KI und Datenschutz: Wie gut ist dein Unternehmen aufgestellt?

Künstliche Intelligenz ist längst im Unternehmensalltag angekommen. Ob Chatbots, Content-Erstellung, Analyse-Tools oder personalisierte Produktempfehlungen: Viele Unternehmen nutzen bereits KI-Anwendungen in ihren Geschäftsprozessen.

Gleichzeitig rücken KI-Systeme und die damit verbundenen Datenverarbeitungen zunehmend in den Fokus regulatorischer und datenschutzrechtlicher Fragestellungen.

Der Jahresbericht 2025 des Europäischen Datenschutzbeauftragten (EDPS) verdeutlicht, dass künstliche Intelligenz, internationale Datentransfers und digitale Technologien auf europäischer Ebene weiterhin hohe Aufmerksamkeit erhalten.

Für Unternehmen bietet dies einen guten Anlass, die eigene KI-Nutzung zu überprüfen. Sind die eingesetzten Systeme ausreichend dokumentiert? Sind Datenflüsse nachvollziehbar und datenschutzrechtliche Anforderungen angemessen berücksichtigt?

KI bleibt auf europäischer Ebene im Fokus

Der Jahresbericht 2025 des EDPS dokumentiert unter anderem:

• den Ausbau der AI Unit,
• die Beschäftigung mit generativer KI und neuen Technologien,
• die verstärkte Auseinandersetzung mit internationalen Datentransfers sowie
• die Vorbereitung weiterer Aufgaben im Zusammenhang mit dem AI Act.

Der Bericht richtet sich zwar in erster Linie an EU-Institutionen. Er verdeutlicht jedoch, dass KI-bezogene Fragestellungen auf europäischer Ebene weiterhin hohe Aufmerksamkeit erhalten.

Praxis-Check KI & Datenschutz: Ist dein KI-Einsatz datenschutzkonform aufgestellt?

KI-Systeme dokumentieren

Unternehmen sollten nachvollziehbar dokumentieren können,

• welche KI-Systeme eingesetzt werden,
• welchem Zweck sie dienen und
• wer intern verantwortlich ist.

Weiterhin sollten Zuständigkeiten festgehalten werden:

• Dabei kann es sinnvoll sein, Fachbereich, IT, Datenschutz und weitere relevante Funktionen frühzeitig einzubinden und feste Ansprechpersonen zu benennen.  

Datenherkunft und Trainingsdaten im Blick behalten

Insbesondere bei KI-Anwendungen sollte nachvollziehbar sein, welche Daten verarbeitet werden und aus welchen Quellen sie stammen.

• • welche Daten verarbeitet werden,
  • aus welchen Quellen die Daten stammen,
  • ob Daten für Trainings- oder Optimierungszwecke genutzt werden und
  • ob anonymisierte oder synthetische Daten zum Einsatz kommen.

Transparenz und Nachvollziehbarkeit sicherstellen

Unternehmen sollten die datenschutzrechtlichen Auswirkungen ihrer KI-Systeme nachvollziehbar darstellen können. Da Betreiber*innen die hierfür erforderlichen Informationen oft nicht vollständig selbst erheben können, müssen KI-Anbieter*innen ausreichende Informationen und Dokumentationen bereitstellen. Dazu gehören insbesondere:

• verständliche Informationen über Funktionsweise, Eingabedaten, Ausgaben, Leistungsgrenzen und bekannte Risiken des KI-Systems und
• technische Dokumentationen für interne und externe Nachfragen.

Löschkonzepte prüfen

Auch bei KI-Systemen sollten Prozesse zur Datenqualität, Korrektur und Löschung definiert sein. Dabei sollte nachvollziehbar sein,

• welche Speicherfristen gelten,
• wie und ob Löschpflichten umgesetzt werden können.

Dienstleister und Datentransfers prüfen

Bei der Nutzung externer KI-Anbieter*innen sollte geklärt sein,

• welche Dienstleister*innen beteiligt sind,
• ob Daten außerhalb des EWR verarbeitet werden und
• welche vertraglichen Regelungen und Schutzmaßnahmen bestehen.
  

Datenschutzhinweise aktuell halten

Werden personenbezogene Daten mithilfe von KI-Systemen verarbeitet, sollten Datenschutzhinweise den KI-Einsatz transparent und verständlich beschreiben.

Technische und organisatorische Maßnahmen dokumentieren

Unternehmen sollten nachvollziehbar dokumentieren, welche technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten umgesetzt wurden, etwa Berechtigungskonzepte, Verschlüsselung oder Zugriffskontrollen.

Risikoanalyse und DSFA überprüfen 

Je nach Anwendungsfall sollte geprüft werden, ob eine Datenschutz-Folgenabschätzung erforderlich ist oder bestehende Risikoanalysen angepasst werden sollten.

Besonders bei risikobehafteten KI-Anwendungen empfiehlt sich eine frühzeitige datenschutzrechtliche Bewertung.

Auf Nachfragen von Aufsichtsbehörden vorbereitet sein

Unternehmen sollten in der Lage sein, ihren KI-Einsatz nachvollziehbar zu erläutern.

Dazu gehören insbesondere Informationen über:

• eingesetzte Systeme,
• Datenquellen,
• Datenflüsse,
• Verantwortlichkeiten,
• Schutzmaßnahmen und
• Datenschutzdokumentation.

Unser Tipp

Unternehmen sollten frühzeitig Strukturen schaffen, um den Einsatz von KI nachvollziehbar zu dokumentieren und datenschutzrechtliche Anforderungen systematisch zu berücksichtigen. Dazu gehören insbesondere ein klarer Überblick über eingesetzte Systeme, definierte Verantwortlichkeiten sowie aktuelle Datenschutzinformationen.