Ist es sicher, wenn Freiberufler KI mit Kundendaten nutzen?

Nicht ohne Vorsicht. Als Freiberufler können Sie KI jeden Tag nutzen. Doch in dem Moment, in dem Sie Kundendaten einfügen, wird das Risiko real. Nach dem Datenschutzrecht sind Sie der Verantwortliche. Nicht Ihr Kunde. Nicht der KI-Anbieter. Sie. Das Gesetz gewährt Selbstständigen keine Ausnahme. Sie schulden eine Rechtsgrundlage, Transparenz und Sicherheit. Und das Einfügen des Vertrags eines Kunden kann dessen Vertraulichkeitsklausel verletzen. Die Lösung ist ein Wort: anonymisieren, bevor Sie senden.

Ob allein oder nicht — Sie sind der Verantwortliche

Das Datenschutzrecht kennt keine Größenschwelle. Ein Freiberufler oder Einzelunternehmer, der personenbezogene Daten verarbeitet, handelt in der Regel als „Verantwortlicher“. Der Name eines Kunden, eine E-Mail, eine Rechnung, ein Bestellformular — das sind personenbezogene Daten. Die britische Aufsichtsbehörde, das Information Commissioner's Office (ICO), ist eindeutig. Es gibt keine Ausnahme für Einzelunternehmer oder Kleinstunternehmen. Sie tragen dieselben grundlegenden Pflichten wie ein großes Unternehmen.

Verantwortlicher zu sein bedeutet eine einfache Sache. Sie müssen das Gesetz einhalten und dies nachweisen können. Das ist der Grundsatz der Rechenschaftspflicht aus Artikel 5 der DSGVO. Außerdem müssen Sie geeignete technische und organisatorische Maßnahmen ergreifen, um die Daten sicher zu halten. Im Vereinigten Königreich legen die UK-DSGVO (die britische Fassung der DSGVO nach dem Brexit) und der Data Protection Act 2018 diese Regeln fest. In der EU tut die Datenschutz-Grundverordnung (DSGVO) der EU dasselbe.

Was das Gesetz von Ihnen erwartet

Zuerst eine Rechtsgrundlage. Bevor Sie personenbezogene Daten verarbeiten, müssen Sie eine gültige wählen. Die DSGVO nennt sechs: Einwilligung, Erfüllung eines Vertrags, eine rechtliche Verpflichtung, lebenswichtige Interessen, eine im öffentlichen Interesse liegende Aufgabe und berechtigte Interessen. Das European Data Protection Board (EDPB) legt dies in seinem Leitfaden für kleine Unternehmen dar. Sie müssen Ihre Rechtsgrundlage festlegen, bevor Sie beginnen, nicht danach.

Als Nächstes Transparenz. Die Menschen müssen wissen, wie Sie ihre Daten nutzen. Das ist der Sinn der Artikel 13 und 14 der DSGVO (die Informationen, die Sie bereitstellen müssen). Sie müssen die Zwecke, Ihre Identität, die Kategorien der Daten, die Empfänger und die Rechte der Personen angeben. Wenn Sie sich auf die Einwilligung stützen, muss sie freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich erteilt werden. Mit anderen Worten: eine klare bejahende Handlung. Keine vorangekreuzten Kästchen. Und die Person kann sie jederzeit widerrufen.

Nun ein praktischer Punkt, den viele übersehen. Als selbstständiger Verantwortlicher müssen Sie sich in der Regel beim ICO registrieren und die jährliche Datenschutzgebühr zahlen, sofern keine gültige Ausnahme gilt. Und die Sanktionen richten sich nicht nach Ihrer Größe. Das ICO kann Bußgelder von bis zu 17 Millionen £ (20 Millionen €) oder 4 % des weltweiten Jahresumsatzes verhängen — je nachdem, welcher Betrag höher ist. Diese Obergrenze gilt auch für ein sehr kleines Geschäft.

Die Vertraulichkeitsklausel, die Sie verletzen könnten

Es gibt ein leiseres Risiko als ein Bußgeld. Viele Kundenmandate enthalten eine Vertraulichkeitsklausel oder eine Geheimhaltungsvereinbarung (ein NDA). Diese Klausel untersagt es Ihnen, vertrauliche Informationen an Dritte weiterzugeben. Doch das Einfügen des vertraulichen Dokuments eines Kunden in ein öffentliches KI-Tool sendet diese Information an einen externen Anbieter. Einen Anbieter, den die Klausel nicht abdeckt. Und schon die unbefugte Offenlegung kann die Verletzung sein. Es spielt keine Rolle, ob das Tool den Inhalt später speichert oder teilt.

Kostenlose oder Verbraucherversionen von KI-Tools bieten nicht die Garantien eines Unternehmensangebots. Diese Garantien werden in einem Vertrag ausgehandelt. In Verbraucherversionen können Ihre Eingaben aufbewahrt oder überprüft werden. Und, sofern eine Einstellung nicht deaktiviert ist, zur Verbesserung des Modells genutzt werden. Einem allein arbeitenden Freiberufler fehlt die vertragliche Absicherung einer Unternehmensvereinbarung. Hier ist eine weitere zentrale Regel. Wenn ein Drittanbieterdienst Daten in Ihrem Auftrag verarbeitet — Cloud-Speicher, ein Mailing-Tool, eine Online-Plattform —, müssen Sie einen schriftlichen Vertrag haben. Das ist die Anforderung aus Artikel 28 der UK-DSGVO (Verträge zwischen Verantwortlichem und Auftragsverarbeiter).

• Fügen Sie niemals ein Dokument unter NDA ein, ohne es zuvor anonymisiert zu haben.
• Senden Sie nur das strikt Notwendige, nicht die ganze Akte.
• Prüfen Sie Ihre Rechtsgrundlage und informieren Sie Ihre Kunden.
• Registrieren Sie sich beim ICO und zahlen Sie die Gebühr, wenn sie für Sie gilt.

Die Lösung: anonymisieren, bevor Sie senden

Gute Nachricht: Sie müssen sich nicht zwischen Tempo und Sicherheit entscheiden. Die Lösung ist ein Schritt. Anonymisieren Sie Kundendaten, bevor Sie sie an die KI senden. Ersetzen Sie jeden Namen, jede E-Mail oder Nummer durch ein reversibles Token. Die KI arbeitet auf dem anonymisierten Text. Anschließend stellen Sie die echten Werte auf Ihrer Seite wieder her. Sie behalten das Tempo. Sie schützen den Kunden. Und Sie verringern Ihre Exposition gegenüber der DSGVO.

1. 1Erkennen Sie die Kundendaten in Ihrem Text.
2. 2Ersetzen Sie sie durch reversible Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten und ersetzt sie vor dem Senden durch reversible Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Die KI sieht nur Token — nicht die Identitäten Ihrer Kunden. Sie arbeiten schnell, und die Vertraulichkeitsvereinbarung bleibt unversehrt.