Wie setzen wir KI ein, ohne beim Datenschutz ein Risiko einzugehen?

Ob ein KI-Werkzeug beim Datenschutz trägt, entscheidet sich an drei Fragen. Wo werden die Daten verarbeitet? Nutzt der Anbieter die Eingaben zum Training? Und gibt es einen Vertrag zur Auftragsverarbeitung, wenn der Anbieter personenbezogene Daten im Auftrag des Unternehmens verarbeitet? Die Antworten unterscheiden sich nicht nur zwischen Anbietern, sondern oft auch zwischen den Tarifen desselben Anbieters, etwa zwischen privaten und gewerblichen Konten.

Der Weg beantwortet diese Fragen je Werkzeug und Einsatzzweck und hält das Ergebnis fest. Wo die Antworten nicht genügen, gibt es zwei Auswege: ein anderes Werkzeug mit passenden Bedingungen oder ein Sprachmodell auf eigener Hardware, bei dem die Daten das Haus nicht verlassen. Welche Daten in kein Werkzeug gehören, wird ausdrücklich festgelegt, statt es dem Einzelnen zu überlassen.

Im eigenen Betrieb führen wir für jeden Dienst Datenregion und Vertragsstatus in einem Register. Wo der Vertrag zur Auftragsverarbeitung noch nicht vorliegt, steht das dort ausdrücklich als offen und wird nachgehalten, statt stillschweigend als erledigt zu gelten. Das Register ist kein einmaliges Dokument: Anbieter ändern Bedingungen, und wer das nicht verfolgt, arbeitet nach einem Jahr mit einem veralteten Stand. Die Aussagen zur Rechtslage auf dieser Seite geben den genannten Stand wieder und ersetzen keine Prüfung im Einzelfall.