Die Checkliste für den Anbieter
Fragen Sie jeden KI-Anbieter nach diesen Punkten:
- Gibt es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO?
- Wo werden die Daten gespeichert, und welche Unterauftragsverarbeiter gibt es?
- Werden Kundendaten zum Training von KI-Modellen genutzt?
- Wie werden Zugangsdaten und vertrauliche Felder geschützt?
- Wer im Team sieht was, und lässt sich das je Person einstellen?
- Wird protokolliert, was die KI getan hat?
Zugriffsrechte: Die KI darf nicht mehr zeigen als der Mensch
Ein häufig übersehener Punkt: Eine KI, die alles weiß, kann versehentlich Informationen an Personen geben, die sie nicht sehen dürften. Deshalb müssen für Antworten der KI dieselben Rechte gelten wie für die Person, die fragt. Persönliche Aufgaben, private Kalender und fremde Postfächer gehören nicht in die Antwort an Kollegen.
Was der EU AI Act zusätzlich verlangt
Seit Februar 2025 müssen Unternehmen, die KI einsetzen, für ausreichende KI-Kompetenz ihrer Mitarbeiter sorgen (Artikel 4). Wer mit Menschen über eine KI kommuniziert, muss das offenlegen (Artikel 50). Für Hochrisiko-Systeme gilt eine wirksame menschliche Aufsicht (Artikel 14).
UK, USA und Kanada
Im Vereinigten Königreich gilt die UK GDPR mit sehr ähnlichen Grundsätzen. In den USA gibt es kein einheitliches Bundesgesetz, aber Landesgesetze wie den California Consumer Privacy Act. In Kanada regelt PIPEDA den Umgang mit personenbezogenen Daten in der Privatwirtschaft. Die Checkliste oben ist überall ein guter Ausgangspunkt.
Wer macht was?
AIRIS bereitet vor
- Datenhaltung in der EU: Die Datenbank liegt in Frankfurt, Dateien in Rechenzentren in der EU. Kundendaten werden nicht zum Training von KI-Modellen genutzt.
- Rechte gelten auch für AIRIS: AIRIS zeigt jedem nur, was er selbst sehen darf. Aufgaben und Kalender sind persönlich, Postfächer gehören zu genau einer Firma.
- Protokoll und Freigaben: Was AIRIS tut, wird protokolliert. Wie selbstständig sie arbeitet, legen Sie je Aufgabe fest.
- KI-Kompetenz nach EU AI Act: Schulungen mit Zertifikat für Ihr Team.
Sie entscheiden
- Welche Daten überhaupt in ein KI-System gehören, entscheidet das Unternehmen, nicht der Anbieter.
- Besondere Kategorien wie Gesundheitsdaten brauchen eine eigene Prüfung.
- Dieser Ratgeber ersetzt keine Rechtsberatung.
