KI-Tools im Unternehmen prüfen: Checkliste für Datenschutz, IT-Sicherheit und Compliance
Bevor ein KI-Tool im Unternehmen zum Einsatz kommt, lohnt sich ein genauer Blick: Wo werden Daten verarbeitet, was passiert mit den Eingaben und welche Compliance-Anforderungen sind zu erfüllen? Eine strukturierte Prüfung beugt Datenschutzverstößen und Sicherheitsrisiken vor. Diese Checkliste zeigt, worauf es bei der Prüfung von KI-Tools wie ChatGPT, Microsoft Copilot oder branchenspezifischen KI-Lösungen ankommt.
Warum Unternehmen KI-Tools prüfen sollten
KI-Tools sind keine gewöhnliche Software: Sie verarbeiten häufig große Mengen an Eingaben, oft über Cloud-Infrastrukturen außerhalb der EU und ihre Funktionsweise ist hierbei für Außenstehende kaum nachvollziehbar. Wer ein KI-Tool ungeprüft einführt, riskiert Datenschutzverstöße, Sicherheitslücken und im schlimmsten Fall den Abfluss vertraulicher Unternehmensdaten.
Datenschutzrisiken
Werden personenbezogene Daten verarbeitet, muss das jeweilige KI-Tool den Anforderungen der DSGVO genügen, von der Rechtsgrundlage über die Information betroffener Personen bis zur Wahrung ihrer Betroffenenrechte. Viele kostenlose KI-Tools bieten dafür keine ausreichende vertragliche Grundlage und sind für die gewerbliche Nutzung daher ungeeignet.
Schatten-KI und Kontrollverlust
Wird kein strukturierter Prüfprozess etabliert, suchen sich Mitarbeitende ihre KI-Tools häufig selbst. Diese Schatten-KI entzieht sich jeder Kontrolle durch IT-Abteilung oder Datenschutzbeauftragten und ist eines der größten, oft unterschätzten Risiken beim unternehmensweiten KI-Einsatz.
Sicherheits- und Compliance-Anforderungen
Neben dem Datenschutz spielen auch klassische IT-Sicherheitsfragen eine Rolle: Wie ist der Zugriff auf das Tool abgesichert, welche Schnittstellen bestehen zu anderen Systemen, und erfüllt der Anbieter branchenspezifische Compliance-Anforderungen wie ISO 27001? Auch der EU AI Act verlangt je nach Risikoklasse des eingesetzten Systems zusätzliche Nachweise.
Diese Punkte sollten geprüft werden
Eine strukturierte Prüfung sollte mindestens folgende Punkte umfassen:
- Wo werden die Daten verarbeitet und gespeichert – EU-Server oder Drittland?
- Liegt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor?
- Werden Eingaben zum Training des KI-Modells genutzt?
- Welche Zugriffs- und Berechtigungskonzepte bestehen?
- Welcher Risikoklasse nach EU AI Act ist das System zuzuordnen?
- Lassen sich Daten auf Anfrage löschen oder exportieren?
Wo werden Daten verarbeitet?
Viele bekannte KI-Tools verarbeiten Daten auf Servern außerhalb der EU, häufig in den USA. Das ist datenschutzrechtlich nicht grundsätzlich ausgeschlossen, erfordert aber zusätzliche Garantien, etwa Standardvertragsklauseln. Unternehmen sollten sich vom Anbieter konkret bestätigen lassen, wo die Datenverarbeitung stattfindet, statt sich auf allgemeine Aussagen zu verlassen.
Werden Eingaben zum Training genutzt?
Ein häufig übersehener Punkt: Manche KI-Tools nutzen Nutzereingaben standardmäßig, um ihre Modelle weiterzutrainieren. Damit könnten vertrauliche Unternehmensinformationen faktisch dauerhaft im Modell verankert werden. Unternehmensversionen wie ChatGPT Enterprise oder Microsoft Copilot for Microsoft 365 schließen dies in der Regel vertraglich aus, kostenlose Consumer-Varianten meist nicht.
Aus unserer Praxis als interner und externer Auditor für Informationssicherheitsmanagementsysteme wissen wir, worauf es bei der strukturierten Bewertung neuer Software ankommt. Diese Erfahrung übertragen wir auf die Prüfung von KI-Tools und unterstützen Unternehmen dabei, eine wiederholbare, dokumentierte Bewertung zu etablieren, statt sich auf eine einmalige „Bauchentscheidung“ zu verlassen.