DSGVO-konforme KI-Lösungen: die fünf Merkmale, auf die es ankommt
Datenschutz ist beim KI-Kauf kein Bremsklotz, sondern das schärfste Auswahlkriterium: An fünf Merkmalen trennt sich in einer Stunde, welche Lösung prüfungsfest ist und welche später teuer wird.
Die fünf Merkmale
- 1. Verarbeitung in Deutschland/EU mit Auftragsverarbeitungsvertrag nach Art. 28 und benannten Sub-Prozessoren.
- 2. Kein Training fremder oder gemeinsamer Modelle mit Ihren Daten, schriftlich zugesichert.
- 3. Berechtigungsspiegelung: Die Zugriffsrechte der Quellsysteme gelten auch für KI-Antworten.
- 4. Quellenpflicht: Jede Antwort belegt ihre Herkunft, das macht Verarbeitung nachvollziehbar und auditierbar.
- 5. Löschkonzept: Bei Vertragsende werden Indizes nachweislich entfernt, die Quelldaten waren nie weg.
Der Prozess dazu
Datenschutzbeauftragten in Woche 1 einbinden (nicht nach dem Kauf), das Merkblatt des Anbieters ins Verzeichnis von Verarbeitungstätigkeiten übernehmen, Betriebsrat mit dem Ausschluss von Leistungskontrolle abholen. Mit sauberen Unterlagen ist das ein Termin, kein Projekt.
Der Bonus
Eine nachweislich konforme Lösung ist Ihr bestes Argument gegen die Schatten-KI auf Privatkonten, und zunehmend ein Verkaufsargument gegenüber Ihren eigenen Kunden, die nach KI-Governance fragen.
Häufige Fragen
Dürfen wir personenbezogene Daten mit KI verarbeiten?
Ja, unter denselben Regeln wie sonst: Rechtsgrundlage, AVV, Zweckbindung. Die fünf Merkmale stellen sicher, dass die Lösung das technisch trägt.
Reicht ein US-Anbieter mit EU-Rechenzentrum?
Das ist im Einzelfall zu prüfen (Stichwort Drittlandzugriff). Einfacher prüfbar ist Verarbeitung bei EU-Anbietern in Deutschland, deshalb ist das unser Standard.
Das Prüfpaket für Ihren DSB?
AVV-Muster, Berechtigungskonzept und Löschkonzept schicken wir vor dem ersten Termin.
Gespräch buchen →
