DSGVO-konforme KI: Datenhoheit im Unternehmen behalten

Es passiert jeden Tag, in jedem Unternehmen: Ein Mitarbeiter kopiert eine Kundenliste, einen Vertrag oder eine Krankmeldung in ChatGPT, um schnell eine Zusammenfassung zu bekommen. Praktisch. Und genau in diesem Moment verlassen personenbezogene Daten Ihr Haus — oft auf einen Server in den USA, ohne Vertrag, ohne Wissen der Geschäftsführung.

Das ist kein theoretisches Risiko. Mehr als die Hälfte der Beschäftigten, die KI-Tools nutzen, tun das ohne Freigabe ihres Arbeitgebers (Software AG, 2024). Man nennt das „Shadow AI“ — und es ist eines der größten ungelösten Datenschutz-Themen im Mittelstand.

Die gute Nachricht: KI nutzen und Datenhoheit behalten ist kein Widerspruch. Man muss nur wissen, worauf es ankommt.

Warum das kostenlose KI-Tool das teuerste sein kann

Wenn Sie Daten in ein öffentliches KI-Tool geben, stellen sich drei Fragen:

• Wo werden die Daten verarbeitet? Bei vielen US-Diensten auf Servern in den USA. Ein Datentransfer dorthin braucht eine Rechtsgrundlage — die im Alltag selten sauber geregelt ist.
• Werden meine Daten zum Training genutzt? Bei kostenlosen Verbraucher-Versionen oft ja. Ihre Kundendaten können so Teil des Modells werden.
• Gibt es einen Vertrag? Ohne Auftragsverarbeitungsvertrag (AVV) fehlt die Grundlage für jede geschäftliche Nutzung mit personenbezogenen Daten.

Kommt dann eine Prüfung oder ein Datenleck, haftet nicht das KI-Tool, sondern Ihr Unternehmen. Bei Verstößen gegen die DSGVO drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Was „DSGVO-konforme KI“ wirklich bedeutet

Der Begriff wird inflationär benutzt. Konkret stecken fünf Anforderungen dahinter:

Wichtig: „DSGVO-konform“ ist kein Siegel, das man einmal kauft. Es ist die Summe aus dem richtigen Anbieter und dem richtigen Umgang im eigenen Haus.

Die gute Nachricht: Sie müssen nicht auf gute KI verzichten

Ein verbreiteter Irrtum lautet: „DSGVO-konform“ bedeutet „schlechtere KI“. Das stimmt nicht mehr. Es gibt heute zwei saubere Wege:

Weg 1: EU-Gateway vor leistungsstarke Modelle

Statt Daten direkt an einen US-Anbieter zu schicken, läuft alles über eine Plattform mit EU-Hosting und AVV. Diese leitet Anfragen kontrolliert an das jeweils beste Modell weiter — mit der vertraglichen Zusage, dass nichts gespeichert oder trainiert wird. Sie bekommen die Qualität aktueller Spitzenmodelle, ohne die Datenhoheit aufzugeben. Genau auf diesem Prinzip baut Naviqo Kundenlösungen auf.

Weg 2: Europäische und offene Modelle

Anbieter wie Mistral (Frankreich) oder quelloffene Modelle, die auf europäischen Servern laufen, sind für viele Aufgaben völlig ausreichend — und halten die Daten von vornherein in der EU.

Der entscheidende Punkt: Sie bleiben anbieter-unabhängig. Wechselt die Rechtslage oder ein besseres Modell kommt heraus, tauschen Sie es im Hintergrund aus — ohne dass sich für Ihre Mitarbeiter etwas ändert.

Shadow AI: Das Problem, das niemand sieht

Die größte Gefahr ist nicht das eine offizielle KI-Projekt. Es sind die vielen inoffiziellen Nutzungen, von denen die Geschäftsführung nichts weiß. Drei Schritte holen das zurück:

• Anerkennen statt verbieten: Ein Verbot treibt die Nutzung nur in den Untergrund. Mitarbeiter nutzen KI, weil sie hilft — geben Sie ihnen ein sicheres Werkzeug.
• Eine freigegebene Lösung bereitstellen: Wenn das offizielle Tool genauso gut und einfach ist, verschwindet der Anreiz für Schatten-Tools.
• Klare Regeln: Eine kurze, verständliche KI-Richtlinie — was darf rein, was nicht — wirkt mehr als jedes pauschale Verbot.

Ihre Checkliste: In 5 Schritten zu DSGVO-konformer KI

1. Bestandsaufnahme: Welche KI-Tools nutzen Ihre Mitarbeiter heute schon — offiziell und inoffiziell?
2. Anbieter prüfen: EU-Hosting? Kein Training? AVV verfügbar? Drei Fragen, die jeder seriöse Anbieter klar beantwortet.
3. Sichere Lösung einführen: Ein freigegebenes Werkzeug für alle, statt zwanzig private Accounts.
4. Richtlinie aufsetzen: Eine Seite, die jeder versteht. Was darf rein, was nicht, wer entscheidet im Zweifel. Für die KI-Kompetenz nach Art. 4 AI Act kommt eine Einweisung dazu, deren Umfang sich danach richtet, wie sensibel der Einsatz ist.
5. Dokumentieren: Halten Sie fest, welche Tools mit welcher Grundlage genutzt werden. Das ist Ihre Absicherung im Prüffall.

Klingt nach Aufwand? Mit dem richtigen Setup ist das eine Sache von Tagen, nicht Monaten — und danach können Ihre Mitarbeiter KI nutzen, ohne dass Ihnen mulmig wird.

DSGVO-konforme KI besprechen →

Kurz notiert

• Shadow AI ist Realität: Über die Hälfte nutzt KI ohne Freigabe. Ein sicheres Werkzeug schlägt jedes Verbot.
• EU-Hosting, kein Training, AVV — die drei Fragen, die jede KI-Einführung klären muss. Mehr zu unseren KI-Lösungen →
• Bis zu 50 % Förderung auch für datenschutzkonforme KI-Einführung. Zur Förderung →
• Wo stehen Sie? Der kostenlose KI-Readiness-Check → zeigt Ihren Stand in 5 Minuten.