KI DSGVO-konform einsetzen: die ehrliche Checkliste für den Mittelstand
Bevor das erste KI-Tool live geht: die sechs Punkte, an denen Datenschutz-Projekte im Mittelstand wirklich scheitern — und wie Du sie vorher abräumst.
KI scheitert im Mittelstand selten an der Technik. Sie scheitert daran, dass niemand vorher die richtigen Fragen gestellt hat. Hier sind die sechs, die wirklich zählen.
1. Wo liegen die Daten?
Die wichtigste Frage zuerst: Verlassen die Daten Dein Haus? Viele KI-Tools schicken Eingaben in eine US-Cloud. Für sensible Daten ist das ein Problem — Stichwort Drittlandtransfer. Die saubere Alternative: ein Modell, das auf einem dedizierten Server in Deutschland oder direkt bei Dir im Haus läuft.
2. Gibt es einen AVV?
Sobald ein Dienstleister personenbezogene Daten in Deinem Auftrag verarbeitet, brauchst Du einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Kein AVV, keine Unterschrift. Dazu gehören auch die technischen und organisatorischen Maßnahmen (TOMs) und eine Liste der Unterauftragsverarbeiter.
3. Ist der Use-Case Hochrisiko?
Der EU AI Act unterscheidet Risikoklassen. Bewertet die KI Menschen — etwa beim Recruiting — ist das ein Hochrisiko-System mit eigenen Pflichten: menschliche Letztentscheidung, Protokollierung, Diskriminierungs-Schutz. Das muss man wissen, bevor man baut.
4. Ist der Betriebsrat im Boot?
Wenn KI Mitarbeiter betrifft — Postfächer liest, Anrufe protokolliert, Leistung messbar macht — ist das mitbestimmungspflichtig (§ 87 BetrVG). Wer den Betriebsrat erst nach dem Go-live informiert, hat schon verloren.
5. Trainiert das Modell auf Deinen Daten?
Eine simple Vertragsfrage mit großer Wirkung: Werden Deine Eingaben zum Training fremder Modelle genutzt? Die Antwort muss schriftlich „nein“ sein.
6. Wer entscheidet im Zweifel?
Gute KI im Unternehmen hat immer einen Menschen in der Schleife. Ein Buchungsvorschlag ist kein Buchungsbefehl. Ein Bewerber-Score ist keine Absage. Die Letztentscheidung bleibt beim Menschen — das ist nicht nur rechtlich sauber, sondern schafft auch Akzeptanz im Team.
Kurz gesagt: DSGVO-konforme KI ist kein Widerspruch. Sie ist eine Frage der richtigen Architektur und der richtigen Verträge — beides klärt man vor der ersten Zeile Code, nicht danach.