Die Datenschutz-Grundverordnung (DSGVO) und der neue EU AI Act stellen Unternehmen vor reale Herausforderungen beim Einsatz von Künstlicher Intelligenz. Doch mit der richtigen Herangehensweise lassen sich beide Anforderungen nicht nur erfüllen — sie werden zum Wettbewerbsvorteil gegenüber weniger sorgfältigen Mitbewerbern.
Warum DSGVO und KI kein Widerspruch sind
Viele Unternehmen zögern beim KI-Einsatz aus Datenschutzgründen. Diese Zurückhaltung ist verständlich, aber oft unbegründet — wenn man die richtigen Architekturentscheidungen trifft. DSGVO-konforme KI ist kein Oxymoron, sondern eine Frage der richtigen Umsetzung.
Der entscheidende Unterschied liegt in der Frage: Wo werden Ihre Daten verarbeitet? Bei vielen populären KI-Diensten landen Ihre Geschäftsdaten auf Servern in den USA — problematisch sowohl aus DSGVO-Sicht als auch aus Unternehmenssicherheitsperspektive. Die Lösung liegt in europäischen Cloud-Anbietern oder On-Premise-Lösungen.
Die drei größten DSGVO-Risiken bei KI
1. Verarbeitung ohne ausreichende Rechtsgrundlage
Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage nach Art. 6 DSGVO — Einwilligung, berechtigtes Interesse, Vertragserfüllung oder gesetzliche Verpflichtung. Beim KI-Einsatz müssen Sie für jeden Verarbeitungsvorgang dokumentieren, welche Rechtsgrundlage gilt.
Praktisches Beispiel: Ein KI-Agent, der Kundenemails bearbeitet, verarbeitet personenbezogene Daten. Die Rechtsgrundlage ist typischerweise Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder lit. f (berechtigtes Interesse). Dies muss im Verarbeitungsverzeichnis dokumentiert sein.
2. Intransparente automatisierte Entscheidungen
Art. 22 DSGVO schränkt vollautomatisierte Entscheidungen ein, die rechtliche oder ähnlich erhebliche Auswirkungen auf Personen haben. Kreditentscheidungen, Einstellungsprozesse oder Leistungsbeurteilungen durch KI unterliegen besonderen Anforderungen: Informationspflicht, Recht auf menschliche Überprüfung, Erklärbarkeit der Entscheidung.
3. Datentransfer in Drittländer
APIs von US-amerikanischen KI-Anbietern (OpenAI, Anthropic, Google) übertragen Daten in die USA. Trotz des EU-US Data Privacy Framework bleiben Restrisiken. Für besonders sensible Daten empfehlen wir europäische Anbieter oder On-Premise-Lösungen.
Der EU AI Act: Was Unternehmen wissen müssen
Der EU AI Act ist seit August 2024 in Kraft und wird schrittweise bis 2026 vollständig anwendbar. Er klassifiziert KI-Systeme in vier Risikokategorien:
- Unakzeptables Risiko (verboten): Social Scoring, Manipulation unterbewusster Entscheidungen, biometrische Massenüberwachung
- Hohes Risiko: KI in kritischer Infrastruktur, Bildung, Beschäftigung, Kreditvergabe, Strafverfolgung. Strenge Anforderungen: Risikomanagement, Datendokumentation, menschliche Aufsicht, Transparenz
- Begrenztes Risiko: Chatbots, Deep Fakes — Transparenzpflichten gegenüber Nutzern
- Minimales Risiko: KI-gestützte E-Mail-Filter, Rechtschreibkorrektur — keine spezifischen Anforderungen
Die meisten KMU-Anwendungen fallen in die Kategorien "begrenzt" oder "minimal" — mit überschaubaren Anforderungen. Wichtig: Auch als Nutzer (nicht Anbieter) von Hochrisiko-KI entstehen Pflichten.
Unsere DSGVO-Architektur: Datenschutz als Standard
Bei Globeria ist DSGVO-Konformität kein Nachgedanke, sondern Kernbestandteil jeder Entwicklung. Konkret bedeutet das:
- Europäische Infrastruktur: Wir nutzen ausschließlich Rechenzentren in Deutschland, Irland und den Niederlanden
- On-Premise-Option: Für besonders sensible Daten betreiben wir eigene GPU-Kapazität — Ihre Daten verlassen Ihr Unternehmen nicht
- Auftragsverarbeitungsvertrag (AVV): Für jedes Projekt erstellen wir einen DSGVO-konformen AVV
- Datensparsamkeit: Wir verarbeiten nur die Daten, die für den jeweiligen Use Case tatsächlich notwendig sind
- Löschkonzept: Klare Dokumentation, welche Daten wie lange gespeichert werden
Zertifizierter Datenschutzbeauftragter im Haus
Globeria hat einen zertifizierten externen Datenschutzbeauftragten (DSB) direkt im Haus — durch unsere Schwesterfirma Globeria Datenschutz. Das bedeutet: Keine zusätzlichen Kosten für externe Datenschutzberatung, kein Koordinationsaufwand zwischen verschiedenen Dienstleistern, DSGVO-Expertise direkt in der Entwicklung verankert.
Praktische Checkliste für DSGVO-konforme KI
- ☐ Rechtsgrundlage für jeden KI-Verarbeitungsvorgang dokumentiert
- ☐ Verarbeitungsverzeichnis aktualisiert
- ☐ AVV mit KI-Anbieter abgeschlossen
- ☐ Datentransfer in Drittländer geprüft und dokumentiert
- ☐ Betroffenenrechte technisch implementiert
- ☐ Datenschutz-Folgenabschätzung (DSFA) für Hochrisiko-Verarbeitungen
- ☐ Mitarbeiter informiert und geschult
- ☐ EU AI Act Risikokategorie des Systems bestimmt
Fazit
DSGVO-konforme KI ist machbar — und mit dem richtigen Partner sogar zum Standard zu machen. Unternehmen, die früh auf datenschutzkonforme KI setzen, schaffen Vertrauen bei Kunden und Geschäftspartnern und vermeiden kostspielige Nachbesserungen.