Welche Daten darf Ihr Team mit KI verarbeiten?

Welche Information braucht diese Aufgabe überhaupt?

Beginnen Sie mit dem gewünschten Ergebnis. Soll ein Text sprachlich vereinfacht, eine Anfrage eingeordnet oder eine Frage anhand einer Anleitung beantwortet werden? Danach prüfen Sie, welche Informationen dafür unverzichtbar sind. Für die sprachliche Überarbeitung einer allgemeinen Leistungsbeschreibung müssen nicht zugleich Kundendaten, Gesprächsverläufe und interne Preisabsprachen hochgeladen werden.

Für personenbezogene Daten gelten unter anderem Zweckbindung und Datenminimierung nach Artikel 5 DSGVO. Das bedeutet, die Verarbeitung auf den festgelegten Zweck und notwendige Angaben zu begrenzen. Eine kleinere Eingabe ist außerdem leichter fachlich zu überprüfen. Ob KI für den Arbeitsschritt gebraucht wird, erklärt KI oder Automatisierung.

Quellen: [1]

Was steht tatsächlich in der Datei?

Sehen Sie die Eingabe vollständig durch, einschließlich Anhängen, Kommentaren und Tabellenblättern. Namen, Kontaktdaten und Angaben zu identifizierbaren Beschäftigten oder Kunden können personenbezogen sein. Artikel 6 DSGVO verlangt eine Rechtsgrundlage; besondere Kategorien wie Gesundheitsdaten unterliegen zusätzlichen Voraussetzungen nach Artikel 9. Eine Einwilligung ist nicht automatisch für jede betriebliche Verarbeitung der passende Weg.

Daneben können Informationen vertraulich sein, auch wenn sie keine Personen betreffen: unveröffentlichte Preise, Konstruktionsangaben oder Inhalte aus Verträgen. Ihre Verwendung ist gesondert zu klären. Eine bereits zugängliche Datei wird durch ihre bloße Erreichbarkeit nicht zum geeigneten Material für jeden externen Dienst. Lassen Sie Unsicherheit vor der Eingabe entscheiden.

Quellen: [1]

Wohin gehen Eingaben und Ausgaben?

Betrachten Sie den konkreten Dienst und Vertrag, nicht nur den Markennamen. Werden Eingaben gespeichert, für Training verwendet oder an weitere Anbieter weitergegeben? Wer hat Zugriff und wie lassen sich Inhalte löschen? Die Datenschutzkonferenz empfiehlt, solche Bedingungen bei der Auswahl und Nutzung zu klären. Eine abgeschaltete Trainingsfunktion beantwortet nicht alle weiteren Datenschutzfragen.

Je nach Verarbeitung sind insbesondere Auftragsverarbeitung nach Artikel 28 und Übermittlungen in Drittländer nach Kapitel V DSGVO zu prüfen. Das ist eine Aufgabe für die zuständigen betrieblichen Fachpersonen, gegebenenfalls mit Datenschutzberatung. Der Beitrag gibt keine Freigabe für einen Anbieter. Die organisatorische Seite behandelt Private KI-Konten im Betrieb.

Quellen: [2], [1]

Wie kann Ihr Team mit wenig Daten anfangen?

Für einen ersten Versuch eignen sich freigegebene allgemeine Texte oder eigens vorbereitete Unterlagen ohne reale vertrauliche Angaben. Ersetzen Sie nicht nur Namen, wenn andere Details die Person weiterhin erkennbar machen. Lassen Sie die vorbereitete Grundlage prüfen. So kann das Team die Bearbeitung kennenlernen, bevor ein größerer oder empfindlicherer Datenbestand Teil der Aufgabe wird.

Nennen Sie für den gewählten Anwendungsfall einen erreichbaren Freigabeweg. Beschäftigte sollten wissen, welche Unterlagen erlaubt sind und wie sie vorgehen, wenn ein neuer Fall davon abweicht. Eine allgemeine Erklärung zur KI hilft an dieser Stelle weniger als eine klare Entscheidung zur tatsächlich anstehenden Eingabe und zum vorgesehenen Zugang.

Auch das Ergebnis braucht eine Prüfung

Prüfen Sie, ob die Ausgabe unzulässige oder unnötige personenbezogene Angaben enthält und ob sie zum erlaubten Zweck passt. Ein Text kann außerdem fachlich falsch sein oder vertrauliche Inhalte weitertragen. Die Entscheidung über Weitergabe oder Veröffentlichung bleibt deshalb ein eigener Schritt. Für vorhandene Besprechungsnotizen erläutert Aufgaben aus Notizen ableiten diese Trennung.

KI-Kompetenz und Datenschutzfreigabe sind verschiedene Fragen. Der seit Juli 2026 geänderte Artikel 4 der KI-Verordnung betrifft Maßnahmen zur Kompetenzentwicklung; daraus entsteht keine pauschale Erlaubnis zur Datenverarbeitung. Für Ihre konkrete Aufgabe bleibt entscheidend, dass Zuständigkeit, Rechtsgrundlage und tatsächliche Nutzung zusammenpassen.

Quellen: [3]