← Zurück zur Übersicht

8. März 2025

Datenschutz und KI: Wo gehen die Daten eigentlich hin?

Kaum ein Thema taucht in Gesprächen über KI im Unternehmen so schnell auf wie dieses:

„Was passiert eigentlich mit unseren Daten?“

Die Frage ist berechtigt, denn KI-Anwendungen funktionieren nur dann gut, wenn sie mit Informationen gefüttert werden. Leider oft auch mit internen Dokumenten, Kundeninformationen oder Prozessdaten. Für Unternehmen stellt sich damit automatisch eine zentrale Frage: Wer hat Zugriff auf diese Daten, und wo landen sie langfristig?

Gerade in Europa ist diese Frage auch wegen der regulatorischen Anforderungen relevant.

Der Kern des Problems: KI braucht Daten

Moderne KI-Systeme, im aktuellen Diskurs primär Large Language Models (LLMs), werden mit großen Datenmengen trainiert. In der Nutzung ist jedoch zu unterscheiden, ob Eingaben nur zur Antwortgenerierung verarbeitet werden oder zusätzlich in Produktverbesserung und Training einfließen.

Das führt zu einer wichtigen Unterscheidung bei der "Datennutzung":

Bei der Nutzung der Daten zur Antwortgenerierung werden Daten verarbeitet, um eine Anfrage zu beantworten.

Bei der Nutzung von Daten zur Modellverbesserung oder zum Training können Daten dagegen längerfristig verarbeitet werden und das Verhalten des Systems beeinflussen.

Gerade der zweite Punkt ist für Unternehmen kritisch. Wenn interne Dokumente oder sensible Informationen unkontrolliert in nachgelagerte Verarbeitungen einfließen, kann das Datenschutz, Geschäftsgeheimnisse und vertragliche Pflichten betreffen.

Pauschale Aussagen helfen hier wenig: Datenflüsse, Speicherort, Auftragsverarbeitungsvereinbarung, gewählter Tarif oder Kontotyp, Konfigurationen zur Datenverwendung, Löschfristen sowie technische und organisatorische Schutzmaßnahmen unterscheiden sich je nach Anbieter und Einsatzmodell erheblich. Ob Eingaben für Training oder Produktverbesserung verwendet werden, muss im Einzelfall anhand der vertraglichen und technischen Einstellungen des konkret eingesetzten Angebots geprüft werden.

Europäische Perspektive: Datenhoheit als strategisches Thema

Die Diskussion um KI in Europa ist deshalb stark geprägt von der Frage: Wer kontrolliert die Daten?

Mit der EU-KI-Verordnung (EU Artificial Intelligence Act) versucht die Europäische Union, klare Regeln für den Einsatz von KI zu schaffen. Dabei geht es nicht nur um Sicherheit und Transparenz, sondern auch um Verantwortlichkeiten im Umgang mit Daten.

Für viele Unternehmen bedeutet das vor allem eines:
Der Einsatz von KI wird künftig nicht mehr nur eine IT-Entscheidung sein, sondern auch eine Compliance-Frage.

Parallel dazu bleibt die Datenschutz-Grundverordnung (DSGVO / GDPR) relevant. Der EU AI Act und die DSGVO decken unterschiedliche, aber ergänzende Perspektiven ab. Der AI Act ersetzt daher keine Datenschutzprüfung.

Typische Risiken im Unternehmensalltag

In der Praxis entstehen Datenschutzprobleme meist nicht durch große strategische Projekte, sondern durch kleine, scheinbar harmlose Anwendungen.

Beispiel 1: Dokumente im KI-Chat

Ein Mitarbeiter lädt ein Vertragsdokument oder eine Kundenliste in ein frei verfügbares KI-Tool hoch, um eine Zusammenfassung erstellen zu lassen.

Fragen, die sich hier stellen:

  • Werden diese Daten gespeichert?
  • Werden sie für Trainingszwecke genutzt?
  • In welchem Land werden sie verarbeitet?

2. Interne Wissensdatenbanken mit KI

Viele Unternehmen beginnen derzeit damit, interne Dokumente mit KI durchsuchbar zu machen. Das ist grundsätzlich sinnvoll, aber nur dann, wenn klar ist:

  • wo die Daten gespeichert sind
  • wer Zugriff hat
  • wie lange sie vorgehalten werden

3. Schatten-KI im Arbeitsalltag

Häufig nutzen Mitarbeitende eigenständig KI-Tools, um Aufgaben schneller zu erledigen. Ohne freigegebene Alternativen, verständliche Datenregeln und klare Ansprechpersonen entstehen dabei schnell Risiken durch unkontrollierte Datenweitergabe.

Sieben Fragen vor der Freigabe eines KI-Tools

Vor einer breiteren Einführung hilft ein kompakter Freigabe-Check:

  1. Welche Daten sollen verarbeitet werden?
  2. Ist die Nutzung personenbezogener, vertraulicher oder besonders sensibler Daten vorgesehen?
  3. Wo und durch wen werden Daten verarbeitet und gespeichert?
  4. Gibt es einen passenden Vertrag bzw. eine Auftragsverarbeitungsvereinbarung?
  5. Werden Eingaben zur Modellverbesserung oder zum Training verwendet – und kann dies wirksam gesteuert werden?
  6. Wer darf auf Daten, Ergebnisse und Einstellungen zugreifen?
  7. Welche menschliche Prüfung und welche Freigabe sind vor einer externen Verwendung erforderlich?

Je nach eingesetztem System sollten diese Fragen kontextbezogen und mit angemessenen Maßnahmen beantwortet werden.

Der häufigste Fehler: Nutzung ohne klare Leitplanken

In vielen Unternehmen läuft die Entwicklung derzeit ähnlich ab:

  1. Ein Team entdeckt ein nützliches KI-Tool
  2. Erste Experimente beginnen
  3. Das Tool verbreitet sich intern
  4. Erst danach werden Datenregeln und Verantwortlichkeiten geklärt

Das Problem: Zu diesem Zeitpunkt sind Prozesse bereits entstanden. Ein Rückbau ist aufwendig, Produktivitätsverluste sind wahrscheinlich und der Überblick fehlt.

Deutlich effizienter ist es, frühzeitig eine strukturierte Betrachtung vorzunehmen:

  • Welche KI-Anwendungen sind sinnvoll?
  • Welche Daten dürfen genutzt werden?
  • Welche Schutzmaßnahmen sind für den konkreten Einsatz angemessen?

Fazit

KI kann erhebliche Effizienzgewinne ermöglichen, insbesondere für kleinere Unternehmen. Gleichzeitig verändert sie den Umgang mit Unternehmensdaten grundlegend.

Der praktikable Weg ist nicht: erst vollständige Governance, dann irgendwann Nutzung. Sinnvoller ist: Nutzung und Risiken zuerst verständlich machen, dann sichere und wirtschaftlich sinnvolle Anwendungen gezielt freigeben.

Datenhoheit bleibt dabei ein strategisches Thema: Schutz von Geschäftsgeheimnissen, Zugriffskontrolle, Nachvollziehbarkeit und die Vermeidung unkontrollierter Datenweitergabe.

Quellen