Der häufigste Fehler bei der Nutzung von KI-Tools am Arbeitsplatz ist, dass Mitarbeiter Personendaten in ein Tool wie ChatGPT, Copilot oder einen ähnlichen Chatbot eingeben, ohne dass das Unternehmen davon weiß. Ein Lebenslauf, eine Kundendatei oder ein E-Mail-Austausch wird schnell zusammengefasst oder umgeschrieben, während niemand überprüft hat, wo diese Daten danach gespeichert sind, wer sie einsehen kann und ob mit dem Anbieter des Tools eine Auftragsverarbeitungsvereinbarung besteht.
Das ist kein kleines Detail. Sobald ein Tool Personendaten verarbeitet, gelten dafür die gleichen Grundsätze wie bei jeder anderen SaaS-Anwendung: es muss eine Rechtsgrundlage vorhanden sein, die Verarbeitung muss im Verzeichnis der Verarbeitungstätigkeiten eingetragen sein, und wenn der Anbieter als Auftragsverarbeiter tätig ist, muss dazu eine Auftragsverarbeitungsvereinbarung vorliegen. Bei vielen kostenlosen KI-Tools fehlt letzteres, oder in den Bedingungen steht, dass eingegebene Daten zum Trainieren des Modells verwendet werden dürfen. Das unterscheidet sich stark je nach Anbieter und Abonnementform, und genau deshalb ist eine vorherige Kontrolle erforderlich.
Wie dies in der Praxis schiefgeht
In den meisten Fällen entsteht das Problem nicht aus Nachlässigkeit, sondern aus Unwissenheit. Ein HR-Mitarbeiter fügt ein Bewerbungsschreiben in einen Chatbot ein, um einen Stellenausschreibungstext zu verbessern. Ein Projektleiter lässt eine Kundenmail zusammenfassen. Keiner von ihnen denkt an die DSGVO, weil es sich wie ein Werkzeug anfühlt und nicht wie eine Verarbeitung von Personendaten. Das Unternehmen selbst hat oft keinen Überblick darüber, welche KI-Tools täglich verwendet werden, geschweige denn, ob diese Tools im Verzeichnis der Verarbeitungstätigkeiten eingetragen sind oder auf einer Liste genehmigter Software stehen.
Ein zweiter wiederkehrender Fehler besteht darin, dass Unternehmen, die über eine KI-Richtlinie verfügen, diese Richtlinie nicht mit ihrem bestehenden Verzeichnis der Verarbeitungstätigkeiten und ihren Auftragsverarbeitungsvereinbarungen koordinieren. Das KI-Tool wird dann getrennt von der übrigen DSGVO-Dokumentation behandelt, obwohl es letztlich um die gleiche Frage geht, die auch bei jedem anderen SaaS-Tool relevant ist: wer verarbeitet welche Daten, für welchen Zweck und auf welcher Grundlage. die Wissensdatenbank mit Erklärungen pro Thema behandelt diese Frage auch für andere häufig verwendete Software und zeigt, dass KI-Tools in der Praxis keine Ausnahme von der Systematik darstellen, die bereits für andere Anbieter gilt.
Warum es um Personendaten gehen kann, auch wenn das nicht beabsichtigt ist
Die DSGVO arbeitet mit einem breiten Begriff von Personendaten: alle Informationen, die auf eine identifizierbare natürliche Person zurückführbar sind. Ein Name, eine Kundennummer, ein Foto, eine Telefonnotiz oder eine Kombination von Daten, die zusammen eine Person erkennbar machen, fallen darunter. Bei der Nutzung von KI-Tools geht es also nicht nur um explizite Personendaten wie einen Lebenslauf, sondern auch um Fragmente, die in einem größeren Dokument versteckt sind, wie ein Name in einer Anlage, der mit kopiert wird.
Die Autoriteit Persoonsgegevens und die EDPB veröffentlichen Leitlinien zum Umgang mit KI und Personendaten, und diese entwickeln sich weiter; was heute als gängige Auslegung gilt, kann teilweise präzisiert werden. Das ist einer der Gründe, warum ein festgelegtes Verfahren im Unternehmen mehr Orientierung bietet als einzelne Absprachen mit Mitarbeitern.
Wie Sie diesen Fehler vermeiden
Der Kern der Lösung lässt sich einfach formulieren, auch wenn die Umsetzung Zeit erfordert: erfassen Sie, welche KI-Tools im Unternehmen verwendet werden, und stellen Sie für jedes Tool fest, ob dabei Personendaten eingegeben werden. Ist dies der Fall, muss das Tool im Verzeichnis der Verarbeitungstätigkeiten eingetragen sein und es muss, wie bei anderen SaaS-Anbietern auch, überprüft werden, ob der Anbieter als Auftragsverarbeiter tätig ist und ob eine Auftragsverarbeitungsvereinbarung verfügbar ist. wie Daten bei Auftragsverarbeitern geschützt werden bietet einen Überblick über die dabei relevanten Punkte.
Darüber hinaus hilft eine kurze, konkrete Anweisung an Mitarbeiter mehr als ein umfassendes Richtliniendokument, das niemand liest: welche Tools zulässig sind, welche Daten darin ein- und ausgeschlossen sind, und an wen sich ein Mitarbeiter wendet, wenn er sich unsicher ist. Dieser letzte Schritt ist möglicherweise der wichtigste, denn die meisten Fehler entstehen nicht aus Unwilligkeit, sondern aus dem Fehlen eines klaren Ansprechpartners.
Falls es bereits geschehen ist
Wurden unbeabsichtigt große Mengen personenbezogener Daten in ein KI-Tool eingegeben, ohne dass dafür eine Datenverarbeitungsvereinbarung besteht, ist es ratsam zu beurteilen, ob dies als ein Ereignis qualifiziert, das eine Reaktion erfordert, beispielsweise im Rahmen der Meldepflicht bei Datenschutzverletzungen. in wenigen Fragen einen ersten Anhaltspunkt erhalten kann dabei einen ersten Anhaltspunkt bieten, unabhängig davon, ob eine Meldung in einem konkreten Fall erforderlich ist; diese Beurteilung ist Aufgabe des Verantwortlichen selbst oder eines Juristen.
Möchten Sie für Ihr eigenes Unternehmen aufzeigen, welche Tools, einschließlich KI-Anwendungen, Aufmerksamkeit erfordern? Führen Sie die kostenlose Schnellprüfung durch oder lesen Sie die Themen unter den häufig gestellten Fragen zu DSGVO und Software um zu sehen, was Ihre Situation erfordert.