Wissenswertes

KI und DSGVO: Was mit Ihren Firmendaten passiert

In fast jedem Gespräch über künstliche Intelligenz kommt früher oder später dieselbe Frage: Was passiert eigentlich mit unseren Daten? Die Frage ist berechtigt, und die Antwort ist klarer, als viele denken. Wer ein paar Unterscheidungen kennt, kann KI auch mit vertraulichen Firmendaten sauber und rechtssicher einsetzen.

Die erste Frage in jedem Gespräch

Unsicher sind nicht nur einzelne Unternehmen. Nach einer Umfrage des Branchenverbands Bitkom vom September 2026 sagt die Hälfte der Unternehmen, der Datenschutz bremse ihren eigenen KI-Einsatz. Mehr als die Hälfte fühlt sich bei Datenschutzfragen rund um KI häufig überfordert, und fast vier von fünf finden, dass die Prüfung von KI-Projekten immer aufwendiger wird.

Ein großer Teil dieser Unsicherheit verschwindet, sobald man drei Fragen auseinanderhält: Welchen Zugang zur KI nutze ich? Wo werden die Daten verarbeitet? Und was verlangen DSGVO und EU-KI-Verordnung tatsächlich?

Kostenloser Chat oder Geschäftszugang

Der wichtigste Unterschied liegt nicht zwischen den Anbietern, sondern zwischen kostenlosem Verbraucherzugang und bezahltem Geschäftszugang. Google etwa schreibt in den Bedingungen für seinen kostenlosen KI-Zugang ausdrücklich, man solle dort keine vertraulichen oder personenbezogenen Daten eingeben, weil Eingaben zur Verbesserung der Produkte genutzt und von Menschen gelesen werden können.

Über die Geschäftszugänge sieht es anders aus. OpenAI trainiert seit März 2023 nicht mit Daten aus seiner Schnittstelle, Anthropic, Google und Microsoft ebenso wenig mit den Daten ihrer Geschäftskunden. Gespeichert wird nur für kurze Zeit, um Missbrauch zu erkennen, bei Anthropic und OpenAI höchstens 30 Tage. Auf Antrag geht es sogar ganz ohne Speicherung.

Wie es schiefgehen kann, zeigt ein bekannter Fall: 2023 lud ein Ingenieur von Samsung internen Quellcode in den kostenlosen ChatGPT, Samsung verbot daraufhin KI-Werkzeuge im Unternehmen. Das Problem war nicht die KI, sondern der falsche Zugang und das Fehlen klarer Regeln. Fachleute sprechen von Schatten-KI, wenn Mitarbeiter auf eigene Faust private KI-Konten nutzen. Die beste Vorbeugung ist ein offizieller, sauber eingerichteter Zugang.

Wo die Daten verarbeitet werden

Die großen Anbieter bieten inzwischen an, Daten in europäischen Rechenzentren zu verarbeiten: OpenAI über eine eigene Datenresidenz für Europa, Google über einen EU-Endpunkt, Microsoft über die EU Data Boundary. Claude von Anthropic läuft auf Wunsch über Google oder Amazon in der EU.

Zwingend vorgeschrieben ist das nach der DSGVO übrigens nicht. Eine Übermittlung in die USA ist erlaubt, derzeit auf Grundlage des Datenschutzabkommens zwischen der EU und den USA von 2023. Das Gericht der EU hat dieses Abkommen im September 2025 bestätigt, ein Rechtsmittel dagegen ist noch anhängig. Wer auf Nummer sicher gehen will, wählt die Verarbeitung in der EU, und viele Kunden erwarten das inzwischen auch.

Für besonders schützenswerte Unterlagen reicht auch das nicht immer, denn amerikanische Anbieter können nach US-Recht verpflichtet sein, Daten herauszugeben, auch wenn sie in Europa liegen. Welcher Weg für geheime Unterlagen der richtige ist, zeigt der Artikel Welche KI für welchen Zweck? Wie man KI-Agenten selbst sicher einsetzt, steht unter Wie sicher sind KI-Agenten?

Was die DSGVO verlangt

Die DSGVO gilt, sobald personenbezogene Daten verarbeitet werden, also Namen, Kontaktdaten, Personalunterlagen oder E-Mails mit Absendern. Viele technische Unterlagen wie Berechnungen, Zeichnungen oder Prüfberichte enthalten davon wenig. Wo personenbezogene Daten im Spiel sind, gelten im Kern dieselben Regeln wie bei jedem anderen Dienstleister:

• Auftragsverarbeitungsvertrag: Der KI-Anbieter verarbeitet die Daten im Auftrag. Alle großen Anbieter stellen für ihre Geschäftszugänge einen solchen Vertrag bereit.
• Rechtsgrundlage und Zweck: Es muss klar sein, wofür die Daten genutzt werden, und dieser Zweck muss erlaubt sein.
• Technische und organisatorische Maßnahmen: Wer darf zugreifen, wie werden Daten geschützt, wann gelöscht?
• Folgenabschätzung bei hohem Risiko: Bei sensiblen Daten in großem Umfang ist vorab eine Datenschutz-Folgenabschätzung nötig.

Die deutschen Datenschutzbehörden haben dazu 2024 eine eigene Orientierungshilfe zu KI und Datenschutz veröffentlicht. Sie zeigt: Mit KI ist nicht alles neu, sondern vieles bekannt.

Die EU-KI-Verordnung

Neben der DSGVO gilt seit 2024 die EU-KI-Verordnung. Sie wird in Stufen wirksam, und einige Fristen wurden 2026 verschoben. Für Unternehmen, die KI im eigenen Haus einsetzen, ist vor allem eine Pflicht schon heute fällig: Wer KI nutzt, muss dafür sorgen, dass die Mitarbeiter, die damit arbeiten, ausreichend geschult sind. Die strengen Regeln für Hochrisiko-Systeme betreffen Bereiche wie Personalauswahl oder Kreditvergabe. Eine interne Wissensdatenbank für Fachwissen gehört in aller Regel nicht dazu.

Firmengeheimnisse

Neben dem Datenschutz geht es um etwas, das für technische Unternehmen oft noch wichtiger ist: das eigene Know-how. Nach dem Geschäftsgeheimnisgesetz ist eine Information nur dann rechtlich als Geschäftsgeheimnis geschützt, wenn das Unternehmen angemessene Maßnahmen getroffen hat, um sie geheim zu halten. Klare Regeln für den Umgang mit KI gehören heute dazu: welcher Zugang für welche Daten erlaubt ist, und dass private KI-Konten für Firmenunterlagen tabu sind.

Auch innerhalb des Unternehmens gilt: Nicht jeder soll alles sehen. Die Personalakte gehört nicht in dieselbe Suche wie die Projektakte. Eine Wissensdatenbank muss solche Grenzen abbilden, damit die KI nur aus dem antwortet, was der jeweilige Nutzer auch sehen darf.

Für ganz Vorsichtige: alles im eigenen Haus

Wer gar keine Daten aus dem Haus geben will, muss auf KI nicht verzichten. Offene KI-Modelle lassen sich auf eigener Hardware betreiben, auf Wunsch ohne jede Verbindung ins Internet. Sie liegen nur wenige Monate hinter den Spitzenmodellen. Wie das funktioniert und welche Modelle dafür infrage kommen, steht im Artikel Welche KI für welchen Zweck?

Bei Vector-Brain klären wir am Anfang jedes Projekts, welche Daten wohin dürfen, und richten den Zugang danach ein: über Geschäftszugänge mit Auftragsverarbeitungsvertrag, mit Verarbeitung in der EU oder vollständig im eigenen Haus. In unserem KI-Mail-Assistenten etwa liegen Datenbank und Suchindex auf einem eigenen Server. Wenn Sie wissen möchten, was das für Ihr Unternehmen bedeutet, sprechen Sie uns an.

Quellen

Weitere Artikel unter Wissenswertes