PIPELINERatgeber
DSGVO und KI-Werkzeuge: was Mitarbeiter eingeben dürfen
KI-Werkzeuge werden in praktisch jedem Betrieb genutzt — meist ohne Regeln. Die Abgrenzung, die im Alltag tatsächlich hilft.
01
Das eigentliche Risiko
Es geht selten um böse Absicht. Jemand lässt eine Kunden-E-Mail zusammenfassen, jemand anders wirft einen Vertragsentwurf hinein. Beides ist nachvollziehbar und beides kann problematisch sein, je nach Werkzeug und Datenlage.
02
Die entscheidende Unterscheidung
Kostenlose Verbraucherzugänge ohne vertragliche Absicherung sind für personenbezogene oder vertrauliche Daten ungeeignet. Geschäftszugänge mit Auftragsverarbeitungsvertrag, ausgeschlossenem Training und europäischer Verarbeitung sind eine andere Sache. Diese Unterscheidung gehört in jede Nutzungsrichtlinie, weil sie im Alltag ständig relevant wird.
03
Was praktisch funktioniert
Eine Ampel: grün für allgemeine Aufgaben ohne Personenbezug, gelb für interne Inhalte im abgesicherten Werkzeug, rot für Gesundheitsdaten, Personaldaten, Mandats- und Patienteninhalte. Drei Kategorien merkt sich ein Team, zwölf nicht.
04
Was in der Richtlinie stehen muss
Welche Werkzeuge erlaubt sind, welche Daten hineindürfen, wer im Zweifel entscheidet, und was zu tun ist, wenn doch etwas hineingeraten ist. Der letzte Punkt fehlt fast immer und ist der wichtigste.
05
Verbieten hilft nicht
Ein pauschales Verbot führt zur Nutzung auf Privatgeräten — das ist der schlechteste aller Zustände, weil er unsichtbar ist. Ein abgesicherter Zugang mit klaren Regeln ist praktikabler und sicherer.
Fragen
Häufige Fragen
Reicht ein Auftragsverarbeitungsvertrag?
Er ist notwendig, aber nicht allein ausreichend. Dazu gehören Rechtsgrundlage, Zweckbindung, Löschkonzept, Information der Betroffenen und die Prüfung, ob eine Übermittlung in Drittländer stattfindet.
Dürfen wir Bewerbungsunterlagen verarbeiten lassen?
Für strukturierte Erfassung unter Auflagen ja. Für die Auswahlentscheidung gelten unter dem EU AI Act deutlich strengere Anforderungen — Systeme, die über Zugang zu Beschäftigung entscheiden, sind als Hochrisiko eingestuft.
Was ist mit lokal laufenden Modellen?
Modelle auf eigener Infrastruktur lösen das Übermittlungsproblem, weil keine Daten das Haus verlassen. Sie verlangen mehr Einrichtung und liefern bei komplexen Aufgaben oft schwächere Ergebnisse — für sensible Bereiche ist es trotzdem oft der richtige Weg.
Nächster Schritt
Reden wir kurz darüber, ob sich das bei euch rechnet.
Ein Gespräch von zwanzig Minuten reicht meistens, um zu klären, ob ein Projekt Sinn hat. Wenn nicht, sagen wir das — das ist billiger für beide Seiten als ein Angebot, das niemand braucht.