EU AI Act und DSGVO: Personendaten in KI nutzen
Praxisleitfaden für Daten in KI-Systemen: Zweck, DSGVO-Rechtsgrundlage, Minimierung, Anbieter, Aufbewahrung, Rechte und Risikoprüfung.
EU AI ACT · DATENSCHUTZ
EU AI Act und DSGVO sind keine alternativen Checklisten. Ersterer betrifft KI-System, Rollen und Risiken; letztere gilt, sobald dabei Daten über Menschen verarbeitet werden. Im Projekt treffen beide Prüfungen im selben Prompt, Protokoll und Workflow zusammen.
Der EU AI Act schafft keine DSGVO-Rechtsgrundlage
Eine Transparenzpflicht, ein KI-Inventar oder eine Risikoeinstufung nach dem EU AI Act erlauben nicht automatisch die Erhebung personenbezogener Daten. Für jede Verarbeitung bleiben Zweck, Rechtsgrundlage, Erforderlichkeit, Information, Aufbewahrung und Empfänger gesondert zu bestimmen. [EU-REG] [EDPB-28]
Die EDSA-Stellungnahme 28/2024 verlangt für berechtigte Interessen eine kontextbezogene Dreistufenprüfung. Auch Anonymität darf nicht unterstellt werden: Identifizierung betroffener Personen oder Extraktion ihrer Daten durch Abfragen muss sehr unwahrscheinlich sein. [EDPB-28]
Datenfluss vor API-Fluss abbilden
Beginne mit vier Bereichen: Eingabe, Kontext, Ausgabe und Protokolle. Eingaben können Namen, E-Mail oder Gespräch enthalten; Kontext kann aus CRM, Dokumenten oder Verlauf stammen; Ausgaben können Personendaten ableiten; Protokolle können alles beim Anbieter und intern speichern. Quelle, Zweck und Zugriff sind je Feld festzuhalten. [EU-REG] [OAI-DPA]
Trenne ergebnisnotwendige Daten von bloß bequemen Angaben. Für eine Zusammenfassung kann Fallkontext nötig sein, nicht aber Ausweisnummer, Passwort oder vollständige Kundenhistorie. Nutze Pseudonyme, temporäre Kennungen und Filterung, wenn direkte Identifikation das Ergebnis nicht verändert. [EDPB-28] [OAI-DPA]
Der Anbietervertrag löst das Produktdesign nicht
OpenAI erklärt, Eingaben und Ausgaben aus API- und Business-Produkten standardmäßig nicht zum Training zu verwenden, sofern die Organisation nicht ausdrücklich zustimmt. Das bedeutet jedoch nicht „keine Verarbeitung“ und bestimmt weder Zweck noch Rechtsgrundlage des sendenden Unternehmens. [OAI-DATA]
OpenAIs DPA regelt Auftragsverarbeitung, Unterstützung bei Datenschutzverletzungen, Rückgabe oder Löschung nach Vertragsende, Übermittlungsmechanismen sowie notwendige Hinweise und Befugnisse des Kunden. Bestimmte Einstellungen wie Aufbewahrung und Löschung bleiben beim Kunden. Vertrag und reale Konfiguration gehören zusammen. [OAI-DPA]
Unterauftragsverarbeiter und Übermittlungen prüfen
OpenAIs Liste vom 9. Juli 2026 nennt je Produkt und Zweck unterschiedliche Unterauftragsverarbeiter in mehreren Regionen. Das DPA sieht Änderungsmitteilung und Widerspruchsfrist vor. Die Prüfung dokumentiert Listenstand, genutzte Produkte und Übermittlungsmechanismus. [OAI-SUB] [OAI-DPA]
Die Liste darf nicht einmalig kopiert und vergessen werden. Ein Verantwortlicher abonniert Änderungen; Neubewertung, KI-Inventar und DSGVO-Verzeichnis werden verknüpft. Neuer Unterauftragsverarbeiter, Region oder Connector kann den Datenweg ändern, ohne die Oberfläche zu verändern. [OAI-SUB] [EU-REG]
Betroffenenrechte müssen technisch funktionieren
Auskunft oder Löschung bleibt wirkungslos, wenn Prompt, Protokoll, Vektor, Datei und Ausgabe derselben Person nicht auffindbar sind. Bereits im Design sind Suchkennung, Kopien, Berichtigung und Löschweitergabe festzulegen. Billiger Speicher rechtfertigt kein unauffindbares Archiv. [EDPB-28] [OAI-DPA]
Unterscheide Daten im Anwendungskontext von solchen, die ein Modell speichern oder wiedergeben könnte. Der EDSA verlangt Einzelfallprüfung zu Modellanonymität und rechtswidrig verarbeiteten Daten. Löschung aus dem Modell darf nur zugesagt werden, wenn Architektur und Vertrag sie ermöglichen. [EDPB-28]
Mindestakte zur Freigabe eines Anwendungsfalls
Vor Start dokumentiert die Akte Zweck, Personen- und Datenkategorien, Quelle, geprüfte Rechtsgrundlage, Verantwortlicher/Auftragsverarbeiter, Produkt und Region, Unterauftragnehmer, Aufbewahrung, Zugriff, Filter, Information, Rechteverfahren, Tests und internen Owner. Prüftermin und Frühtrigger kommen hinzu. [EU-REG] [EDPB-28] [OAI-DPA] [OAI-SUB]
Für SEO-Workflow, WordPress-Agent oder Support-Assistent gilt: Sende dem Modell nicht mehr, als du der betroffenen Person in einem klaren Satz erklären kannst. Ist die Notwendigkeit eines Feldes nicht erklärbar, entferne es oder verschiebe den Start bis Zweck und Kontrolle bestehen. [EDPB-28] [EU-REG]