Wer ein Kundenschreiben in ein Sprachmodell einfügt, um es zusammenfassen zu lassen, übermittelt personenbezogene Daten an einen Dienstleister. Das ist nicht verboten – es braucht nur eine Grundlage, und die entsteht nicht dadurch, dass niemand darüber nachdenkt.
1. Wo wird verarbeitet?
Der Sitz der Agentur sagt darüber nichts. Bei Verarbeitung außerhalb der EU braucht es eine Grundlage für den Drittstaatentransfer.
Es gibt Modelle, die sich in der EU oder auf eigener Infrastruktur betreiben lassen. Sie sind meist weniger leistungsfähig als die großen Anbieter – das ist eine Abwägung, die man bewusst treffen sollte, statt sie zu übersehen.
2. Ist die Kette vertraglich abgebildet?
Ein Vertrag mit der Agentur genügt nicht, wenn diese im Hintergrund einen Modellanbieter einsetzt.
„Welche Unterauftragnehmer sind an der Verarbeitung beteiligt, und liegen die entsprechenden Verträge vor?" Eine Agentur, die darauf eine geordnete Antwort hat, hat in diesem Feld schon gearbeitet. Wer ins Schwimmen gerät, hat das Thema bislang umgangen.
3. Werden Eingaben zum Training verwendet?
Bei geschäftlichen Zugängen ist das häufig abschaltbar, bei kostenfreien Zugängen oft nicht.
Das ist der Punkt, an dem Beschäftigte unbeabsichtigt Schaden anrichten – nicht aus Nachlässigkeit, sondern weil niemand gesagt hat, welche Zugänge erlaubt sind.
4. Wie lange bleibt es gespeichert?
Wie lange bleiben Eingaben und Gesprächsverläufe erhalten, und wer hat Zugriff? Bei Assistenten mit Kundenkontakt sammeln sich hier schnell umfangreiche Bestände an, die niemand geplant hat.
Die Gegenüberstellung, die hilft
- Höchste Leistungsfähigkeit
- Geringster Betriebsaufwand
- Drittstaatentransfer zu begründen
- Abhängigkeit von Preis- und Modellpolitik
- Daten verlassen das Haus nicht
- Volle Kontrolle über Versionen
- Geringere Leistungsfähigkeit
- Betrieb und Hardware selbst zu tragen
Der praktische Einstieg
Eine Bestandsaufnahme, welche KI-Werkzeuge im Unternehmen tatsächlich genutzt werden – auch die, die niemand freigegeben hat. Diese Liste fällt regelmäßig länger aus als erwartet und ist die Grundlage für alles Weitere.
Sie wird ohnehin gebraucht: Die KI-Verordnung verlangt eine Einordnung der eingesetzten Systeme, und ohne zu wissen, welche es gibt, lässt sich nichts einordnen.
Dieser Beitrag gibt einen Überblick. Ob im konkreten Fall eine Datenschutz-Folgenabschätzung nötig ist und welche Grundlage trägt, gehört fachkundig geprüft.