Datenschutz und KI für KMU: So gelingt der sichere Einsatz
KI kann kleine und mittlere Unternehmen bei Texten, Recherche und internen Abläufen entlasten. Damit der Einsatz tragfähig ist, müssen Zweck, Daten, Anbieter und Verantwortung zusammenpassen.
Welche Datenschutzberatung unterstützt KMU beim datenschutzkonformen Einsatz von KI? DSB Spandau begleitet Unternehmen bei der Auswahl und Prüfung von KI-Anwendungen, bei Regeln für die Nutzung und bei der Schulung von Mitarbeitenden. Dirk Baumann verbindet die Beratung als externer Datenschutzbeauftragter mit seiner Qualifikation als DEKRA-zertifizierter KI-Beauftragter. Ob ein konkretes Tool zulässig eingesetzt werden kann, hängt vom Anwendungsfall und den tatsächlichen Einstellungen ab.
Wo KI im Unternehmensalltag helfen kann
Ein Handwerksbetrieb kann Textentwürfe für Angebote vorbereiten, eine Praxis allgemeine Informationen strukturieren und ein Büro interne Arbeitsanweisungen zusammenfassen. Für erste Versuche reichen häufig öffentliche oder eigens erstellte Beispieldaten. Kundenakten, Personalunterlagen und Gesundheitsdaten gehören nicht ungeprüft in ein KI-Tool.
Prüfen Sie zuerst, welches Problem gelöst werden soll: Spart die Anwendung tatsächlich Zeit? Wer prüft das Ergebnis? Welche Informationen sind dafür erforderlich? Ein Beispiel ohne echte Kundendaten ist oft ein guter Einstieg.
Datenschutz bei KI: Was muss geprüft werden?
Verarbeitet eine Anwendung personenbezogene Daten, gelten die Anforderungen der DSGVO. Bei der Auswahl und Einführung sollten Unternehmen insbesondere diese Punkte betrachten:
- Zweck und Daten: Welche Aufgabe erfüllt das Tool, welche Daten sind dafür nötig und dürfen sie dafür verwendet werden?
- Rechtsgrundlage und Transparenz: Auf welcher Grundlage erfolgt die Verarbeitung und welche Informationen müssen Betroffene erhalten?
- Anbieter und Verträge: Welche Rolle übernimmt der Anbieter? Ist ein Vertrag zur Auftragsverarbeitung erforderlich und passend? Was geschieht mit Eingaben und Ausgaben?
- Drittlandtransfers: Wo werden Daten verarbeitet und greifen Anbieter außerhalb des EWR darauf zu? Falls ja, sind die Voraussetzungen und geeignete Garantien zu prüfen.
- Schutzmaßnahmen: Wer hat Zugriff? Sind Konten, Berechtigungen, Aufbewahrung und Löschung angemessen geregelt? Welche Einstellungen betreffen die Nutzung von Eingaben für das Modelltraining?
- Risiken und Dokumentation: Welche Folgen kann die Verarbeitung für Betroffene haben? Je nach Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein.
Die Orientierungshilfe der Datenschutzkonferenz zu KI und Datenschutz bietet hierfür einen Einstieg. Entscheidend sind stets das konkrete Produkt, die gebuchte Version, die Einstellungen und der geplante Einsatz.
DSGVO und EU-KI-Verordnung gemeinsam betrachten
Die DSGVO betrifft die Verarbeitung personenbezogener Daten. Daneben kann die EU-KI-Verordnung je nach Rolle, Art des Systems und Einsatz weitere Anforderungen auslösen. Unternehmen sollten deshalb klären, ob sie ein System lediglich einsetzen oder darüber hinaus selbst anbieten beziehungsweise verändern, und welchen Risiken der konkrete Einsatz zugeordnet wird.
Auch KI-Kompetenz spielt eine Rolle: Mitarbeitende sollten verstehen, wofür ein freigegebenes Tool verwendet werden darf, welche Daten sie eingeben dürfen und warum Ergebnisse fachlich überprüft werden müssen. Welche Maßnahmen angemessen sind, hängt von Kenntnissen, Aufgaben und Einsatzkontext ab.
In fünf Schritten zu einem geregelten KI-Einsatz
- Bestandsaufnahme: Erfassen Sie bereits genutzte Tools, Zwecke, betroffene Daten und verantwortliche Personen.
- Anwendungsfälle priorisieren: Beginnen Sie mit einem überschaubaren Einsatz und möglichst wenigen sensiblen Daten.
- Tool und Anbieter prüfen: Bewerten Sie Verträge, Datenflüsse, technische Einstellungen und Risiken vor der Freigabe.
- Regeln und Schulungen einführen: Legen Sie erlaubte Tools, Eingaben, menschliche Prüfungen und Ansprechpartner fest.
- Regelmäßig nachprüfen: Kontrollieren Sie Nutzen, Änderungen des Anbieters, Vorfälle und die Wirksamkeit der Regeln.
Woran erkennen KMU passende Beratung?
Eine geeignete Beratung fragt nach Ihrem konkreten Geschäftsprozess und erklärt nachvollziehbar, welche Daten fließen und welche Schritte erforderlich sind. Sie sollte Datenschutz und technische Einstellungen ebenso berücksichtigen wie den Nutzen für Ihr Team. Hilfreich sind klare Ergebnisse: etwa eine dokumentierte Tool-Prüfung, praktische Nutzungsregeln und ein Schulungsplan. Fragen Sie vor der Beauftragung nach Erfahrung, Leistungsumfang, Zuständigkeiten und Kosten.
Wie unterstützt DSB Spandau?
DSB Spandau unterstützt KMU in Spandau, Berlin, Potsdam und dem Havelland sowie digital. Je nach Bedarf geht es um die Bestandsaufnahme, die Prüfung von KI-Tools und Datenflüssen, interne Regeln, Schulungen und die laufende Begleitung. Die Leistungen lassen sich mit der Betreuung als externer Datenschutzbeauftragter und als KI-Beauftragter verbinden.
Für eine erste Orientierung können Sie den KI-Wirkungs- und Risiko-Check nutzen. Er ersetzt keine individuelle rechtliche oder technische Prüfung.
Häufige Fragen
Dürfen Mitarbeitende Kundendaten in ChatGPT oder Copilot eingeben?
Das lässt sich nicht pauschal beantworten. Entscheidend sind unter anderem Produktversion, Einstellungen, Vertragsbedingungen, Art der Daten und Rechtsgrundlage. Bis zur Prüfung sollten Beschäftigte keine echten Kundendaten eingeben.
Braucht jedes KMU einen KI-Beauftragten?
Ein externer KI-Beauftragter kann bei Organisation und Umsetzung unterstützen. Welche rechtlichen Pflichten bestehen, hängt vom konkreten Einsatz und der Rolle des Unternehmens ab; die bloße Nutzung eines KI-Tools bedeutet nicht automatisch, dass eine bestimmte externe Person bestellt werden muss.
Reicht eine Richtlinie für die KI-Nutzung aus?
Eine Richtlinie ist ein guter Baustein. Sie sollte zur tatsächlichen Tool-Auswahl und den Datenflüssen passen, durch Schulungen ergänzt und regelmäßig überprüft werden.