DSGVO-konforme KI für Firmenwissen: Worauf KMU wirklich achten sollten

Warum DSGVO bei Firmenwissen-KI kein Nebenthema ist

Sobald Preislisten, Verträge oder interne Prozesse in ein KI-System hochgeladen werden, verlassen potenziell sensible Unternehmensdaten die eigene Infrastruktur. Anders als bei einer klassischen Software, die nur lokal läuft, verarbeitet ein KI-Assistent die Inhalte meist über eine Cloud-Infrastruktur und ein Sprachmodell eines Drittanbieters. Wer hier nicht genau hinschaut, verliert schnell den Überblick, wo die eigenen Unterlagen tatsächlich landen.

Frage 1: Wo genau werden die Daten verarbeitet?

„In der Cloud“ ist keine ausreichende Antwort. Relevant ist, in welchem Land der Datenbank-Server steht, in welchem Land das Sprachmodell selbst läuft (nicht nur der Anbieter-Firmensitz) und in welchem Land die Texterkennung für Dokumente verarbeitet wird. Bei manchen Anbietern läuft die Datenbank in der EU, das eigentliche KI-Modell aber über eine US-amerikanische API — das ist ein relevanter Unterschied.

Frage 2: Werden die Dokumente zum Training genutzt?

Ein seriöser Anbieter kann klar und schriftlich zusichern, dass hochgeladene Inhalte nicht zum Training von KI-Modellen verwendet werden — weder der eigenen Modelle noch der von Drittanbietern. Eine vage Formulierung wie „wird nur zur Verbesserung unseres Dienstes genutzt“ reicht hier nicht.

Frage 3: Wer beim Anbieter selbst hat Zugriff?

Nicht nur externe Zugriffe zählen — auch der Anbieter selbst kann theoretisch in Kundendaten schauen (Support, Fehlerbehebung). Entscheidend ist, ob solche Zugriffe protokolliert werden und für den Kunden einsehbar sind, statt unbemerkt zu passieren.

Frage 4: Gibt es einen Auftragsverarbeitungsvertrag (AVV)?

Nach Art. 28 DSGVO braucht jeder Einsatz eines Auftragsverarbeiters einen schriftlichen AVV — das gilt für KI-Wissensmanagement genauso wie für jede andere Cloud-Software. Ein Anbieter, der keinen AVV anbieten kann oder will, kommt für den produktiven Einsatz mit echten Firmendaten nicht infrage.

Frage 5: Kann ich meine Daten vollständig wieder löschen?

Kündigung sollte nicht bedeuten, dass Kopien der eigenen Dokumente unbegrenzt beim Anbieter liegen bleiben. Eine vollständige, selbst auslösbare Löschung inklusive aller abgeleiteten Daten (z.B. Embeddings) gehört zum DSGVO-konformen Mindeststandard.

Checkliste für das nächste Anbietergespräch

Sechs Fragen, die sich in wenigen Minuten klären lassen sollten:

• — In welchem Land laufen Datenbank, Dateispeicher UND das KI-Sprachmodell selbst?
• — Werden unsere Dokumente jemals zum Training von KI-Modellen genutzt?
• — Wird protokolliert, wenn der Anbieter selbst in unsere Daten schaut?
• — Gibt es einen unterschriebenen Auftragsverarbeitungsvertrag (AVV)?
• — Können wir alle Daten jederzeit selbst vollständig löschen?
• — Was passiert bei Kündigung mit Kopien und abgeleiteten Daten?