Ist Ihr KI-Einsatz DSGVO-konform? Eine Selbstprüfung

Sie möchten eine einfache Antwort. Ist Ihr KI-Einsatz DSGVO-konform (Datenschutz-Grundverordnung)? Niemand kann das in einem Satz für Sie entscheiden. Sie schon – in acht Fragen. Beantworten Sie jede mit Ja oder Nein. Jedes „Nein“ ist eine mögliche Lücke. Die französische CNIL (die nationale Datenschutzbehörde) ist eindeutig: KI erhält keine Ausnahme. Sobald ein KI-System personenbezogene Daten verarbeitet, gilt die DSGVO. Eine Kundenakte in ein Verbraucher-ChatGPT einzufügen, ist daher eine Datenverarbeitung. Stellen wir die Diagnose.

Die Selbstprüfung: acht Fragen, acht „Ja“ als Ziel

Nehmen Sie sich dreißig Sekunden. Beantworten Sie jede Frage ehrlich. Ein „Ja“ bedeutet einen beherrschten Punkt. Ein „Nein“ bedeutet eine zu schließende Lücke. Zählen Sie Ihre „Nein“-Antworten am Ende.

1. 1Fügen Sie personenbezogene oder Kundendaten in ein KI-Tool ein? Ein Name, eine E-Mail, eine Personalakte, ein Vertrag zählen alle.
2. 2Haben Sie eine Rechtsgrundlage für diese Verarbeitung ermittelt? Artikel 6 der DSGVO sieht sechs vor, darunter die Einwilligung und das berechtigte Interesse.
3. 3Anonymisieren Sie die Daten, bevor Sie den Prompt schreiben? Artikel 5 verlangt, nur das strikt Notwendige zu übermitteln.
4. 4Bietet Ihr KI-Tool einen AVV (Auftragsverarbeitungsvertrag) mit einer Anti-Trainings-Klausel?
5. 5Falls die Verarbeitung ein hohes Risiko birgt, haben Sie eine DSFA (Datenschutz-Folgenabschätzung) durchgeführt?
6. 6Haben Sie die betroffenen Personen darüber informiert, dass ihre Daten durch eine KI laufen können? Die Artikel 12 bis 14 verlangen das.
7. 7Regeln Sie die Übermittlung von Daten außerhalb der Europäischen Union, falls Ihr Anbieter anderswo hostet?
8. 8Sind Ihre Teams dafür sensibilisiert, was sie in einen Chatbot einfügen dürfen und was nicht?

So lesen Sie Ihr Ergebnis

Zählen Sie Ihre „Nein“-Antworten zusammen. Das Ergebnis ist keine offizielle Note. Es ist ein Warnsignal für Ihren eigenen Gebrauch. Hier sind drei einfache Profile.

• Null „Nein“: Ihr Rahmen ist solide. Dokumentieren Sie ihn und halten Sie ihn bei jedem neuen Tool aktuell.
• Ein bis drei „Nein“: gezielte Lücken zum Schließen. Beheben Sie zuerst die zur Anonymisierung – sie ist am schnellsten.
• Vier „Nein“ oder mehr: Das Risiko ist real. Legen Sie eine KI-Nutzungsrichtlinie fest, bevor Sie fortfahren, und holen Sie sich Unterstützung.

Ein Punkt verdient Klarheit. Diese Diagnose beleuchtet Ihre Exposition. Sie ersetzt weder eine Rechtsberatung noch die Stellungnahme Ihres DSB (Datenschutzbeauftragten), falls Sie einen haben.

„Sollten wir KI einfach verbieten?“ Nein.

Viele Geschäftsleitungen ziehen den falschen Schluss. Sie wollen KI verbieten. Das ist ein Fehler. Das Problem ist nicht das Werkzeug. Das Problem sind die personenbezogenen Daten, die man ohne Vorsicht hineinkopiert. KI bleibt nützlich, um zu denken, zu schreiben, zu strukturieren. Sie muss Ihre echten Werte schlicht nicht sehen.

Ein weiterer Irrtum. „Wir haben keinen verpflichtenden DSB, also keine Auflage.“ Falsch. Ein DSB ist nur in drei bestimmten Fällen verpflichtend, festgelegt in Artikel 37 der DSGVO. Der Einsatz von KI ist nicht automatisch einer davon. Aber die DSGVO selbst gilt in jedem Fall. Rechtsgrundlage, Minimierung, Information: Diese Pflichten bestehen, DSB oder nicht.

Die häufigste Lücke – und die am schnellsten zu schließende

Von den acht Fragen kehrt eine immer wieder als „Nein“ zurück. Die Anonymisierung. Die meisten Teams fügen rohe personenbezogene Daten in die KI ein, ohne sie zu maskieren. Es ist zugleich die am schnellsten zu schließende Lücke. Und sie berührt ein zentrales DSGVO-Prinzip.

Artikel 5 der DSGVO verlangt die Datenminimierung. Sie verarbeiten nur Daten, die angemessen, erheblich und auf das strikt Notwendige beschränkt sind. Eine vollständige Akte an eine KI zu senden, obwohl ein paar Felder genügen würden, verstößt gegen dieses Prinzip. Vor dem Prompt zu anonymisieren, setzt die Minimierung buchstabengetreu um.

Wie schließen Sie also diese Lücke? Sie behalten die KI. Sie entfernen nur die personenbezogenen Daten aus dem Prompt. Hier ist der Ablauf.

1. 1Erkennen Sie die personenbezogenen Daten in Ihrem Text: Namen, E-Mails, Nummern, Beträge, Kontaktdaten.
2. 2Ersetzen Sie jedes Element durch einen umkehrbaren Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort wieder her, lokal, auf Ihrem Rechner.

Dieser Schritt allein macht Ihren gesamten Einsatz nicht konform. Er behebt jedoch die häufigste Lücke. Er dient unmittelbar der Minimierung aus Artikel 5. Und er verringert Ihre Abhängigkeit von der Anti-Trainings-Klausel Ihres Anbieters, da die KI die echten Werte nie sieht.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten – Namen, E-Mails, Nummern, Beträge – und ersetzt sie durch umkehrbare Tokens vor dem Senden. Die Erkennung und das Mapping bleiben in Ihrem Browser. Die echten Werte verlassen Ihren Rechner nie. Nur anonymisierter Text erreicht das Modell. Sie behalten die Leistungsfähigkeit der KI und setzen zugleich die Minimierung um, die die DSGVO und die CNIL von Ihnen erwarten.