KI-Tools im Unternehmen datenschutzbewusst auswählen
Ein KI-Tool sollte nicht allein nach Funktionsumfang und Preis ausgewählt werden. Entscheidend ist, welche Daten in welchem Prozess verarbeitet werden, wer darauf zugreifen kann und welche Einstellungen tatsächlich gelten. Diese Prüfliste hilft bei einer strukturierten Vorauswahl.
1. Den konkreten Anwendungsfall festlegen
Beschreiben Sie zuerst die Aufgabe, die das Tool erfüllen soll. Eine allgemeine Freigabe für „KI“ ist zu weit. Meeting-Transkription, Textentwürfe, Bewerberauswahl und Bildgenerierung haben unterschiedliche Daten- und Risikoprofile.
Prüfen Sie, ob personenbezogene Daten wirklich benötigt werden oder ob anonymisierte, pseudonymisierte beziehungsweise synthetische Inhalte genügen.
2. Daten und Beteiligte erfassen
- Welche Daten werden eingegeben, erzeugt, protokolliert oder exportiert?
- Sind besondere Kategorien personenbezogener Daten oder vertrauliche Geschäftsinformationen betroffen?
- Wer ist verantwortlich, wer verarbeitet im Auftrag und welche Unterauftragnehmer wirken mit?
- Werden Daten für eigene Zwecke des Anbieters oder zum Modelltraining verwendet?
3. Vertrag und Datenwege gemeinsam prüfen
Prüfen Sie Datenschutzinformationen, AVV, Unterauftragnehmer, Speicher- und Verarbeitungsorte sowie mögliche Drittlandtransfers. Aussagen wie „DSGVO-konform“ oder „EU-Hosting“ sollten durch konkrete Vertrags- und Produktangaben nachvollziehbar sein.
Bei risikoreichen oder umfangreichen Verarbeitungen kann eine Datenschutz-Folgenabschätzung erforderlich sein. Ob das der Fall ist, muss anhand des konkreten Einsatzes beurteilt werden.
4. Sichere Einstellungen vor dem Start
- Training mit eigenen Inhalten deaktivieren, sofern möglich und nicht gewollt.
- Kurze Aufbewahrungsfristen und automatische Löschung konfigurieren.
- Zugriffe nach Rollen vergeben und Mehrfaktor-Authentisierung aktivieren.
- Nur freigegebene Konten und Integrationen verwenden.
- Beschäftigte zu zulässigen und unzulässigen Eingaben informieren.
- Ergebnisse bei wichtigen Entscheidungen menschlich kontrollieren.
5. Klein starten und regelmäßig nachprüfen
Starten Sie mit einem klar abgegrenzten Test ohne unnötige Echtdaten. Dokumentieren Sie Zweck, Verantwortliche, Einstellungen und Prüfdatum. Anbieterbedingungen, Modelle, Unterauftragnehmer und Datenwege können sich ändern und sollten deshalb regelmäßig erneut bewertet werden.