Dürfen Mitarbeiter Kundendaten in ein KI-Tool eingeben?

Kundendaten in KI-Tools sind möglich, aber nicht einfach so

Kundendaten in ein KI-Tool zu übertragen ist nicht grundsätzlich verboten, aber es ist eine Verarbeitung personenbezogener Daten, für die dieselben Regeln gelten wie für jedes andere System. Bevor Daten in diese Richtung gehen, ist relevant, welche Rechtsgrundlage dafür besteht, ob es sich um mehr Daten handelt als für den Zweck erforderlich, und — oft der kritischste Punkt — was der Anbieter des KI-Tools mit dieser Eingabe tut. Viele allgemeine KI-Tools verwenden Eingabedaten wohl oder übel zum Trainieren oder Verbessern ihres eigenen Modells, und das ist ein anderer Zweck als der, für den der Kunde seine Daten ursprünglich bereitgestellt hat.

Letzteres berührt unmittelbar die Zweckbindung und die Datenminimierung der DSGVO: Daten, die für einen Kundenkontakt erfasst wurden, sind nicht automatisch geeignet, um sie willkürlich in ein KI-Tool zu laden. Verarbeitet das Tool die Daten im Namen der Organisation, dann ist der Anbieter ein Auftragsverarbeiter, und dazu gehört eine Auftragsverarbeitungsvereinbarung, die festlegt, was mit den Daten geschieht und was nicht, wo sie gespeichert sind und ob sie zu Trainingszwecken verwendet werden. Es ist also keine einfache Ja-oder-Nein-Frage zu "KI", sondern eine Frage, die pro Tool, pro Einstellung und pro Art von Kundendaten unterschiedlich ausfällt — manche KI-Tools bieten Geschäftsvarianten an, in denen das Training auf Eingaben explizit deaktiviert ist, andere nicht.

Woraus sich das ergibt: Artikel 5 und 6 DSGVO

Dass eine Rechtsgrundlage für jede Verarbeitung erforderlich ist, folgt aus Artikel 6 der DSGVO, und dass Daten nicht über den Zweck hinaus verwendet werden dürfen, für den sie erfasst wurden, und nicht mehr als erforderlich, folgt aus den Grundsätzen der Zweckbindung und Datenminimierung in Artikel 5 der DSGVO. Der Europäische Datenschutzausschuss veröffentlicht Leitlinien, die spezifisch auf die Behandlung personenbezogener Daten in KI-Systemen eingehen, und diese geben weitere Orientierung bei Fragen wie Training auf Eingabedaten und die Rolle des Anbieters als Auftragsverarbeiter.