DSGVO und KI: Was Sie 2025 wissen müssen

DSGVO und KI: was Sie 2025 wissen müssen

Die Kombination aus künstlicher Intelligenz und der Datenschutz-Grundverordnung (DSGVO) ist eine der komplexesten Compliance-Herausforderungen für europäische Unternehmen. Da KI immer tiefer in Geschäftsprozesse einzieht, werden die Datenschutzfolgen größer und die Risiken bei Verstößen entsprechend ernster.

In diesem Artikel geben wir einen praktischen Überblick über die DSGVO-Anforderungen an KI-Anwendungen im Jahr 2025 und darüber, wie Sie konform bleiben.

Die Basis: DSGVO und personenbezogene Daten in der KI

Die DSGVO greift, sobald personenbezogene Daten verarbeitet werden. Bei KI-Anwendungen ist das praktisch immer der Fall:

• Eingabe: Nutzer stellen Fragen, die personenbezogene Daten enthalten können (Namen, Sozialversicherungsnummern, Gesundheitsdaten)
• Training: Modelle, die auf Datensätzen mit personenbezogenen Daten trainiert wurden
• Ausgabe: KI-generierte Antworten, die personenbezogene Daten wiedergeben oder ableiten

Aufsichtsbehörden stellen klar, dass der Einsatz von KI-Systemen, die personenbezogene Daten verarbeiten, allen DSGVO-Anforderungen unterliegt, einschließlich Zweckbindung, Datenminimierung und Recht auf Vergessenwerden.

Die 6 DSGVO-Grundsätze angewandt auf KI

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

Sie brauchen eine gültige Rechtsgrundlage für die Verarbeitung. Bei KI-Anwendungen ist das berechtigte Interesse (Artikel 6 Abs. 1 lit. f) die am häufigsten genutzte Grundlage, sie erfordert aber eine sorgfältige Interessenabwägung.

Transparenz ist bei KI besonders anspruchsvoll: Sie müssen Nutzer darüber informieren, dass KI eingesetzt wird, wie die KI arbeitet und welche Daten verarbeitet werden. Der Einsatz von KI ist keine Entschuldigung für fehlende Transparenz.

2. Zweckbindung

Personenbezogene Daten dürfen nur für den Zweck verarbeitet werden, für den sie erhoben wurden. Problematisch wird es, wenn:

• Daten, die für den Kundenservice erhoben wurden, für KI-Training genutzt werden
• Chatverläufe ohne ausdrückliche Einwilligung für Produktverbesserung analysiert werden
• KI-Ausgaben für andere Zwecke weiterverwendet werden

3. Datenminimierung

Verarbeiten Sie nur die personenbezogenen Daten, die zwingend nötig sind. Bei KI bedeutet das:

• Entfernen Sie personenbezogene Daten aus Prompts, wo es möglich ist
• Nutzen Sie Anonymisierungstechniken für Trainingsdaten
• Speichern Sie Gesprächsverläufe nicht länger als nötig

4. Richtigkeit

KI-Modelle halluzinieren, sie erzeugen manchmal Informationen, die sachlich falsch sind. Enthält eine solche Halluzination personenbezogene Daten, ist das ein DSGVO-Problem. Sie sind verpflichtet, unrichtige personenbezogene Daten zu berichtigen, auch wenn eine KI sie erzeugt hat.

5. Speicherbegrenzung

Bewahren Sie personenbezogene Daten nicht länger auf als nötig. Das gilt für:

• Gesprächsverläufe mit KI-Assistenten
• Trainingsdaten mit personenbezogenen Daten
• Protokolle von KI-Interaktionen

6. Integrität und Vertraulichkeit

Sichern Sie personenbezogene Daten mit angemessenen technischen und organisatorischen Maßnahmen ab:

• Verschlüsselung (AES-256 at rest, TLS 1.3 in transit)
• Zugriffsverwaltung (wer darf welche Daten über die KI abfragen?)
• Audit-Logging (wer hat welche personenbezogenen Daten über die KI abgefragt?)

Die Pflicht zur Datenschutz-Folgenabschätzung

Bei KI-Anwendungen, die systematisch personenbezogene Daten verarbeiten, ist eine Datenschutz-Folgenabschätzung (DSFA) verpflichtend. Dabei gilt:

• Bewerten Sie Notwendigkeit und Verhältnismäßigkeit der Verarbeitung
• Identifizieren Sie Risiken für die betroffenen Personen
• Beschreiben Sie die Maßnahmen, mit denen Sie diese Risiken abmildern
• Beziehen Sie Ihren Datenschutzbeauftragten ein

EU AI Act und DSGVO: doppelte Compliance

Seit 2025 tritt der EU AI Act schrittweise in Kraft. Diese Verordnung stellt zusätzliche Anforderungen über die DSGVO hinaus:

• Risikoklassifizierung: KI-Systeme werden in Risikokategorien eingeteilt (minimal, begrenzt, hoch, inakzeptabel)
• Hochrisiko-KI: Systeme für Personalauswahl, Kreditbewertung oder medizinische Diagnostik unterliegen strengen Anforderungen
• Transparenzpflichten: Nutzer müssen wissen, dass sie mit KI kommunizieren
• Dokumentationspflicht: technische Dokumentation zu Modellarchitektur, Trainingsdaten und Evaluationsergebnissen

Praktische Schritte für DSGVO-konforme KI

1. Entscheiden Sie sich für lokales Hosting

Der einfachste Weg, DSGVO-Compliance zu vereinfachen, ist, die Daten innerhalb der EU zu halten. Mit IntraGPT läuft Ihre KI auf Servern in Berlin, ohne Datentransfer in Drittländer und ohne Abhängigkeit von Angemessenheitsbeschlüssen.

2. Setzen Sie Anonymisierung um

Entfernen Sie personenbezogene Daten aus Prompts, bevor sie an das Modell gehen. IntraGPT bietet dafür eine automatische Erkennung und Anonymisierung personenbezogener Daten.

3. Legen Sie Aufbewahrungsfristen fest

Definieren Sie, wie lange Gesprächsverläufe aufbewahrt werden. Bei IntraGPT können Sie Aufbewahrungsregeln pro Abteilung oder pro Anwendungsfall einstellen.

4. Führen Sie eine DSFA durch

Nutzen Sie eine DSFA-Vorlage Ihrer Aufsichtsbehörde als Ausgangspunkt. Dokumentieren Sie Ihre Verarbeitungstätigkeiten, die Risiken und die Gegenmaßnahmen.

5. Schließen Sie einen Auftragsverarbeitungsvertrag

Wenn Sie eine KI-Plattform wie IntraGPT nutzen, ist ein Auftragsverarbeitungsvertrag verpflichtend. Wir bieten standardmäßig einen Vertrag, der Artikel 28 DSGVO erfüllt.

Die Risiken bei Verstößen

Die Bußgelder für DSGVO-Verstöße sind erheblich:

• Bis zu 20 Millionen Euro oder 4% des Jahresumsatzes
• Aufsichtsbehörden haben 2024 mehrfach Bußgelder gegen Organisationen verhängt, die KI ohne angemessene Datenschutzgarantien einsetzen
• Der Reputationsschaden kann größer sein als das Bußgeld selbst

Möchten Sie wissen, ob Ihr KI-Einsatz DSGVO-konform ist? Nehmen Sie Kontakt für eine Datenschutz-Einschätzung auf oder sehen Sie sich unsere DSGVO-Seite an.