KI-Nutzung: datenschutzrechtliche Risiken durch Schatten-KI

In vielen Unternehmen vollzieht sich die digitale Transformation nicht in einem strategisch geplanten Wandel, sondern unter dem Radar der Führungskräfte. Häufig nutzen Mitarbeitende generative KI-Systeme ohne das Wissen der Unternehmensführung oder der IT-Abteilung. Diese Schatten-KI kann für Unternehmen zu einem großen Risiko werden. Ein Thema dabei ist der Datenschutz. Um ein Verständnis dafür zu entwickeln, wann der Datenschutz nach der DSGVO überhaupt betroffen ist, ist eine saubere Datenklassifikation nötig. Einen Blogbeitrag dazu hat das bei ZENIT angesiedelte Zukunftszentrum KI NRW (ZuZ) veröffentlicht.

Im Zentrum steht die Frage, welche Daten überhaupt verarbeitet werden. Sobald personenbezogene oder sensible Informationen betroffen sind, greifen die strengen Vorgaben der DSGVO. Kritisch wird es vor allem dann, wenn Daten unkontrolliert in öffentlich zugängliche KI-Systeme eingegeben werden und damit den geschützten Raum des Unternehmens verlassen.

Viele Modelle verarbeiten Eingaben weiter oder nutzen sie zum Training. Unternehmen verlieren dadurch die Kontrolle über ihre Daten. Gleichzeitig wird häufig unterschätzt, wie schwierig echte Anonymisierung ist und wie schnell scheinbar harmlose Daten wieder einer Person zugeordnet werden können.

Ein pauschales Verbot von KI greift jedoch zu kurz. Gefragt ist ein bewusster und strukturierter Umgang mit klaren Leitlinien, datenschutzkonformen Alternativen, definierten Anwendungsfällen sowie gezielten Schulungen und dem Aufbau von KI-Kompetenz.

Wie Unternehmen diese Herausforderungen konkret angehen können und worauf es ankommt, zeigt das ZuZ in einem Blogbeitrag.