Künstliche Intelligenz datenschutzkonform nutzen – geht das?

Die Digitale Transformation wirkt sich nicht nur auf IT-Prozesse aus, sondern bringt auch grundlegende Veränderungen für viele Arbeitsprozesse in Wirtschaft und Verwaltung mit sich. 

Durch die Nutzung von Werkzeugen wie ChatGPT wurde vielen klar, wozu Künstliche Intelligenz bereits heute fähig ist. Derartige Anwendungen werden die zukünftige Arbeitswelt nachhaltig verändern.

Der Umgang mit ChatGPT ist nahezu selbsterklärend und kann schnell und einfach erlernt werden. Bereits mit der kostenlosen Basisversion lassen sich als Inspiration oder „ersten Aufschlag“ durchaus nutzbare Ergebnisse erzielen. Was liegt da näher als die Vorteile der Künstlichen Intelligenz auch mal “einfach so” am Arbeitsplatz zu nutzen. Leider ist „einfach so“ keine wirklich gute Idee! Der Einsatz von KI am Arbeitsplatz erfordert stets die Beachtung entsprechender Leitlinien der Organisation und der einschlägigen Datenschutzvorgaben. Demnächst kommt die europäische KI-Verordnung noch hinzu. Erste Teile der am 01. August 2024 in Kraft getretenen Verordnung sind bereits ab Februar kommenden Jahres anwendbar. 

Schon bei der Anmeldung für das Benutzerkonto kommen die ersten (eigenen) personen-bezogenen Daten ins Spiel. Sofern dann später bei der Nutzung der KI keine Daten anderer Personen in die KI eingegeben werden, ist die Nutzung aus Datenschutzsicht noch vertretbar. Andernfalls müssten alle datenschutzrechtlichen Vorgaben vollumfänglich erfüllt werden, was mit ChatGPT in der kostenfreien Basisversion unmöglich ist. Bereits der erste Schritt in die Legalität scheitert.

Da die Anbieter von Online-KI-Tools Auftragsverarbeiter im Sinne von Artikel 28 DSGVO sind, ist der Abschluss eines Auftragsverarbeitungsvertrages notwendig. Bei allen mir bekannten kostenfreien Diensten wird dieser jedoch nicht angeboten. Daher wäre diese Verarbeitung personenbezogener Daten mit ChatGPT von Anfang an illegal.

Weiterhin besteht die Problematik hinsichtlich der Verarbeitung personenbezogener Daten im außereuropäischen Ausland. Eine Datenübertragung in ein Drittland erfordert den Nachweis eines vergleichbaren Schutzniveaus wie innerhalb Deutschlands oder der EU. Das wäre dann die zweite zu nehmende Hürde. 

Gut, dass es datenschutzkonforme Alternativen gibt. Natürlich müssen auch bei der Verwendung dieser Dienstleister alle Vorgaben und Dokumentationspflichten eingehalten werden. Insbesondere muss die Rechtmäßigkeit der Verarbeitung gem. Artikel 6 DSGVO gewährleistet sein. Drei Beispiele für Alternativen aus Deutschland:

Omnifact GmbH Hansaallee 154 60320 Frankfurt am Main

WilmaGPT RheinMainTech GmbH Wilhelm-Theodor-Römheld-Str. 14 55130 Mainz

neuroflash GmbH Wulfsdorfer Weg 100 22359 Hamburg

Diese kleine Aufstellung erhebt keinen Anspruch auf Vollständigkeit.