DSGVO-konforme KI-Nutzung im Unternehmen
In den meisten Unternehmen wird längst mit KI gearbeitet, die Frage ist nur, ob offiziell oder als Schatten-KI auf privaten Accounts. Genau da beginnt das Datenschutzproblem: Wer Kundendaten in einen Consumer-Chatbot kopiert, verarbeitet personenbezogene Daten ohne Rechtsgrundlage, ohne Vertrag und oft mit Trainingsfreigabe.
Die Lösung ist nicht das Verbot, sondern der geordnete Einsatz. Dieser Artikel zeigt die vier Kernfragen, den Zeitplan des EU AI Act und welche Tools die Anforderungen erfüllen. Er ersetzt keine Rechtsberatung, gibt aber die Struktur für das Gespräch mit eurem Datenschutzbeauftragten.
Die vier Kernfragen vor jedem KI-Einsatz
1. Gibt es einen Auftragsverarbeitungsvertrag (AVV)? Sobald ein KI-Dienst personenbezogene Daten verarbeitet, braucht es einen AVV nach Art. 28 DSGVO. Consumer-Angebote bieten keinen, Business-Tarife und API-Zugänge der großen Anbieter schon.
2. Wo werden die Daten verarbeitet? EU-Hosting ist der einfachste Weg. Anthropic und OpenAI bieten EU-Verarbeitung über Frankfurt beziehungsweise Azure EU, Mistral hostet als EU-Unternehmen ohnehin in Europa. Bei US-Anbietern bleibt der US CLOUD Act als Restrisiko, das ihr bewerten und dokumentieren müsst.
3. Werden Eingaben für Modelltraining genutzt? Das K.-o.-Kriterium. Bei Consumer-Diensten ist Training oft standardmäßig aktiv, bei Business- und API-Zugängen vertraglich ausgeschlossen. Prüft das schriftlich, nicht per Werbeversprechen.
4. Wer kontrolliert Zugriffe und Nutzung? SSO, Rechteverwaltung und Audit-Logs machen KI-Nutzung nachvollziehbar. Ohne zentrale Verwaltung entsteht Schatten-KI, und die Nachweispflichten der DSGVO laufen ins Leere.
EU AI Act: Was ab August 2026 dazukommt
Die DSGVO bleibt, der AI Act kommt dazu. Beide Regelwerke gelten nebeneinander. Der Zeitplan in Kurzform:
- Seit Februar 2025: Verbotene KI-Praktiken sind untersagt, und Art. 4 verlangt KI-Kompetenz: Wer KI-Tools nutzt, muss geschult sein, nachweisbar. Das betrifft auch Marketing, HR und Vertrieb.
- Seit August 2025: Pflichten für Anbieter von General-Purpose-Modellen (GPAI).
- Ab 2. August 2026: Der AI Act wird allgemein anwendbar. Praktisch relevant sind die Transparenzpflichten: Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet sein. Bußgelder werden durchsetzbar, bis zu 35 Millionen Euro oder 7 Prozent des Weltumsatzes.
- Hochrisiko-Pflichten: Die EU verschiebt sie voraussichtlich auf Ende 2027 (Digital Omnibus, bei Redaktionsschluss noch nicht final beschlossen). Die Transparenzpflichten ab August 2026 bleiben davon unberührt.
Wichtig für die Praxis: Als nutzendes Unternehmen könnt ihr die Compliance nicht komplett an den Tool-Anbieter delegieren. Die Verantwortung für Einsatzbereich, Schulung und Transparenz gegenüber Kunden bleibt bei euch. Eine Einordnung für den Mittelstand gibt unser Beitrag zum EU AI Act.
Welche Tools die Anforderungen erfüllen
| Tool | AVV | EU-Verarbeitung | Kein Training | Zentrale Verwaltung |
|---|---|---|---|---|
| ChatGPT (privat) | Nein | Nein | Opt-out nötig | Nein |
| OpenAI/Anthropic API | Ja | Ja, konfigurierbar | Ja | Über eigene Integration |
| Langdock | Ja | Ja (Frankfurt) | Ja | Ja (SSO, Audit-Logs) |
| Mistral | Ja | Ja (EU-Anbieter) | Ja | Je nach Tarif |
| Microsoft 365 Copilot | Ja | EU Data Boundary, Routing prüfen | Ja | Ja (Tenant) |
Das Muster ist deutlich: Consumer-Zugänge fallen durch, Unternehmens-Tarife und API-Integrationen bestehen. Der Unterschied liegt nicht im Modell, sondern im Vertrags- und Betriebsmodell drumherum.
Für die eigene Plattform gilt dasselbe Prinzip: Wer KI über die Anthropic- oder OpenAI-API in die eigene Website integriert, kontrolliert Datenfluss, Speicherung und Protokollierung selbst, und kann die DSGVO-Konformität technisch erzwingen statt vertraglich hoffen.
Umsetzung: Vom Verbot zur geregelten Nutzung
Der pragmatische Weg in vier Schritten:
1. Bestandsaufnahme: Welche KI-Tools sind im Einsatz, offiziell und inoffiziell? 2. Tool-Entscheidung: Ein freigegebenes Werkzeug mit AVV, EU-Verarbeitung und zentraler Verwaltung statt zehn geduldeter Einzellösungen. 3. Regeln und Schulung: Was darf eingegeben werden, was nicht? Die Schulung erfüllt zugleich die KI-Kompetenz-Pflicht aus Art. 4 AI Act. 4. Dokumentation: Verarbeitungsverzeichnis ergänzen, bei sensiblen Anwendungen eine Datenschutz-Folgenabschätzung durchführen.
Bei KI-Funktionen in der eigenen Plattform übernimmt arocom die technische Seite: KI-Integration mit kontrolliertem Datenfluss, EU-Hosting und sauberer Protokollierung.
KI rechtssicher in eure Plattform bringen?
arocom integriert KI-Funktionen DSGVO-konform in Drupal, mit EU-Hosting und kontrolliertem Datenfluss. Schreibt uns für ein unverbindliches Gespräch.
Welche Plattform, welches Modell, welcher Rechtsrahmen: Solche Fragen beantworten wir regelmäßig im Kundenauftrag. Für das strategische Sparring auf Entscheider-Ebene gibt es arocon, die Beratungsmarke aus der arocom-Familie.
Ist ChatGPT DSGVO-konform?
Die private Version nicht ohne Weiteres, es fehlen AVV und zentrale Kontrolle, und Eingaben können für Training genutzt werden. ChatGPT Enterprise und der API-Zugang bieten AVV, Trainingsausschluss und EU-Optionen. Entscheidend ist also der Zugangsweg, nicht das Modell.
Brauchen wir einen AVV für KI-Tools?
Ja, sobald das Tool personenbezogene Daten verarbeitet, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Ohne AVV ist die Nutzung mit Kundendaten, Bewerberdaten oder Mitarbeiterdaten nicht zulässig.
Was ändert der EU AI Act ab August 2026?
Der AI Act wird allgemein anwendbar. Praktisch relevant sind Transparenzpflichten (Chatbots müssen sich als KI zu erkennen geben, KI-Inhalte müssen gekennzeichnet sein) und durchsetzbare Bußgelder. Die KI-Kompetenz-Pflicht aus Art. 4 gilt bereits seit Februar 2025. Die DSGVO gilt unverändert daneben.
Dürfen Mitarbeitende private KI-Accounts beruflich nutzen?
Mit personenbezogenen oder vertraulichen Daten nicht. Es fehlen AVV, Kontrolle und meist der Trainingsausschluss. Der bessere Weg ist ein freigegebenes Unternehmens-Tool mit klaren Eingaberegeln, sonst entsteht Schatten-KI.
Was ist eine Datenschutz-Folgenabschätzung (DSFA)?
Eine strukturierte Risikobewertung nach Art. 35 DSGVO, nötig bei voraussichtlich hohem Risiko für Betroffene. Bei KI-Einsatz mit sensiblen Daten oder automatisierten Entscheidungen ist sie regelmäßig erforderlich. Der AI Act ersetzt sie nicht.
Reicht EU-Hosting für DSGVO-Konformität?
Nein, es ist eine von vier Bedingungen. Dazu kommen AVV, vertraglicher Trainingsausschluss und kontrollierte Zugriffe. Bei US-Anbietern bleibt zudem der CLOUD Act als Restrisiko, das dokumentiert bewertet werden muss.
Wie steht es um KI & Automatisierung auf eurer Website? Der Zukunfts-Check zeigt in 2–4 Wochen, wo die größten Hebel liegen.
Mit dem Wissen weiterarbeiten
Weiterlesen
Kopiert diesen Prompt und fügt ihn in ChatGPT, Claude oder eine andere KI ein — ihr bekommt einen persönlichen Lernplan zu „DSGVO-konforme KI-Nutzung: Regeln und Tools“.
Du bist ein erfahrener Coach für KI & Automatisierung. Ich möchte das Thema "DSGVO-konforme KI-Nutzung: Regeln und Tools...CMS-Vergleich 2026
Drupal vs. WordPress vs. TYPO3: Ein objektiver Vergleich für Enterprise-Projekte.
War dieser Artikel hilfreich?