevor Sie ein System auswählen

Die vier Fragen lassen sich jedem Anbieter schriftlich stellen. Welche weiteren Punkte vor einer Entscheidung geklärt sein sollten, steht im Beitrag Was Unternehmen vor einer KI-Investition prüfen sollten.