KI-Tools im Web bieten große Chancen für effizienteres Arbeiten, bringen aber auch neue Datenschutzrisiken mit sich. Wer sensible oder personenbezogene Daten in externe KI-Dienste eingibt, verliert schnell die Kontrolle darüber, wo diese Informationen verarbeitet, gespeichert oder weiterverwendet werden. Besonders kritisch sind Prompts, hochgeladene Dokumente, Chatverläufe und Metadaten.
Aus DSGVO-Sicht ist deshalb entscheidend, welche Daten genutzt werden, zu welchem Zweck sie verarbeitet werden und ob klare Regeln für den Einsatz von KI bestehen. Organisationen sollten festlegen, welche Informationen in externe KI-Systeme eingegeben werden dürfen und welche nicht. KI ist nicht grundsätzlich problematisch, braucht aber einen bewussten und kontrollierten Umgang mit Daten.
KI im Web:
Chancen, Risiken und der Weg zu mehr Datenkontrolle
Künstliche Intelligenz ist längst im Arbeitsalltag angekommen. Texte zusammenfassen, E-Mails formulieren, Verträge prüfen, Konzepte entwerfen oder Dokumente analysieren: Was früher viel Zeit gekostet hat, erledigen KI-Systeme heute oft in wenigen Sekunden. Für Unternehmen, Vereine, Bildungseinrichtungen und Verwaltungen ist das eine große Chance.
Gleichzeitig entsteht eine neue Herausforderung: Wer KI nutzt, verarbeitet häufig Daten. Und oft sind diese Daten sensibel, vertraulich oder sogar personenbezogen. Genau hier beginnt die Verbindung zwischen KI und DSGVO.
Warum KI nicht nur ein Produktivitätswerkzeug ist
Viele KI-Dienste werden direkt im Browser genutzt. Man öffnet eine Webseite, gibt eine Frage ein, lädt vielleicht ein Dokument hoch und erhält eine Antwort. Das wirkt einfach und harmlos. Technisch gesehen passiert aber deutlich mehr: Der eingegebene Text, die Datei, der Chatverlauf und teilweise auch Metadaten werden an einen externen Dienst übertragen.
Das ist besonders relevant, wenn personenbezogene Daten enthalten sind. Dazu zählen nicht nur Namen, Adressen oder E-Mail-Adressen. Auch interne Gesprächsnotizen, Bewerbungsunterlagen, Kundendaten, Projektinformationen oder Gesundheitsdaten können unter die DSGVO fallen.
Die zentrale Frage lautet daher nicht: „Ist KI erlaubt?“
Die bessere Frage lautet: „Welche Daten werden wo, zu welchem Zweck und unter welchen Bedingungen verarbeitet?“
Typische Risiken bei KI-Diensten im Web
Ein großes Risiko besteht darin, dass Nutzerinnen und Nutzer Daten in externe KI-Systeme eingeben, ohne genau zu wissen, was anschließend damit passiert. Werden die Prompts gespeichert? Werden sie zur Verbesserung des Dienstes verwendet? Können Mitarbeitende des Anbieters darauf zugreifen? Wo stehen die Server? Gibt es eine Auftragsverarbeitung? Werden Daten in Drittstaaten übertragen?
Diese Fragen sind nicht theoretisch. In der Praxis landen schnell Inhalte in KI-Tools, die dort nicht hingehören: interne Strategiepapiere, Kundenschreiben, Vertragsentwürfe, Code, Personalinformationen oder Supportfälle.
Ein weiteres Risiko betrifft die Nachvollziehbarkeit. Viele KI-Systeme liefern überzeugend formulierte Antworten, ohne immer klar zu zeigen, auf welchen Quellen sie beruhen. Das kann zu falschen Entscheidungen führen. Eine KI kann Inhalte erfinden, Zusammenhänge falsch darstellen oder wichtige Einschränkungen übersehen. Dieses Phänomen wird häufig als Halluzination bezeichnet.
Auch die Vertraulichkeit ist ein Thema. Wer einen sensiblen Vertrag oder ein internes Protokoll in ein öffentliches KI-Tool hochlädt, gibt die Kontrolle über diese Informationen zumindest teilweise ab. Selbst wenn der Anbieter seriös ist, muss die Organisation prüfen, ob die Nutzung zu ihren Datenschutz- und Sicherheitsanforderungen passt.
DSGVO: Nicht jede KI-Nutzung ist problematisch
Wichtig ist: Die DSGVO verbietet KI nicht. Sie verlangt aber, dass personenbezogene Daten rechtmäßig, transparent, zweckgebunden und angemessen verarbeitet werden. Das bedeutet unter anderem: Es muss klar sein, welche Daten verarbeitet werden, warum das geschieht, wer Zugriff hat und wann die Daten gelöscht werden.
Für Organisationen bedeutet das: KI-Nutzung braucht Regeln. Mitarbeitende sollten wissen, welche Informationen sie in externe KI-Systeme eingeben dürfen und welche nicht. Ohne klare Richtlinie entsteht schnell ein Schatten-IT-Problem: Jeder nutzt eigene Tools, aber niemand hat den Überblick.
Eine einfache Einteilung kann helfen:
Öffentliche Informationen können häufig unkritisch verarbeitet werden. Interne Informationen sollten nur mit freigegebenen Tools genutzt werden. Personenbezogene oder vertrauliche Daten benötigen besondere Prüfung. Hochsensible Daten sollten grundsätzlich nicht in externe Web-KI-Systeme eingegeben werden, wenn keine klare rechtliche und technische Grundlage besteht.
Das eigentliche Problem: Kontrollverlust
Der Kern vieler Datenschutzrisiken liegt nicht in der KI selbst, sondern im Kontrollverlust. Sobald Daten eine kontrollierte Umgebung verlassen, müssen Organisationen darauf vertrauen, dass der externe Dienst korrekt, sicher und rechtskonform arbeitet.
Das kann möglich sein, erfordert aber Prüfung: Verträge, technische Maßnahmen, Speicherorte, Löschkonzepte, Zugriffsschutz und Transparenz. Gerade kleinere Organisationen haben dafür oft nicht die Ressourcen.
Deshalb wächst das Interesse an Alternativen: lokale KI-Systeme, private KI-Infrastrukturen und Lösungen, bei denen Daten in der eigenen Umgebung bleiben.
Fazit: KI braucht Datenbewusstsein
KI kann enorme Vorteile bringen. Aber sie verändert den Umgang mit Informationen. Was früher in einem internen Dokument blieb, wird heute schnell in ein Webformular kopiert. Genau dieser Moment entscheidet darüber, ob KI verantwortungsvoll eingesetzt wird.
Der erste Schritt zu datenschutzfreundlicher KI ist deshalb kein technischer, sondern ein organisatorischer: Unternehmen müssen verstehen, welche Daten sie haben, wie sensibel diese sind und welche KI-Werkzeuge dafür geeignet sind.
Im nächsten Beitrag geht es darum, wie lokale KI und Selfhosting helfen können, mehr Kontrolle über Daten, Prozesse und Infrastruktur zu gewinnen.
