Datenschutz
Die KI-Verordnung ersetzt die DSGVO nicht. Sobald ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke nebeneinander. Ich prüfe mit Ihnen, welche Werkzeuge Sie einsetzen dürfen, was vertraglich fehlt und wo eine Datenschutz-Folgenabschätzung nötig wird.
Projekt besprechen
Vor der Werkzeugfrage steht die Kontofrage. Geschäftliche Nutzung gehört in ein geschäftliches Konto, nicht in einen privaten Zugang. Für die Verarbeitung im Auftrag ist ein Vertrag nach Art. 28 DSGVO erforderlich. Zusätzlich ist zu klären, ob der Anbieter Eingaben zur Modellverbesserung nutzt und wie lange er sie speichert. Beides lässt sich bei den gängigen Anbietern einstellen, ist aber selten die Voreinstellung.
Viele KI-Dienste verarbeiten Daten außerhalb der EU. Dann sind die Grundlage der Übermittlung, der Status des Anbieters und die eigene Risikoabwägung zu dokumentieren. Unabhängig davon gilt die Datenminimierung: Was nicht in den Prompt muss, gehört nicht hinein. Gekürzte oder pseudonymisierte Eingaben senken das Risiko wirksamer als jede nachträgliche Vertragsklausel.
Bei voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Automatisierte Letztentscheidungen über Personen sind nach Art. 22 DSGVO nur eingeschränkt zulässig, eine menschliche Prüfung bleibt notwendig. Den Rahmen bildet eine interne Richtlinie mit zugelassenen Werkzeugen, verbotenen Eingaben und klaren Zuständigkeiten. Eine individuelle Rechtsberatung ist nicht Bestandteil der Leistung.
Kontakt