KI im Unternehmen nutzen, ohne gegen die DSGVO zu verstoßen

Die Antwort passt in einen Satz. Ja, Sie dürfen KI im Unternehmen nutzen, ohne gegen die DSGVO zu verstoßen. Die CNIL verbietet es nicht. Sie verlangt, dass Sie einige klare Grundsätze einhalten. Der wirksamste davon heißt Datenminimierung. Senden Sie der KI nur das, was unbedingt nötig ist. Und anonymisieren Sie personenbezogene Daten vor dem Prompt. Daten, die das Modell nie erreichen, können nicht abfließen. Dieser Leitfaden liefert Ihnen die konkreten Regeln, den zu entkräftenden Einwand und die einfachste Lösung.

Das Problem: Ihre Teams nutzen KI bereits

Sehen Sie sich an, was in Ihren Teams geschieht. Ein Vertriebsmitarbeiter bittet ChatGPT, ein Kundengespräch zusammenzufassen. Eine Assistentin fügt einen Vertrag in Copilot ein, um ihn umzuformulieren. Ein Support-Mitarbeiter tippt eine ganze Beschwerde in Le Chat. Jedes Mal verlassen personenbezogene Daten den Arbeitsplatz. Ein Name. Eine E-Mail. Eine Telefonnummer. Manchmal weit mehr.

Diese Anwendungen sind nützlich. Sie sparen Zeit. Aber sie geschehen oft ohne Rahmen und ohne Anweisung. Genau da beginnt das Risiko, für das Unternehmen und für die betroffenen Personen.

Der Einsatz: Sie sind der Verantwortliche

Ein rechtlicher Punkt ändert alles. Das Unternehmen, das über die Zwecke und Mittel einer Verarbeitung entscheidet, ist im Sinne der DSGVO der „Verantwortliche“. Es trägt die Verantwortung für die Konformität. Auch dann, wenn ein Mitarbeiter personenbezogene Daten in eine externe KI eingibt. Die Handlung geht von einem Beschäftigten aus. Die Verantwortung fällt jedoch auf das Unternehmen zurück.

Die DSGVO gilt also für diese Anwendungen. Die CNIL, die französische Datenschutzbehörde, kann prüfen und sanktionieren. Die Verordnung sieht gestaffelte Geldbußen vor. Artikel 83 legt Obergrenzen fest. Sie reichen bei manchen Verstößen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Und bis zu 20 Millionen oder 4 % bei Verstößen gegen die Grundprinzipien. Das sind theoretische Obergrenzen, kein automatischer Betrag. Die CNIL passt stark an, je nach Schwere und Kooperation.

Die Regel, die am meisten schützt: die Datenminimierung

Unter allen Pflichten setzt eine an der Wurzel des Risikos an. Es ist die Datenminimierung, festgelegt in Artikel 5 der DSGVO. Die verarbeiteten Daten müssen angemessen, erheblich und auf das notwendige Maß beschränkt sein. Die CNIL empfiehlt, jene Technik zu bevorzugen, die das Ergebnis mit möglichst wenig personenbezogenen Daten erreicht. Dazu gehört, vorab zu anonymisieren oder zu pseudonymisieren, wenn die Identität der Person nicht erforderlich ist.

Die Überlegung ist einfach. Wenn die KI den echten Namen Ihres Kunden nicht braucht, um eine E-Mail umzuformulieren, geben Sie ihn ihr nicht. Sie erhalten dasselbe Ergebnis, ohne die Person offenzulegen. Datenminimierung ist keine Bremse. Sie ist die sparsamste und ehrlichste Kontrolle überhaupt.

Hier sind die konkreten Regeln, die Sie als Verantwortlicher einhalten sollten.

• Rechtsgrundlage (Artikel 6): Legen Sie von Anfang an fest, warum Sie diese Daten verarbeiten — Einwilligung, Vertrag, berechtigtes Interesse — und dokumentieren Sie den Zweck.
• Datenminimierung (Artikel 5): Senden Sie der KI nur das unbedingt Nötige und anonymisieren Sie personenbezogene Daten, wenn die Identität nicht nützlich ist.
• DSFA (Artikel 35): Führen Sie eine Datenschutz-Folgenabschätzung durch, wenn die Verarbeitung ein hohes Risiko für die Personen darstellt.
• Information der Personen: Sagen Sie Ihren Kunden und Mitarbeitern klar, dass ihre Daten über KI-Tools verarbeitet werden können.
• Auswahl der Tools: Bevorzugen Sie einen Anbieter mit einem Auftragsverarbeitungsvertrag (AVV) und einer Klausel „kein Training“ auf Ihren Daten.
• Mensch in der Schleife: Behalten Sie eine menschliche Prüfung vor jeder Entscheidung, die eine Person betrifft.

Zwei Punkte verdienen Sorgfalt, denn sie werden oft missverstanden.

Sollte man KI verbieten? Der zu entkräftende Einwand

Viele Führungskräfte entscheiden das mit einem Verbot. Das ist verlockend, aber kontraproduktiv. Ein KI-Verbot lässt den Bedarf nicht verschwinden. Ihre Teams weichen dann auf Consumer-Tools aus, auf ihren persönlichen Konten, außerhalb jeder Kontrolle. Das ist „Schatten-KI“: eine verdeckte Nutzung, ohne Rahmen, bei der Sie nichts mehr sehen.

Der sichere Weg ist das Gegenteil. Regeln Sie die Nutzung, dann rüsten Sie sie aus. Geben Sie Ihren Teams eine einfache Möglichkeit, KI zu nutzen, ohne personenbezogene Daten offenzulegen. Sie behalten die Produktivität und gewinnen die Kontrolle zurück.

Die Lösung: vor dem Prompt anonymisieren

Übersetzen wir die Datenminimierung in eine konkrete Handlung. Bevor Sie einen Text an die KI senden, ersetzen Sie jede personenbezogene Angabe durch ein Token. Der Name des Kunden wird zu einem Token. Die E-Mail wird zu einem Token. Die KI verarbeitet die Struktur Ihrer Anfrage, ohne je die echten Werte zu sehen. Sie selbst stellen die echten Werte anschließend lokal wieder her.

Genau das leistet ONYRI Sanitize. Die Engine erkennt sensible Daten und ersetzt sie vor dem Senden durch umkehrbare Token. Das Vorgehen umfasst vier Schritte.

1. 1Spüren Sie die personenbezogenen Daten in Ihrem Text auf: Namen, E-Mails, Telefonnummern, Adressen, Beträge.
2. 2Ersetzen Sie sie durch umkehrbare Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI Ihrer Wahl.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

ONYRI Sanitize ist eine Minimierungskontrolle unter Ihren Pflichten, keine schlüsselfertige DSGVO-Konformität. Aber es ist die Kontrolle, die dort ansetzt, wo das Risiko entsteht. Die Erkennung und das Mapping bleiben im Browser. Nur ein anonymisierter Text erreicht das Modell. Die echten Werte verlassen den Arbeitsplatz nicht. Sie setzen die Datenminimierung, die die CNIL empfiehlt, konkret um, und Ihre Teams behalten die KI, die sie voranbringt.