DSGVO-konforme KI einführen, ohne dass Daten die EU verlassen
Die DSGVO verbietet keine KI — sie verlangt Rechtsgrundlage, Zweckbindung und Kontrolle darüber, wo verarbeitet wird. Wir bauen Systeme, bei denen die Inferenz auf unserer eigenen Infrastruktur in der EU läuft, und liefern die Unterlagen mit, die Ihre Datenschutzbeauftragte dafür braucht. Damit entfällt der aufwendigste Prüfpunkt: die Drittlandsübermittlung.
Warum scheitert der Datenschutz meist nicht am Modell?
In der Praxis liegen die Probleme selten dort, wo sie vermutet werden. Vier Punkte entscheiden über die Zulässigkeit — und drei davon haben mit dem Modell nichts zu tun.
- Kein Auftragsverarbeitungsvertrag. Bei kostenlosen Konten existiert er nicht, und damit ist jede Eingabe personenbezogener Daten eine Übermittlung ohne Grundlage.
- Unklarer Verarbeitungsort. Ohne Antwort auf «wo genau läuft das» braucht es Standardvertragsklauseln und ein Transfer Impact Assessment — Aufwand, der bei EU-Verarbeitung schlicht entfällt.
- Daten fließen ins Modelltraining. In Geschäftstarifen meist abschaltbar, in kostenlosen Konten regelmäßig nicht.
- Niemand hat festgelegt, was hineingegeben werden darf. Das ist die häufigste Lücke — und die einzige, die sich an einem Nachmittag schließen lässt.
Was liefern wir dafür?
Ein laufendes System und die Unterlagen, mit denen es eine Prüfung übersteht.
Verarbeitung in der EU
Die Inferenz läuft auf unserer eigenen Infrastruktur, nicht als weitergereichter Zugang zu einem US-Anbieter. Verarbeitungsorte und Unterauftragsverarbeiter sind offengelegt, nicht zugesichert.
Vertrag und Verzeichnis
Auftragsverarbeitungsvertrag und der Eintrag ins Verzeichnis der Verarbeitungstätigkeiten für genau diesen Einsatz — vorbereitet, nicht als Hausaufgabe zurückgegeben.
Rollen, Rechte, Löschfristen
Wer sieht welche Dokumente, wie lange bleiben Eingaben und Protokolle gespeichert, was passiert bei einem Auskunftsersuchen. Technisch umgesetzt, nicht nur beschrieben.
Nutzungsregel und Einweisung
Eine Seite für die Mitarbeiter: erlaubte Werkzeuge, erlaubte Daten, Tabus, Zuständigkeit bei Zweifeln. Die Einweisung erfüllt zugleich die Schulungspflicht nach Artikel 4 des EU AI Act.
Wie gehen wir vor?
In vier Abschnitten, deren Reihenfolge wichtiger ist als ihr Inhalt: erst eine erlaubte Alternative, dann die Regeln, dann das Ende der unkontrollierten Nutzung. Wer mit dem Verbot beginnt, bekommt keine Abstinenz, sondern Unsichtbarkeit — dieselbe Arbeit wandert auf private Konten, wo weder Vertrag noch Protokoll greifen.
Bestandsaufnahme
3–5 TageWelche KI-Werkzeuge laufen tatsächlich im Haus, mit welchen Daten, auf wessen Konten. Ohne Sanktionsandrohung, sonst bekommen Sie keine ehrliche Liste.
Erlaubte Alternative
1–2 WochenEin System mit Vertrag und EU-Verarbeitung, das die Aufgaben abdeckt, für die heute private Konten benutzt werden.
Regeln und Unterlagen
1 WocheNutzungsregel, Verzeichniseintrag, Rollen- und Löschkonzept, technische Beschreibung für eine etwaige Folgenabschätzung.
Einweisung und Übergabe
2–3 TageSchulung an Ihren Werkzeugen und Ihren Daten, dokumentiert. Danach ist die unkontrollierte Nutzung durchsetzbar zu beenden.
Wann sind wir nicht die Richtigen?
Vier Fälle, in denen wir absagen. Der zweite kommt häufiger vor, als man erwartet: Anforderung, Daten in einem bestimmten Drittland zu halten. Unsere Infrastruktur steht in der EU, und andere Anforderungen erfüllen wir nicht — das zu sagen ist billiger, als es im Projekt herauszufinden.
- Wenn eine rechtliche Bewertung erwartet wird: wir liefern die technische Seite und die Nachweise, die Bewertung bleibt bei Ihrer Datenschutzbeauftragten oder Kanzlei.
- Wenn die Daten Russland oder ein anderes Drittland nicht verlassen dürfen — unsere Infrastruktur steht in der EU, andere Anforderungen können wir nicht erfüllen.
- Wenn nur ein Dokumentenpaket ohne System gesucht wird. Papier ohne funktionierende Alternative ändert an der Schattennutzung nichts.
- Wenn das Projektvolumen deutlich unter 25.000 € liegen soll.
FAQ
Ist KI überhaupt DSGVO-konform einsetzbar?+
Was ändert sich, wenn die Inferenz in der EU läuft?+
Können wir nicht einfach einen Geschäftstarif nehmen?+
Was liefern Sie am Ende ab?+
Wann wird bei einer KI-Einführung eine Folgenabschätzung fällig?+
Unsere Mitarbeiter nutzen längst ChatGPT. Was jetzt?+
Wie lange dauert die Umsetzung?+
Der ehrlichste erste Schritt
Eine anonyme Umfrage mit drei Fragen im Team: welche KI-Werkzeuge werden beruflich genutzt, wofür, mit welchen Daten. Das Ergebnis ist unbequem und genau deshalb brauchbar — es beendet die Diskussion darüber, ob es das Thema im Haus überhaupt gibt.
Noch nicht so weit? Die Infrastruktur dahinter: eigene Maschinen im EWR
Zuletzt aktualisiert: