Datenschutz bei KI-Tools bezeichnet die Frage, welche personenbezogenen Daten in ein KI-Werkzeug eingegeben werden dürfen, auf welcher Rechtsgrundlage das geschieht und was der Anbieter damit tun darf. Rechtlich ist es kein neues Thema: Es gelten die Regeln der Datenschutz-Grundverordnung wie bei jedem anderen Dienstleister.
- Datenschutz bei KI-Tools
Die Frage, welche personenbezogenen Daten in ein KI-Werkzeug dürfen und auf welcher Grundlage.
Beispiel: „Der Datenschutz bei KI-Tools war schnell geklärt: Vertrag vorhanden, Training abgeschaltet, Kundennamen bleiben draußen.“Drei Punkte sind zu klären. Gibt es einen Vertrag zur Auftragsverarbeitung, siehe Auftragsverarbeitung bei KI-Tools? Werden die Eingaben für das Training verwendet? Und wo werden sie verarbeitet und wie lange gespeichert?
Der häufigste Fehler hat nichts mit Verträgen zu tun: Daten, die gar nicht hineingehören. Ein Modell braucht für eine Antwortvorlage keinen Klarnamen und keine Kundennummer.
Was bei den Einstellungen zählt
Bei den meisten Anbietern entscheidet der Tarif. Die Geschäftsvarianten schließen die Verwendung der Eingaben für das Training in der Regel aus und bieten einen Vertrag zur Auftragsverarbeitung an; die kostenlosen Varianten tun das häufig nicht. Hinzu kommen die Speicherdauer des Verlaufs und ein eventuelles Gedächtnis über Gespräche hinweg, siehe Memory, das unbemerkt Daten mitführen kann.
Der Grundsatz, der die meiste Arbeit erspart
Datensparsamkeit. Wer Namen durch Platzhalter ersetzt, bevor er einen Fall schildert, braucht über die Rechtsgrundlage kaum nachzudenken. Für Textarbeit, Auswertungen und Entwürfe genügt das fast immer, und es geht schneller als jede Prüfung im Einzelfall. Erst wenn ein Werkzeug echte Kundendaten verarbeiten soll, etwa in einem Supportsystem, wird die vollständige Prüfung nötig.
Was wir Kunden empfehlen
Eine Liste mit drei Spalten: Werkzeug, Vertrag vorhanden, Training abgeschaltet. Das deckt den Pflichtteil ab und ist in einer halben Stunde erstellt. Alles Weitere gehört in die KI-Richtlinie, die festlegt, welche Daten überhaupt hineindürfen; das wirkt im Alltag stärker als jede Vertragsklausel. Dazu gehört auch die Frage, wo die Verarbeitung stattfindet: Bei europäischen Standorten entfällt die Prüfung des Drittlandtransfers, und das verkürzt die Unterlagen erheblich.