Was die CNIL über KI in Frankreich sagt

Die CNIL ist eindeutig: Die DSGVO gilt uneingeschränkt für künstliche Intelligenz. Die CNIL (Commission nationale de l'informatique et des libertés) ist die französische Datenschutzbehörde. Für sie ist KI kein rechtsfreier Raum. Die bestehenden Regeln gelten bereits für sie. Die CNIL hat konkrete Empfehlungen für den Aufbau von KI-Systemen veröffentlicht, die der DSGVO entsprechen. Ein Grundsatz kehrt immer wieder: die Datenminimierung. Im Klartext: Geben Sie einem Modell nur die minimal notwendigen personenbezogenen Daten. Aus dieser Lesart folgt eine einfache Gewohnheit: Anonymisieren Sie Ihren Text, bevor Sie ihn an die KI senden.

Die DSGVO gilt für KI, so die CNIL

Beginnen wir mit dem Fundament. Die DSGVO (Datenschutz-Grundverordnung) ist der maßgebliche Rechtsrahmen. Die CNIL wendet sie in Frankreich an und setzt sie durch. Ihre Haltung zur KI ist eindeutig. Die DSGVO gilt uneingeschränkt für Systeme künstlicher Intelligenz. KI entzieht sich dem Datenschutzrecht nicht.

Die CNIL geht weiter. Sie bezeichnet eine verbreitete Annahme als falsch. Nein, die DSGVO verhindert Innovation im Bereich KI in Europa nicht. Für die CNIL gehören Innovation und die Achtung der Rechte der Menschen zusammen. Der Rahmen besteht bereits. Man wendet ihn an, man umgeht ihn nicht.

Die Empfehlungen der CNIL zur KI

Die CNIL bleibt nicht bei Grundsätzen stehen. Sie hat konkrete Empfehlungen zur Entwicklung von KI-Systemen veröffentlicht. Diese Arbeit, 2025 abgeschlossen und erweitert, wird von praktischen Merkblättern und Checklisten begleitet. Die Zielgruppe: Fachleute, die KI konzipieren oder einsetzen.

Diese Empfehlungen decken mehrere klare Bereiche ab.

• Der Zweck: ein festgelegtes Ziel, das die verwendeten Daten einrahmt und begrenzt.
• Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten.
• Die Datenminimierung, beschränkt auf das absolut Notwendige.
• Die Verteilung der Rollen: Verantwortlicher, gemeinsam Verantwortlicher, Auftragsverarbeiter.
• Sicherheit und Datenschutz durch Technikgestaltung (Privacy by Design).

Die CNIL bringt ihre Empfehlungen auch mit dem europäischen KI-Gesetz (AI Act) in Einklang, das 2024 verabschiedet wurde. Die beiden Texte ergänzen einander. Der eine schützt die Daten, der andere rahmt die Systeme ein.

Die Datenminimierung, der zentrale Grundsatz

Ein Grundsatz verdient einen eigenen Platz: die Datenminimierung. Sie steht im Kern der DSGVO. Die CNIL wiederholt sie beständig. Die Idee ist einfach. Eine Verarbeitung darf nur die personenbezogenen Daten nutzen, die ihr Zweck erfordert. Nicht mehr, keine Daten „für alle Fälle“.

Generative KI: woran die CNIL und der EDPB erinnern

Und die generative KI, wie große Sprachmodelle? Die CNIL hat kein Verbot veröffentlicht. Sie behandelt das Thema in ihrem KI-Aktionsplan. Ihre Botschaft bleibt dieselbe: Die DSGVO gilt.

Der Europäische Datenschutzausschuss (EDPB, auf Französisch CEPD) hat einen zentralen Punkt klargestellt. In einer im Dezember 2024 angenommenen Stellungnahme erinnert er an eine Sache. Die DSGVO gilt häufig für KI-Modelle, die mit personenbezogenen Daten trainiert wurden. Der Grund: Diese Modelle können diese Daten speichern. Die CNIL bietet eine Methode an, um zu beurteilen, ob ein Modell betroffen ist.

Die Lösung: vor dem Prompt anonymisieren

Was sollten Sie als Nutzer mitnehmen? Die Datenminimierung weist den Weg. Sie sollten einer KI so wenige personenbezogene Daten wie möglich geben. Genau das erreicht das vorgelagerte Anonymisieren. Sie ersetzen jeden sensiblen Wert vor dem Senden durch ein Token. Das Modell arbeitet mit der Struktur, nicht mit Ihren echten Werten. Diese Verbindung ist unsere Lesart des Grundsatzes, keine wortwörtliche Anweisung der CNIL.

Wenn Sie wirklich einen realen Fall einbeziehen müssen, anonymisieren Sie ihn zuerst. Ersetzen Sie jedes personenbezogene Datum durch ein Token. Die KI arbeitet mit Ihrer Situation, ohne die echten Werte je zu sehen. Diese Werte stellen Sie anschließend lokal wieder her.

1. 1Erkennen Sie die personenbezogenen Daten in Ihrem Text: Namen, E-Mails, Kennungen, Beträge.
2. 2Ersetzen Sie sie durch umkehrbare Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an das Modell.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten – Namen, E-Mails, Kennungen, Beträge – und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. In der Praxis wenden Sie so die Datenminimierung an, die die CNIL in den Mittelpunkt der DSGVO stellt.