Ist der KI-Einsatz im Autohaus sicher? (Verkauf & Finanzierung)

Die Antwort passt in eine Zeile. KI kann eine Nachricht oder eine Anzeige verfassen, aber übergeben Sie ihr niemals eine Kundenakte. Ein Autokreditantrag ist ein sehr dichtes Identitätsdossier. Er bündelt die SSN (Social Security number, die US-amerikanische Sozialversicherungsnummer) oder eine nationale ID, Einkommen, Beschäftigung, Führerschein und Kredithistorie. Alles in einem einzigen Formular. In ein Verbraucher-ChatGPT eingefügt, geht diese Akte an einen Dritten. In den USA verpflichtet die FTC Safeguards Rule das Autohaus, diese Daten zu schützen. Es gibt eine saubere Methode: Anonymisieren Sie die Kennungen des Kunden vor dem Prompt.

Ein Finanzierungsantrag ist ein dichtes Identitätsdossier

Ein Autokreditformular ist kein gewöhnliches Dokument. Es versammelt alles, was ein Betrüger will. Die SSN oder nationale ID. Einkommen und Arbeitgeber. Die Führerscheinnummer. Die Kredithistorie. Ein einziges Leck legt den gesamten Satz auf einmal offen.

Die FTC (Federal Trade Commission, die US-amerikanische Verbraucherschutzbehörde) definiert Identitätsdiebstahl einfach. Es ist die Nutzung der persönlichen oder finanziellen Informationen einer Person ohne deren Erlaubnis. Die FTC nennt genau die Felder, die ein Kreditantrag zusammenführt: Name und Adresse, die SSN sowie Bankkonto- oder Zahlungskartennummern. Deshalb ist dieses Formular ein so dichtes Identitätsdossier.

Die FTC rät außerdem, eine SSN nur dann herauszugeben, wenn es wirklich nötig ist. Sie warnt, dass eine seriöse Organisation, die sie bereits benötigt, Sie nicht unaufgefordert kontaktiert, um danach zu fragen. Die Lehre für ein Autohaus ist klar. Eine SSN hat in einem unnötigen Drittanbieter-Tool wie einem Verbraucher-Chatbot nichts zu suchen.

In den USA ist ein Autohaus ein Finanzinstitut

Das ist der Punkt, den viele übersehen. Die FTC Safeguards Rule geht auf den Gramm-Leach-Bliley Act (GLBA, das US-amerikanische Gesetz zur Modernisierung der Finanzdienstleistungen) zurück. Sie behandelt die meisten Autohäuser als „Finanzinstitute“. Der Grund: Sie vermitteln, gewähren oder beraten zu Fahrzeugfinanzierung oder -leasing. Die FTC veröffentlicht sogar eine eigens für Autohäuser erstellte FAQ.

Diese FAQ bestätigt es. Ein erfasstes Autohaus muss die „nicht öffentlichen personenbezogenen Informationen“ schützen, die es von Kunden erhebt. Es muss ein schriftliches Informationssicherheitsprogramm betreiben. Dazu gehören Zugriffskontrollen, die Verschlüsselung von Kundendaten und die Aufsicht über das Personal.

Eine Verbraucher-KI ist nicht Teil dieses Programms. Eine Kundenakte hineinzukopieren verschiebt die Daten aus den vorgeschriebenen Schutzmaßnahmen heraus. Beachten Sie die Nuance: Die Regel „verbietet“ KI nicht. Sie verlangt, dass Sie die Daten schützen. Eine nicht erfasste Drittanbieter-KI bricht diesen Schutz. Genau dort liegt das Compliance-Risiko.

Ein Punkt zum Anwendungsbereich ist wichtig. Die Regel erfasst nur Autohäuser, die „erheblich“ in einer Finanztätigkeit engagiert sind, etwa der Vermittlung von Finanzierungen. Ein Autohaus mit reinem Barverkauf, ohne Finanzierungsrolle, ist in der Regel nicht erfasst. Doch sobald Kredit im Spiel ist, gilt die Regel.

In Europa und im Vereinigten Königreich: Diese Felder sind personenbezogene Daten

Außerhalb der USA gilt eine andere Regel. Unter der UK GDPR, der britischen Fassung der DSGVO, gibt die ICO (Information Commissioner's Office, die britische Datenschutzbehörde) eine weite Definition. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen.

Die ICO erklärt, dass ein einziger Identifikator ausreicht, um eine Person identifizierbar zu machen. Ein Name. Eine Identifikationsnummer. Ein Online-Identifikator. Die Führerscheinnummer, die nationale ID oder die Finanzierungsdaten eines Kunden sind daher personenbezogene Daten. Ihre Verarbeitung löst Pflichten des Verantwortlichen aus. Ein Autohaus in der EU fällt unter die EU-DSGVO, mit demselben Grundsatz.

KI kann sich auch selbstbewusst irren

Es gibt ein zweites, weniger offensichtliches Risiko. Eine Allzweck-KI kann einen Zinssatz, eine Monatsrate oder eine Berechtigung in selbstbewusstem Ton nennen. Und sich irren. Für eine regulierte Finanzierungstransaktion ist das ein doppeltes Problem. Ein möglicher Schaden für den Kunden. Ein Compliance-Risiko für das Autohaus.

Die sichere Regel ist einfach. Behandeln Sie jede KI-Ausgabe zu Finanzierungskonditionen als zu prüfenden Entwurf. Niemals als maßgebliche Antwort. Die offizielle Zahl bleibt die aus Ihren Systemen und von Ihrem Kreditgeber.

Die Lösung: vor dem Senden anonymisieren

Gute Nachricht: KI bleibt im Autohaus wertvoll. Sie kann eine Nachfassnachricht, eine Anzeige oder eine Zusammenfassung verfassen. Sie kann eine Antwort an einen Kunden umformulieren. Dafür braucht sie keine echte Kennung. Entfernen Sie die SSN, die Führerscheinnummer und die anderen Kennungen vor dem Prompt. Die KI arbeitet mit de-identifiziertem Text.

Wenn ein konkreter Fall nötig ist, anonymisieren Sie ihn zuerst. Ersetzen Sie jede Kennung durch ein Token. Die KI überlegt anhand der Form der Situation, ohne die echten Werte zu sehen. Die echten Werte stellen Sie anschließend lokal wieder her.

1. 1Erkennen Sie die Kennungen: SSN oder nationale ID, Führerschein, Einkommen, Adresse, Kartennummer.
2. 2Ersetzen Sie sie durch reversible Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Ein paar feste Regeln runden die Methode im Autohaus ab.

• Fügen Sie niemals einen vollständigen Kreditantrag oder eine SSN in eine Verbraucher-KI ein.
• Halten Sie Finanzierungsdaten in Ihren konformen Systemen.
• Verwenden Sie nur geprüfte Tools, die durch einen Auftragsverarbeitungsvertrag (AVV) abgedeckt sind.
• Behandeln Sie jede KI-Ausgabe zu Finanzierungskonditionen als zu prüfenden Entwurf.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten — SSN, Führerschein, Einkommen, Adresse, Kartennummer — und ersetzt sie vor dem Senden durch reversible Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Die KI findet nur Token, niemals die echte Kundenakte. Sie erhalten die Hilfe beim Verfassen, ohne die Schutzmaßnahmen zu brechen, die die FTC Safeguards Rule von Ihnen verlangt.