Welche Daten dürfen in ein KI-Werkzeug?
Rechtliche Unsicherheit gilt neben fehlendem Know-how als größte Hürde der KI-Nutzung. Dabei liegt das Problem selten in der Rechtslage, sondern im Fehlen einer betrieblichen Regel.
Auf einen Blick
- Rechtliche Unsicherheit nennen laut Bitkom 53 Prozent der Unternehmen als Hürde.
- Entscheidend ist weniger das Werkzeug als die Version: Gratis- und Unternehmenstarife verarbeiten unterschiedlich.
- Kritisch sind personenbezogene Daten, Geschäftsgeheimnisse und Fremddaten aus Auftragsverhältnissen.
- Eine brauchbare Hausregel passt auf eine halbe Seite und beantwortet vier Fragen.
- Ohne Regel entsteht das größte Risiko: Die Werkzeuge werden trotzdem genutzt, nur unkontrolliert.
In Befragungen rangiert rechtliche Unsicherheit unter den größten Hemmnissen der KI-Nutzung, laut Bitkom-Studie 2026 bei 53 Prozent der Unternehmen. Auffällig ist: Die rechtlichen Grundlagen sind weitgehend geklärt. Was fehlt, ist ihre Übersetzung in eine Regel, die im Alltag Bestand hat.
Version statt Werkzeug
Verbreitet ist die Vorstellung, bestimmte Werkzeuge seien datenschutzkonform und andere nicht. Relevant ist in erster Linie, in welcher Ausführung sie genutzt werden.
Bei kostenlosen Varianten können Eingaben zur Weiterentwicklung der Modelle herangezogen werden. Bei Geschäftsversionen ist das üblicherweise vertraglich ausgeschlossen, hinzu kommen ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Wahlmöglichkeiten beim Serverstandort und Administrationsfunktionen.
Konsequenz
Der Wechsel auf die Unternehmensversion kostet wenig je Nutzer und Monat, verändert die datenschutzrechtliche Bewertung aber grundlegend. Für Unternehmen, die KI ernsthaft einsetzen, ist das keine Option, sondern Voraussetzung.
Unproblematisch
- Inhalte, die ohnehin veröffentlicht werden: Website-Texte, Stellenanzeigen, Pressemitteilungen
- Allgemeine Fachfragen ohne Personenbezug
- Anonymisierte Sachverhalte ohne Rückschlussmöglichkeit
Kritisch
- Personenbezogene Daten von Kunden, Bewerbern, Beschäftigten
- Geschäftsgeheimnisse: Kalkulationen, Vertragsentwürfe, Angebotspreise
- Fremddaten aus Auftragsverhältnissen
- Besondere Kategorien nach Art. 9 DSGVO: Gesundheit, Religion, Gewerkschaft
Die Faustregel für den Alltag
Wäre es Ihnen unangenehm, wenn diese Information bei einem fremden Dienstleister auf einem unbekannten Server läge? Wenn ja, gehört sie nicht hinein.
Die Hausregel: Vier Fragen
- Welche Werkzeuge sind freigegeben, in welcher Version?
- Welche Daten dürfen hinein? Mit je drei konkreten Beispielen, nicht abstrakt.
- Wer entscheidet in Zweifelsfällen? Eine benannte Person, kein Gremium.
- Wer prüft die Ergebnisse, bevor sie das Haus verlassen?
Der letzte Punkt wird oft übersehen und ist im Tagesgeschäft der wichtigste. KI-Systeme formulieren Unzutreffendes ebenso überzeugend wie Zutreffendes. Die Verantwortung bleibt beim Unternehmen.
Kein Grund zum Abwarten
Viele Betriebe behandeln Datenschutz als Argument, noch zu warten. In der Praxis kehrt sich das um: Eine klare Regel schafft erst den Rahmen, in dem Mitarbeiter ohne Unsicherheit arbeiten. Ohne Regel geschieht nicht nichts, sondern jeder verfährt anders.
Dieser Beitrag gibt den Stand zum Erscheinungsdatum wieder und ersetzt keine Rechtsberatung. Für die verbindliche Bewertung Ihres Falls wenden Sie sich an Ihren Datenschutzbeauftragten oder eine fachkundige Kanzlei.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 6, Art. 9 und Art. 28.
- Bitkom: KI-Studie 2026, rechtliche Unsicherheit als Hürde (53 Prozent).
- Verordnung (EU) 2024/1689 über künstliche Intelligenz, Transparenz- und Kompetenzpflichten.
- Datenschutzkonferenz (DSK): Orientierungshilfe zu KI-Anwendungen, Stand 2026.
- KfW Research: Digitalisierungsbericht Mittelstand 2026.
Weiterlesen
EU AI Act: Diese Pflichten gelten ab August 2026
Transparenzpflichten ab 2. August, Fristenübersicht und konkreter Handlungsbedarf.
RegulierungKI-Kompetenzpflicht: Was Unternehmen nachweisen müssen
Artikel 4 gilt seit Februar 2025 für alle Anwender. Was zu dokumentieren ist.
PraxisFünf Muster, an denen KI-Projekte im Mittelstand scheitern
Von der falschen Reihenfolge bis zum fehlenden Kümmerer, mit Gegenmitteln.
Kickstart Monday
Jeden Montag die relevanten Neuigkeiten aus der KI-Welt, kurz eingeordnet. Ein Newsletter von bemailed, kuratiert von mir.
Der nächste Schritt
Eine belastbare Hausregel entsteht in einem Nachmittag. Danach arbeitet Ihr Team ohne Unsicherheit.
Erstgespräch anfragen (30 Min, kostenlos)