Datenschutz und KI: Definition, Grundsätze und Praxis
Warum der Begriff zählt
Viele KI-Projekte scheitern nicht an der Technik, sondern an ungeklärten Datenfragen. Wer erst baut und dann prüft, riskiert, dass ein fertiger Prototyp nicht in den Betrieb darf. Klug ist die frühe Klärung: Welche Daten braucht der Use-Case wirklich, lassen sich Angaben anonymisieren, wo werden die Daten verarbeitet. Für den Weg vom Workshop zum Prototyp spart eine saubere Datenbasis später viel Ärger und macht die Implementierung überhaupt möglich.
Wann es relevant ist
- Ein Use-Case verarbeitet Kundendaten, Beschäftigtendaten oder Gesundheitsdaten.
- Ein Modell soll mit echten Datensätzen trainiert oder betrieben werden.
- Ein externer Dienst kommt zum Einsatz und Daten verlassen das Haus.
- Betroffene können Auskunft, Löschung oder Widerspruch verlangen.
Wann nicht
Wenn ein Use-Case nur mit synthetischen oder rein technischen Daten ohne Personenbezug arbeitet, tritt der Datenschutz in den Hintergrund. Auch bei aggregierten Kennzahlen ohne Rückschluss auf Personen ist der Aufwand gering. Sobald jedoch ein Rückschluss möglich wird, ändert sich die Lage, und die Grenze sollte für den konkreten Fall geprüft werden.
Branchen, die das nutzen
- Gesundheitswesen: Patientendaten unterliegen besonderem Schutz und verlangen strenge Zweckbindung.
- Personalwesen: Beschäftigtendaten sind sensibel, gerade bei Werkzeugen zur Auswertung von Bewerbungen.
- Finanzdienstleister: Kundendaten und Zahlungsströme brauchen klare Regeln und Nachvollziehbarkeit.
- Handel: Kundenprofile und Kaufhistorien sind wertvoll und zugleich schutzbedürftig.
Typische Anwendungsfälle
- Prüfung, welche Daten ein Use-Case wirklich braucht, statt alles zu nutzen.
- Anonymisierung oder Pseudonymisierung vor dem Training.
- Auswahl eines Verarbeitungsorts, der zu den Vorgaben passt.
- Aufbau von Prozessen für Auskunft und Löschung.
- Verträge mit Dienstleistern, die Daten verarbeiten.
- Protokollierung, wer wann auf welche Daten zugreift.
Entscheidungshilfe
| Signal | Datenschutz im Fokus | Alternative |
|---|---|---|
| Personenbezogene Daten im Spiel | frühe Prüfung und Datensparsamkeit | mit synthetischen Daten starten |
| Externer Dienst verarbeitet Daten | Vertrag und Verarbeitungsort klären | Verarbeitung im eigenen Haus |
| Nur aggregierte Kennzahlen | geringer Aufwand | Standardprozess genügt |
| Betroffenenrechte gefragt | Prozesse für Auskunft und Löschung | fachliche Rechtsberatung hinzuziehen |
Beispiel
Ein Klinikbetreiber will einen Assistenten für die Vorbereitung von Arztbriefen bauen. Im Workshop wird zuerst geklärt, welche Datenfelder wirklich nötig sind und wo die Verarbeitung stattfindet, bevor ein Prototyp entsteht. Erst nach dieser Klärung und einer sauberen Datenbasis geht es in die Implementierung. Das Beispiel beschreibt die Methode, keine behauptete Kennzahl.
Verbindung zu Services
Der passende Einstieg ist der KI-Workshop zur Datenklärung, danach KI-Beratung und KI-Implementierung.
Quellen
Diese Einordnung ist eine allgemeine Orientierung und keine Rechtsberatung. Die genauen Pflichten ergeben sich aus der Datenschutz-Grundverordnung und ergänzenden Vorschriften und sollten für jedes Vorhaben gegen die aktuell geltenden Rechtstexte geprüft werden, idealerweise mit dem Datenschutzbeauftragten.