Bei KI-Projekten wird zuerst über Modelle gesprochen und zuletzt über Daten. Sinnvoll ist die umgekehrte Reihenfolge, weil die Datenfrage die Modellwahl einschränkt – nicht andersherum.

Jeder Prompt ist eine Verarbeitung

Wer ein Kundenschreiben in ein Sprachmodell einfügt, um es zusammenfassen zu lassen, übermittelt personenbezogene Daten an einen Dienstleister. Das ist nicht verboten – es braucht nur eine Grundlage, und die entsteht nicht dadurch, dass niemand darüber nachdenkt.

Die vier Punkte

1. Verarbeitungsort

Wo läuft das Modell tatsächlich? Der Sitz der Agentur sagt darüber nichts. Bei Verarbeitung außerhalb der EU braucht es eine Grundlage für den Drittstaatentransfer.

Es gibt Modelle, die sich in der EU oder auf eigener Infrastruktur betreiben lassen. Sie sind meist weniger leistungsfähig als die großen Anbieter – das ist eine Abwägung, die man bewusst treffen sollte, statt sie zu übersehen.

2. Auftragsverarbeitung

Ein Vertrag mit der Agentur genügt nicht, wenn diese im Hintergrund einen Modellanbieter einsetzt. Die Kette muss vollständig abgebildet sein.

Die Frage lautet: Welche Unterauftragnehmer sind beteiligt, und liegen die entsprechenden Verträge vor? Eine Agentur, die darauf eine geordnete Antwort hat, hat in diesem Feld schon gearbeitet.

3. Training mit eigenen Daten

Werden Eingaben zur Verbesserung der Modelle verwendet? Bei geschäftlichen Zugängen ist das häufig abschaltbar, bei kostenfreien Zugängen oft nicht.

Das ist der Punkt, an dem Beschäftigte unbeabsichtigt Schaden anrichten – nicht aus Nachlässigkeit, sondern weil niemand gesagt hat, welche Zugänge erlaubt sind.

4. Speicherdauer

Wie lange bleiben Eingaben und Gesprächsverläufe gespeichert, und wer hat Zugriff? Bei Assistenten mit Kundenkontakt sammeln sich hier schnell umfangreiche Bestände an.

Der praktische Einstieg

Eine Bestandsaufnahme, welche KI-Werkzeuge im Unternehmen tatsächlich genutzt werden – auch die, die niemand freigegeben hat. Diese Liste fällt regelmäßig länger aus als erwartet und ist die Grundlage für alles Weitere.

Sie wird ohnehin gebraucht: Die KI-Verordnung verlangt eine Einordnung der eingesetzten Systeme, und ohne zu wissen, welche es gibt, lässt sich nichts einordnen.

Hinweis: Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung.