KI-Ratgeber · Datenschutz (DSGVO)
KI und Datenschutz: DSGVO-Grundlagen für KI-Anwendungen
Welche Daten bei ChatGPT, Claude und anderen KI-Diensten an den Anbieter gehen, was vertraglich geregelt sein sollte und wie Sie Risiken technisch verringern.
Welche Daten fließen wirklich ab?
Jeder Aufruf eines KI-Dienstes sendet Eingaben an den Anbieter. Das können Namen, Kontaktdaten, Kundendaten oder interne Dokumente sein. Dazu kommen hochgeladene Dateien und oft der bisherige Gesprächsverlauf, den viele Anwendungen bei jeder Anfrage erneut mitsenden.
Bevor eine Anwendung live geht, sollte klar sein, welche Daten wohin gehen.
Vertrag und Anbieter
Verarbeitet ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag, ist in der Regel ein Vertrag zur Auftragsverarbeitung (AVV) nötig. Prüfen Sie außerdem:
- Wo werden die Daten verarbeitet? Für Übermittlungen in Drittländer wie die USA gelten zusätzliche Anforderungen.
- Speichert der Anbieter Eingaben und Antworten, und wie lange?
- Nutzt der Anbieter die Daten zum Training seiner Modelle?
Die Bedingungen unterscheiden sich je nach Anbieter, Produkt und Vertrag. Private Konten und Geschäfts- oder API-Zugänge sind oft unterschiedlich geregelt.
Technische Maßnahmen: Datensparsamkeit
- Nur die Daten an das Modell senden, die für die Aufgabe nötig sind
- Personenbezogene Teile vor dem Versand entfernen oder durch Platzhalter ersetzen
- Logs ohne unnötige personenbezogene Inhalte führen und nur begrenzt aufbewahren
- Zugriffe auf gespeicherte Eingaben und Antworten beschränken
- Wo möglich, einen Anbieter oder eine Region mit Rechenzentren in der EU wählen
Transparenz gegenüber Nutzern
Ihre Nutzer sollten erfahren, dass und wofür ein KI-Dienst ihre Eingaben verarbeitet, in der Regel über die Datenschutzerklärung. Je nach Einsatz können außerdem Pflichten aus der KI-Verordnung der EU (AI Act) hinzukommen, zum Beispiel der Hinweis, dass Nutzer mit einem KI-System kommunizieren.
Hinweis
Diese Seite gibt einen Überblick und ersetzt keine rechtliche Beratung. Für Ihre Anwendung setzen wir die technischen Maßnahmen um und stimmen sie mit Ihrem Datenschutzkonzept und Ihrer Datenschutzberatung ab.
Weitere Punkte vor dem Start enthält die Checkliste vor dem Livegang.
Datenschutz Ihrer KI-Anwendung technisch prüfen lassen
Im kostenlosen Erstgespräch per Videocall klären wir, welche Daten Ihre Anwendung wohin sendet.