KI mit sauberem Datenschutzrahmen.

Bei KI-Systemen werden oft Texte, Dokumente, E-Mails oder Kundendaten verarbeitet. Dadurch entstehen Fragen, die vor der Umsetzung beantwortet werden müssen: Welche Daten werden genutzt? Wofür? Wer hat Zugriff? Wo werden sie verarbeitet? Wie lange bleiben Protokolle erhalten?

DSGVO-konforme KI bedeutet für uns, diese Fragen technisch und organisatorisch vorzubereiten. Dazu gehören Datenminimierung, passende Anbieter, klare Rollen, dokumentierte Verarbeitung, kontrollierte Eingaben und nachvollziehbare Ausgaben.

Das gilt für KI-Systeme genauso wie für Automatisierung, sobald personenbezogene Daten beteiligt sind. Ihre bestehende Datenschutzerklärung bleibt dabei ein wichtiger Bezugspunkt.

Datenschutz zeigt sich nicht nur im Vertrag mit einem Anbieter. Er zeigt sich jeden Tag in der Nutzung. Wer darf eine Kundenmail in ein System geben? Welche Dokumente dürfen hochgeladen werden? Darf ein Ergebnis in einem Teamkanal geteilt werden? Diese Fragen müssen für Mitarbeitende einfach beantwortbar sein.

Wir planen deshalb nicht nur die technische Verbindung, sondern auch den normalen Arbeitsweg. Wenn ein Team sensible Anhänge schwärzen soll, muss klar sein, wann und wie das passiert. Wenn ein System nur interne Entwürfe erzeugt, darf es nicht nebenbei einen automatischen Versandweg bekommen.

Ein weiterer Punkt ist Löschung. Testdaten, Prompts, Protokolle und hochgeladene Dateien können länger sichtbar bleiben als erwartet. Vor dem Betrieb sollte klar sein, welche Inhalte gespeichert werden, wer darauf zugreifen darf und wann sie entfernt werden.

Vor dem Livegang sollte nachvollziehbar sein, welchen Weg Daten nehmen. Das beginnt bei der Eingabe: Kommen Informationen aus einem Postfach, einem Formular, einem Upload, einer Tabelle oder einem Fachsystem? Danach folgt die Verarbeitung: Wird ein Modell aufgerufen, werden Dokumente zwischengespeichert, werden Ergebnisse protokolliert?

Ebenso wichtig ist die Ausgabe. Ein Ergebnis kann in einem internen Dashboard erscheinen, als Entwurf in einem Postfach landen oder an ein anderes System übergeben werden. Jede Ausgabe braucht eine klare Rolle: Information, Vorbereitung, Freigabe oder Archivierung. Ohne diese Zuordnung entstehen schnell unklare Verantwortlichkeiten.

Wir halten diese Datenflüsse verständlich fest. Das hilft bei Datenschutzfragen, aber auch beim Betrieb. Wenn später eine Quelle geändert wird oder ein neuer Zweck hinzukommt, sieht Ihr Team schneller, welche Stelle erneut geprüft werden muss.

Datenschutz sollte nicht als letzte Prüfung kurz vor Livegang auftauchen. In der Bestandsaufnahme fragen wir deshalb früh nach Datenarten, Zugriffen, Speicherorten und Freigaben.

Dadurch lässt sich oft vermeiden, dass ein fertiger Prototyp später neu gebaut werden muss. Ein System, das mit weniger Daten auskommt, ist meist einfacher zu betreiben und besser erklärbar.