KI-Agenten und DSGVO: Leitfaden für Unternehmen
Ob ein KI-Agent datenschutzgerecht eingesetzt werden kann, hängt vom konkreten Prozess ab. Ein EU-Server, ein Vertrag oder ein deaktiviertes Modelltraining allein reichen nicht aus. Prüfen Sie die gesamte Verarbeitung: vom Quelldokument über den Modellanbieter bis zu Protokollen, angeschlossenen Werkzeugen und der abschließenden Entscheidung.
Prüfung vor dem ersten Produktiveinsatz
KI-Agenten datenschutzgerecht planen: Datenflüsse, Rechtsgrundlage, Auftragsverarbeitung, Zugriffe und Löschung vor dem Einsatz prüfen.
- Zweck, betroffene Personen und erforderliche Daten festlegen; Rechtsgrundlage nach Artikel 6 prüfen. Für besondere Datenkategorien gelten zusätzliche Anforderungen nach Artikel 9.
- Daten minimieren und Verantwortlichkeiten klären. Bei Auftragsverarbeitung die Vereinbarung nach Artikel 28, Unterauftragnehmer und Weisungen prüfen.
- Speicherorte, Fernzugriffe und Weitergaben dokumentieren. Bei Drittlandübermittlungen die Voraussetzungen des Kapitels V gesondert prüfen.
- Zugriffe, Sicherheitsmaßnahmen, Aufbewahrungsfristen und Löschung festlegen. Auch Eingaben, Ausgaben, Suchindizes, Backups und Protokolle berücksichtigen.
- Informationspflichten, Betroffenenrechte und Vorfallprozesse organisieren. Prüfen, ob wegen eines voraussichtlich hohen Risikos eine Datenschutz-Folgenabschätzung vorab erforderlich ist.
Drei Einstellungen, drei unterschiedliche Fragen
Anbieterbeispiel zur Unterscheidung von Trainingsnutzung, Aufbewahrung, Anwendungszustand und regionaler Verarbeitung.
| Prüfpunkt | Was Sie nachweisen sollten |
|---|---|
| Datenresidenz | Welche Daten werden wo gespeichert und verarbeitet? Erfasst die Zusage auch Unterauftragnehmer, Support und angebundene Werkzeuge? |
| Nutzung zum Modelltraining | Gilt der Ausschluss für Ihr Produkt, Ihren Vertrag und die verwendeten Funktionen? Prüfen Sie optionale Freigaben separat. |
| Aufbewahrung und Löschung | Wie lange bleiben Inhalte, Anwendungszustand und Sicherheitsprotokolle erhalten? Keine Trainingsnutzung bedeutet nicht automatisch keine Speicherung. |
Beispiel: Ein Agent entwirft Supportantworten
Starten Sie mit anonymisierten Fällen. Der Agent erhält nur die benötigten Ticketfelder und freigegebene Wissensquellen. Schränken Sie Werkzeugrechte ein; sensible Antworten und Erstattungen gehen zunächst zur menschlichen Freigabe.
Testen Sie anschließend mit dem verantwortlichen Team: Wird ein Zugriff auf fremde Kundendaten verweigert? Werden Löschfristen in allen beteiligten Systemen umgesetzt? Lassen sich Fehler erkennen und Aktionen stoppen? Dokumentieren Sie Ergebnisse und offene Punkte vor der Freigabe.
Häufige Fragen zu KI und Datenschutz
Ist ein selbst gehostetes Modell automatisch DSGVO-konform?
Nein. Selbsthosting kann mehr Gestaltungsspielraum geben, verlagert aber Betrieb, Sicherheit, Zugriffssteuerung und Löschung auf das eigene Team. Externe Werkzeuge, Telemetrie oder Backups können weiterhin Daten übertragen. Die konkrete Verarbeitung bleibt zu prüfen.
Bedeutet eine EU-Region automatisch Zero Data Retention?
Nein. Region, Trainingsnutzung und Aufbewahrung sind getrennte Eigenschaften. OpenAI verlangt beispielsweise eine Freigabe für bestimmte Zero-Data-Retention-Kontrollen; einzelne Funktionen können weiterhin Anwendungszustand speichern. Prüfen Sie die Dokumentation für den konkreten Endpunkt.
Wie beginnen wir mit der Auswahl?
Beschreiben Sie einen begrenzten Anwendungsfall ohne personenbezogene Beispieldaten. Vergleichen Sie danach passende Betriebsmodelle anhand der Datenflüsse, Vertragsbedingungen und nachweisbaren Kontrollen. Beziehen Sie Datenschutz und IT-Sicherheit in die Entscheidung ein.
Quellen für die Prüfung
Insbesondere Artikel 5, 6, 9, 28, 32, 35 und Kapitel V. Die Checkliste unterstützt die Vorbereitung einer konkreten Prüfung.
DSGVO: amtlicher Verordnungstext
Insbesondere Artikel 5, 6, 9, 28, 32, 35 und Kapitel V. Die Checkliste unterstützt die Vorbereitung einer konkreten Prüfung.
OpenAI: Datenkontrollen der API
Anbieterbeispiel zur Unterscheidung von Trainingsnutzung, Aufbewahrung, Anwendungszustand und regionaler Verarbeitung.
Anwendungsfall strukturieren
In der Potenzialanalyse erfassen wir Aufgabe, Datenarten und Freigaben als Grundlage für die technische Auswahl. Senden Sie dabei keine vertraulichen Originaldaten.
Potenzialanalyse starten
Wenn Sie einen Prozess konkret priorisieren wollen, reichen wenige Angaben für eine belastbare erste Einschätzung.