In vielen Unternehmen hat die Nutzung von KI-Werkzeugen nicht mit einer Entscheidung begonnen, sondern einfach so. Jemand hat ausprobiert, wie gut ein Chatbot E-Mails formuliert. Dann hat jemand anderes eine Kundenbeschwerde hineinkopiert, um eine Antwort vorzubereiten. Und irgendwann stand in einem Eingabefeld eine komplette Kundenliste.
Diese Checkliste hilft Ihnen, den Einsatz von KI-Werkzeugen geordnet aufzusetzen. Sie ersetzt keine Rechtsberatung und keine Prüfung durch Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten. Sie zeigt aber, welche Fragen vorher geklärt sein sollten.
Das Werkzeug und der Anbieter
Gibt es einen Unternehmenstarif?
Viele KI-Anbieter unterscheiden zwischen Verbraucherversionen und Angeboten für Unternehmen. Die Unternehmensversionen bieten in der Regel bessere vertragliche Zusagen, Verwaltung von Nutzerkonten und klare Regeln zur Datenverwendung. Für den geschäftlichen Einsatz sollte das der Ausgangspunkt sein.
Liegt ein Vertrag zur Auftragsverarbeitung vor?
Wenn das Werkzeug personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie nach Artikel 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Seriöse Anbieter stellen ihn für Geschäftskunden bereit.
Werden Eingaben zum Training verwendet?
Klären Sie, ob der Anbieter Ihre Eingaben und Ergebnisse nutzt, um seine Modelle zu verbessern. Bei vielen Unternehmenstarifen ist das ausgeschlossen, bei Verbraucherversionen oft nur über eine Einstellung abschaltbar. Diese Einstellung muss dann zentral geregelt sein, nicht im Ermessen jedes Einzelnen.
Wo werden die Daten verarbeitet?
Werden Daten außerhalb der EU verarbeitet, etwa in den USA, braucht es eine Grundlage für die Übermittlung. Für Anbieter, die unter dem EU-US Data Privacy Framework zertifiziert sind, gilt seit Juli 2023 ein Angemessenheitsbeschluss der EU-Kommission. Manche Anbieter bieten zudem eine Datenverarbeitung in Europa an. Prüfen Sie, was für Ihr Werkzeug gilt.
Wie lange werden Daten gespeichert?
Fragen Sie nach Speicherfristen für Eingaben, Gesprächsverläufe und hochgeladene Dateien. Können Sie Verläufe selbst löschen? Gibt es eine automatische Löschung?
Die Daten
Was niemals hineingehört
Legen Sie eine klare Liste fest. Typisch sind:
- besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO, etwa Gesundheitsdaten
- Zugangsdaten, Passwörter, Schlüssel
- Geschäftsgeheimnisse, nicht veröffentlichte Zahlen, Verträge
- vollständige Kundenlisten und Personalakten
Was nur anonymisiert hineingehört
Viele Aufgaben funktionieren genauso gut ohne echte Namen. Eine Kundenbeschwerde lässt sich beantworten, ohne dass Name, Adresse und Kundennummer im Eingabefeld stehen. Gewöhnen Sie Ihrem Team an, solche Angaben vor dem Einfügen zu entfernen oder durch Platzhalter zu ersetzen.
Was ausdrücklich erlaubt ist
Genauso wichtig ist eine positive Liste. Öffentliche Informationen, eigene Texte ohne Personenbezug, allgemeine Fachfragen und Entwürfe für Marketingtexte sind meist unkritisch. Wo KI beim Schreiben wirklich hilft, beschreibt unser Beitrag zu KI-Texten auf der Firmenwebsite. Wer weiß, was erlaubt ist, nutzt die Werkzeuge sicherer, als wer nur Verbote kennt.
Die Organisation
Wer darf welches Werkzeug nutzen?
Führen Sie eine Liste freigegebener Werkzeuge und richten Sie Konten zentral ein. Private Konten für geschäftliche Zwecke sind problematisch, weil Sie keinen Einfluss auf Einstellungen und Daten haben und beim Ausscheiden einer Person keinen Zugriff mehr.
Ist die Nutzung dokumentiert?
Nehmen Sie die Nutzung in Ihr Verzeichnis von Verarbeitungstätigkeiten auf, soweit personenbezogene Daten betroffen sind. Halten Sie fest, wofür das Werkzeug eingesetzt wird, welche Daten verarbeitet werden und welcher Vertrag besteht.
Braucht es eine Folgenabschätzung?
Bei Verarbeitungen mit voraussichtlich hohem Risiko verlangt die DSGVO eine Datenschutz-Folgenabschätzung. Das kann zum Beispiel der Fall sein, wenn KI Bewerbungen vorsortiert oder Gesundheitsdaten auswertet.
Sind Kunden informiert?
Setzen Sie KI in der Kommunikation mit Kunden ein, etwa bei der Beantwortung von Anfragen, gehört ein Hinweis in Ihre Datenschutzerklärung.
Ist das Team geschult?
Seit dem 2. Februar 2025 verlangt Artikel 4 der KI-Verordnung von Unternehmen, die KI-Systeme einsetzen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Eine kurze Schulung zu sicherer Nutzung, Datenschutz und typischen Fehlern der Werkzeuge ist ein guter Anfang.
Die Ergebnisse
Wer prüft, was herauskommt?
KI-Werkzeuge erfinden gelegentlich Fakten. Ergebnisse, die an Kunden gehen oder Entscheidungen beeinflussen, brauchen deshalb eine Prüfung durch einen Menschen. Bei Entscheidungen über Personen gelten zusätzlich die Grenzen der DSGVO für automatisierte Einzelentscheidungen.
So kann eine Regel im Alltag klingen
Regeln werden eher befolgt, wenn sie kurz und verständlich sind. Ein Beispiel, wie ein Absatz in einer internen Richtlinie aussehen könnte:
„Für Texte, Übersetzungen und Recherchen nutzen wir ausschließlich das freigegebene KI-Werkzeug mit Ihrem Firmenkonto. Namen, Adressen, Kundennummern und Vertragsdetails ersetzen Sie vor dem Einfügen durch Platzhalter. Gesundheitsdaten, Personalunterlagen und Zugangsdaten geben Sie niemals ein. Jedes Ergebnis, das an Kunden geht, lesen und prüfen Sie selbst. Bei Unsicherheit fragen Sie vorher.“
Solch ein Absatz ersetzt keine vollständige Richtlinie, aber er deckt die häufigsten Fehler ab. Hängen Sie ihn dort aus, wo die Werkzeuge genutzt werden, etwa im Intranet oder direkt in der Anleitung zum Firmenkonto.
Die Checkliste in Kurzform
- Unternehmenstarif statt Verbraucherversion
- Auftragsverarbeitungsvertrag liegt vor
- Training mit Eingaben ausgeschlossen oder zentral abgeschaltet
- Datenstandort und Übermittlungsgrundlage geklärt
- Speicher- und Löschfristen bekannt
- Liste verbotener, anonymisierter und erlaubter Daten
- freigegebene Werkzeuge mit zentralen Konten
- Verzeichnis von Verarbeitungstätigkeiten ergänzt
- Bedarf für Folgenabschätzung geprüft
- Datenschutzerklärung angepasst, wo nötig
- Team geschult
- Prüfung der Ergebnisse durch Menschen geregelt
Wenn Sie KI nicht nur als Chatbot nutzen, sondern in eigene Abläufe einbinden möchten, etwa mit Daten aus Ihren Systemen, achten wir bei der Entwicklung von Anfang an auf diese Punkte. Mehr dazu unter Individualsoftware und KI-Integration. Wie KI beim Schreiben für die Website hilft und wo nicht, beschreiben wir auf unserer Seite zu SEO und KI-Sichtbarkeit.