Beim Thema KI und Datenschutz begegnen uns in Projekten immer wieder dieselben Fehleinschätzungen – in beide Richtungen: übertriebene Angst, die sinnvolle Projekte blockiert, und Sorglosigkeit, die später teuer wird. Die drei häufigsten Irrtümer im Detail.
Irrtum 1: „KI-Tools und DSGVO – das geht grundsätzlich nicht“
Die DSGVO verbietet keine Technologie, sie regelt den Umgang mit personenbezogenen Daten. Ein KI-Einsatz ist datenschutzrechtlich machbar, wenn die Basics stimmen: eine Rechtsgrundlage für die Verarbeitung, ein Auftragsverarbeitungsvertrag mit dem Anbieter, geklärte Drittlandtransfers (bei US-Anbietern über deren EU-Angebote oder Standardvertragsklauseln) und Transparenz in der Datenschutzerklärung. Viele Aufgaben kommen zudem ganz ohne personenbezogene Daten aus – eine Dokumentation zusammenfassen oder Code erklären lassen berührt die DSGVO überhaupt nicht.
Irrtum 2: „Der Anbieter ist DSGVO-konform, also sind wir es auch“
Ein verbreiteter Kategorienfehler: Konform oder nicht konform ist nicht das Werkzeug, sondern die konkrete Verarbeitung. Der beste Vertrag hilft nichts, wenn Mitarbeitende Kundendaten in private KI-Konten kopieren, wenn niemand geprüft hat, ob die Eingaben zum Training verwendet werden, oder wenn die Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten schlicht nicht auftaucht. Verantwortlicher bleibt das Unternehmen – „der Anbieter hat gesagt“ ist gegenüber der Aufsichtsbehörde kein Argument. Praktisch heißt das: Unternehmens-Accounts statt Privatkonten, Trainingsnutzung vertraglich ausschließen, Verarbeitung dokumentieren.
Irrtum 3: „Wir anonymisieren einfach vorher, dann ist alles gut“
Der Vorsatz ist richtig, die Umsetzung scheitert oft an einem Detail: Echte Anonymisierung ist schwer. Namen zu entfernen reicht nicht, wenn der Kontext die Person identifizierbar macht („unser Vertriebsleiter am Standort Trier“). Meist handelt es sich um Pseudonymisierung – die Daten bleiben personenbezogen, die DSGVO gilt weiter, nur das Risiko sinkt. Das ist trotzdem sinnvoll und oft der entscheidende Baustein, um einen KI-Einsatz vertretbar zu machen. Man sollte nur nicht behaupten, das Datenschutzthema damit „erledigt“ zu haben – und die Ersetzungsregeln automatisieren, statt sich auf die Disziplin jedes Einzelnen zu verlassen.
Was bleibt
KI-Einsatz und Datenschutz vertragen sich – wenn man den Aufwand ehrlich einplant: Rechtsgrundlage, Vertrag, Dokumentation, Schulung. Das ist Fleißarbeit, keine Raketenwissenschaft. Gefährlich sind die beiden Ränder: das pauschale Nein, das die Belegschaft in die Schatten-KI treibt, und das pauschale Ja, das erst beim ersten Auskunftsersuchen auffliegt.
Dieser Artikel ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall.