Die Frage "dürfen diese Daten in KI verwendet werden" wird oft beantwortet, indem man auf den Inhalt schaut: Steht ein Name darin, ein Betrag, eine Diagnose. Das ist nicht der Kern der Frage. Entscheidend ist meist die Herkunft der Daten: unter welchen Bedingungen sie erhoben wurden, zu welchem Zweck, und auf welcher Grundlage. Derselbe Text — zum Beispiel eine Kunden-E-Mail mit einer Adresse darin — kann in einem System ohne Probleme von einer KI-Anwendung verarbeitet werden und in einem anderen nicht, abhängig davon, wie diese Daten einst eingegangen sind und was darüber vereinbart oder festgelegt wurde.
Das ist der Grund, warum es keine allgemeine Liste wie "diese Arten von Daten dürfen niemals in KI" gibt und eine solche auch nicht sinnvoll wäre. Was es hingegen gibt, ist eine Reihe von Aufmerksamkeitsbereichen, innerhalb derer die Herkunft und der Zweck von Daten besonders sorgfältig betrachtet werden müssen, bevor sie in eine KI-Anwendung eingehen.
Bei personenbezogenen Daten geht es nicht primär darum, ob etwas ein personenbezogenes Datum ist, sondern wofür es erhoben wurde. Daten, die zu einem bestimmten Zweck erhoben wurden — zum Beispiel um eine Bestellung zu verarbeiten — dürfen nicht ohne Weiteres für einen anderen Zweck eingesetzt werden, etwa das Trainieren eines Modells oder das Verarbeiten durch ein KI-Tool, das außerhalb des ursprünglichen Kontexts liegt. Ob dies erlaubt ist, hängt von der Grundlage ab, auf der die Daten einst erhoben wurden, von einer eventuellen Einwilligung, und von dem, was darüber in den eigenen Verarbeitungsvereinbarungen und Datenschutzerklärungen festgelegt ist. Für die genauen Bedingungen gilt die eigene gesetzliche Regelung; der aktuelle Text dazu ist über die Autoriteit Persoonsgegevens und die geltende Datenschutzgesetzgebung einzusehen.
Innerhalb der personenbezogenen Daten besteht eine eigene Kategorie mit einem strengeren Regime: Daten über Gesundheit, Herkunft, Glauben, Sexualleben, strafrechtliche Daten und vergleichbare Kategorien. Für diese Daten gelten zusätzliche Bedingungen, die unabhängig von der Frage sind, ob eine KI-Anwendung gut damit arbeiten könnte. Auch hier ist die Herkunft maßgebend: Sind die Daten innerhalb eines Rahmens erhoben worden, der eine Verarbeitung durch ein KI-System zulässt, und besteht eine Grundlage, die diese Nutzung abdeckt.
Neben personenbezogenen Daten spielt auch Vertraulichkeit eine Rolle, die nicht aus der Datenschutzgesetzgebung, sondern aus Verträgen stammt. Informationen von Kunden, Lieferanten oder Partnern, die unter einer Geheimhaltungsklausel geteilt wurden, können nicht ohne Weiteres in ein KI-Tool eingegeben werden, insbesondere nicht, wenn dieses Tool die Daten außerhalb der eigenen Organisation verarbeitet oder für das Modelltraining verwendet. Dies spielt beispielsweise bei der Verarbeitung von E-Mails eine Rolle: Wenn beurteilt wird, ob KI die Triage eines allgemeinen E-Mail-Postfachs übernehmen kann, ist nicht nur relevant, ob ein KI-Tool Nachrichten technisch lesen und sortieren kann, sondern auch, ob der Inhalt dieser Nachrichten unter eine Vertraulichkeitsvereinbarung mit einem Dritten fällt. Derselbe Mechanismus spielt bei der Telefonie eine Rolle: Bei der Frage, ob KI das Beantworten und Weiterleiten von Telefonanrufen übernehmen kann, muss ebenfalls betrachtet werden, welche Daten während eines Gesprächs erfasst und verarbeitet werden, und unter welchen Vereinbarungen das geschieht.
Ein weiterer Aufmerksamkeitspunkt ist nicht der Inhalt von Daten, sondern ihr Status im Zeitverlauf: Daten, die einer gesetzlichen oder vertraglichen Aufbewahrungsfrist unterliegen, müssen auf eine bestimmte Weise verwaltet werden, und der Einsatz einer KI-Anwendung dafür ändert nichts an dieser Verpflichtung. Wer dies für Archivprozesse untersucht, stößt oft von selbst auf die Frage, wie sich ob KI das Archivieren von Dokumenten und die Prüfung an Aufbewahrungsfristen übernehmen kann zur eigenen Aufbewahrungspflicht verhält: Ein KI-System kann beim Erkennen von Fristen hilfreich sein, aber die Verantwortung für die korrekte Einhaltung verschiebt sich dadurch nicht.
Die Eingabe von Daten in eine neue KI-Anwendung betrifft manchmal auch die Mitbestimmung, insbesondere wenn es um Systeme geht, die Daten über die Leistung, das Verhalten oder die Anwesenheit von Mitarbeitern verarbeiten. Ob und wann die Zustimmung des Betriebsrats erforderlich ist, ist eine eigenständige Frage, die von der Datenschutzfrage getrennt ist; mehr dazu steht auf der Seite über wann der Betriebsrat zuständig ist. Auch unabhängig von einem formellen Zustimmungsverfahren kann es sinnvoll sein zu betrachten, wie die Information des Betriebsrats über KI gestaltet wird, gerade weil Datennutzung und der Einsatz von KI-Anwendungen innerhalb einer Organisation häufig gemeinsam auftreten.
Diese Seite beschreibt den Mechanismus, mit dem Daten in einer KI-Anwendung verwendet werden dürfen oder nicht. Für Entscheidungen über die Gestaltung von Funktionen, Arbeitsprozessen oder Personalpolitik infolge des KI-Einsatzes gelten eigene gesetzliche Anforderungen und eigene Abwägungen, für die diese Seite keine Grundlage bietet.
Die Kernfrage bei jedem Datum, das Sie in einer KI-Anwendung verwenden möchten, ist nicht "ist dies sensibel", sondern "unter welchen Bedingungen ist dies einst eingegangen, und deckt diese Grundlage auch diese Nutzung ab". Dies zu klären ist Aufgabe der eigenen Organisation, gegebenenfalls gemeinsam mit einem Rechtsberater. Möchten Sie zunächst eine Indikation, welcher Teil Ihrer Aufgaben sich überhaupt für eine KI-Übernahme eignet, unabhängig von der Datenfrage, dann können Sie den kostenlosen Quickscan von ftetoai ausfüllen: zwölf Fragen, ohne Konto, mit einer Indikation, welcher Teil der Stunden in Ihrem Profil heute von KI übernommen werden kann. Der vollständige Werkscan, der diese Art von Datenfragen pro Aufgabe berücksichtigt, befindet sich noch im Aufbau.
Vraag maar. Ik ken de kennisbank van deze site; wat ik niet weet, zeg ik erbij.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.