DSGVO-konforme KI-Tools für Unternehmen: Worauf Sie achten müssen

Warum die Tool-Auswahl über Compliance entscheidet

Viele KI-Tools sind in den USA entwickelt und verarbeiten Daten in US-Rechenzentren. Für personenbezogene Daten deutscher Kunden oder Mitarbeitender ist das ein Problem – seit dem Wegfall des Privacy Shields ist jeder Datentransfer in Drittländer rechtfertigungspflichtig. Wer KI im Unternehmen einsetzt, muss vor der Tool-Auswahl klären, wo und wie Daten verarbeitet werden.

Die wichtigsten Prüfkriterien

1. Standort der Datenverarbeitung

• Wo stehen die Server? Idealerweise EU oder Deutschland.
• Findet ein Transfer in Drittländer (z. B. USA) statt? Falls ja, auf welcher rechtlichen Grundlage?
• Gibt es eine Option für regional beschränkte Verarbeitung?

2. Auftragsverarbeitungsvertrag (AVV)

• Stellt der Anbieter einen AVV nach Art. 28 DSGVO bereit?
• Sind technische und organisatorische Maßnahmen (TOM) dokumentiert?
• Werden Subunternehmer transparent gelistet?

3. Trainingsdaten und Modell-Nutzung

• Werden Ihre Eingaben zum Training des Modells verwendet? Idealerweise nicht.
• Gibt es eine vertragliche Zusicherung gegen Modell-Training mit Kundendaten?
• Lassen sich Eingaben löschen oder nach definierter Frist automatisch entfernen?

4. Verschlüsselung und Zugriffskontrolle

• Sind Daten in der Übertragung und im Ruhezustand verschlüsselt?
• Gibt es rollenbasierte Zugriffskontrolle und Audit-Logs?
• Existiert eine Single-Sign-On-Anbindung an Ihr Identitätsmanagement?

5. Transparenz und Erklärbarkeit

• Lässt sich nachvollziehen, wie das Modell zu Entscheidungen kommt?
• Gibt es Dokumentation für die nach EU AI Act geforderte Risikoklassifizierung?
• Stellt der Anbieter Modellkarten oder Datenblätter bereit?

Praktische Checkliste vor dem Tool-Kauf

1. AVV anfordern und durch Datenschutzbeauftragten prüfen lassen
2. Standort der Datenverarbeitung schriftlich bestätigen lassen
3. Klausel zum Modell-Training explizit vereinbaren
4. Lösch- und Exportkonzept für Eingabedaten dokumentieren
5. Risikoklassifizierung nach EU AI Act vornehmen
6. Pilotbetrieb mit anonymisierten oder synthetischen Daten starten

Welche Tool-Kategorien besonders kritisch sind

• Generative KI für Texte und Bilder: Eingaben können sensible Geschäftsdaten enthalten – Modell-Training muss ausgeschlossen sein.
• HR-Tools (Recruiting, Bewerber-Analyse): Hochrisiko nach EU AI Act – umfangreiche Dokumentationspflichten.
• Kundenservice-Bots: Personenbezogene Daten in Chats erfordern klare Lösch- und Speicherkonzepte.
• Buchhaltung und Dokumentenanalyse: Steuerrelevante Daten unterliegen zusätzlichen Aufbewahrungspflichten.

So unterstützt TechGates bei der Auswahl

Alle Anbieter auf TechGates durchlaufen ein KYC-Verfahren. Im Brief können Sie DSGVO-Konformität, Server-Standort und Branchenregulatorik als Pflichtkriterien hinterlegen – wir matchen nur Anbieter, die diese Anforderungen erfüllen.

Fazit

DSGVO-Konformität ist kein optionales Feature, sondern Voraussetzung. Wer die fünf Kriterien vor dem Kauf prüft, vermeidet teure Rückabwicklungen und behält die Kontrolle über die eigenen Daten.