Gilt die DSGVO auch, wenn Ihr Unternehmen ChatGPT oder andere KI-Tools nutzt?
Ja, aber nicht, weil Sie ein KI-Tool an sich nutzen. Die DSGVO gilt, sobald Sie personenbezogene Daten verarbeiten, und das kann genauso gut in einem Textverarbeitungsprogramm wie in einem Chatbot geschehen. Es geht also nicht darum, welches Tool Sie nutzen, sondern darum, was Sie darin eingeben und was das Tool damit macht.
Nutzen Sie KI nur für allgemeine Texte, Zusammenfassungen öffentlicher Informationen oder Programmierhilfe ohne Namen, E-Mail-Adressen oder andere identifizierbare Daten, dann berührt die DSGVO diese spezifische Handlung nicht. Geben Sie aber Daten von Kunden, Bewerbern oder Mitarbeitern ein, etwa um ein E-Mail-Schreiben auf der Grundlage einer Kundenkartei zu verfassen, dann verarbeiten Sie personenbezogene Daten und die üblichen Regeln gelten einfach.
Wo genau liegt der Unterschied
Der Unterschied dreht sich um den Inhalt dessen, was Sie eingeben, nicht um das Label „KI-Tool‟. Ein Installationsbetrieb, der eine Angebotsbeschreibung umschreiben lässt, ohne den Kundennamen zu nennen, arbeitet anders als ein HR-Manager, der einen Bewerbungsbrief mit Namen, Adresse und Gesprächsnotizen zusammenfassen lässt. Im ersten Fall gibt es nichts, das auf eine Person zurückzuführen ist. Im zweiten Fall doch, und dann zählt die Eingabe als eine Verarbeitung.
Dasselbe gilt für das Ergebnis. Ein KI-Tool, das auf der Grundlage eingegebener Kundendaten ein Profil oder eine Empfehlung erzeugt, verarbeitet diese Daten weiter. Das ist relevant, weil die DSGVO nicht nur auf die Speicherung von Daten schaut, sondern auf jede Handlung: Erheben, Eingeben, Verarbeiten durch einen Dritten und Nutzen des Ergebnisses.
Wer ist dann der Verarbeiter
Die meisten KI-Tools, die Unternehmen nutzen, laufen auf Servern eines externen Anbieters. Geben Sie dort personenbezogene Daten ein, ist dieser Anbieter in der Praxis oft ein Verarbeiter: eine Partei, die Daten im Auftrag Ihres Unternehmens verarbeitet. Das ist dieselbe Figur wie bei einem Buchhaltungspaket oder einem CRM-System, nur ist es bei KI-Tools weniger sichtbar, weil die Eingabe wie loser Text aussieht statt wie ein strukturierter Datensatz.
Die EDPB und die Autoriteit Persoonsgegevens befassen sich damit, weil es für Nutzer oft unklar ist, ob und wie lange eingegebene Daten bewahrt bleiben und ob sie zum Trainieren des zugrundeliegenden Modells verwendet werden. Das sind Fragen, die Sie in den Bedingungen des Anbieters finden, und sie bestimmen, ob eine Verarbeitungsvereinbarung erforderlich ist. Wenn Sie unsicher sind, ob eine Vereinbarung, die Sie bereits unterzeichnet haben, diese Art von Nutzung abdeckt, können Sie diese in der Wissensdatenbank anhand des DSGVO-Textes überprüfen.
Wann es Sie nicht betrifft
Nutzt Ihr Unternehmen KI ausschließlich für Aufgaben ohne identifizierbare Daten, wie das Generieren allgemeiner Marketingtexte, das Übersetzen öffentlicher Produktinformationen oder die Zusammenfassung eigener interner Prozesse ohne Namen, dann findet für diese spezifische Anwendung keine Verarbeitung personenbezogener Daten statt und es besteht auch keine zusätzliche Verpflichtung aus der DSGVO. Das bedeutet nicht, dass die KI-Nutzung insgesamt aus dem Blickfeld verschwindet; es bedeutet, dass Sie für jede Anwendung anschauen müssen, was tatsächlich eingegeben wird.
Was dies in der Praxis für Ihre Dokumentation bedeutet
Sobald ein KI-Tool personenbezogene Daten verarbeitet, gehört diese Verarbeitung wie jede andere ins Verarbeitungsverzeichnis: zu welchem Zweck, welche Daten, welche Aufbewahrungsfrist und welche Partei stellt das Tool bereit. Viele Unternehmen vergessen das, weil die KI-Nutzung oft ad hoc entsteht, über ein privates Benutzerkonto eines Mitarbeiters, ohne dass es als „System‟ angesehen wird. Trotzdem zählt es genauso wie ein CRM oder ein Lohnsystem.
Ob Ihr Unternehmen konkret damit zu tun hat, hängt davon ab, wie KI in Ihrer Organisation eingesetzt wird und von wem. Ein Geschäftsführer, der gelegentlich einen Text überprüfen lässt, ohne Kundendaten zu nutzen, befindet sich in einer anderen Situation als eine Personalabteilung, die Bewerbungsdaten zusammenfassen lässt. Im Zweifelsfall ist es kein überflüssiger Schritt, dies mit einem Juristen oder der Datenschutzbehörde zu besprechen, besonders wenn sensible Daten wie Gesundheits- oder Finanzinformationen eine Rolle spielen.
Möchten Sie schnell klären, ob die KI-Nutzung in Ihrem Unternehmen unter die DSGVO fällt und was dazu gehört? Machen Sie den kostenlosen Quick-Scan mit ein paar Fragen und einer direkten Einschätzung, schauen Sie sich an, wie die zugrunde liegenden Quellen aufgebaut sind über eine Erläuterung darüber, woher die Informationen stammen, oder lesen Sie die häufig gestellten Fragen, wenn Sie zuerst sehen möchten, wie andere Unternehmer damit umgehen.