Künstliche Intelligenz verändert, wie Unternehmen arbeiten, kommunizieren und Entscheidungen treffen. Gleichzeitig wächst die Menge an personenbezogenen Daten, die dabei verarbeitet wird, rasant. Für mittelständische Unternehmen stellt sich deshalb eine dringende Frage: Wie lässt sich KI nutzen, ohne gegen Datenschutzrecht zu verstoßen?
Dieser Artikel führt Sie Schritt für Schritt durch die wichtigsten Grundlagen. Sie erfahren, was KI-Systeme mit Daten tun, wie DSGVO und AI Act zusammenwirken, welche HR-Anwendungen besondere Sorgfalt erfordern und wie Sie typische Fehler vermeiden. Am Ende haben Sie ein klares Bild davon, wie eine datenschutzkonforme KI-Einführung im KMU konkret aussehen kann.
Was KI mit personenbezogenen Daten macht
Um KI und Datenschutz zu verstehen, hilft es zunächst zu klären, wie KI-Systeme überhaupt mit Daten umgehen. KI-Modelle lernen aus großen Datenmengen, erkennen Muster und leiten daraus Vorhersagen oder Empfehlungen ab. Dabei verarbeiten sie häufig personenbezogene Daten, also Informationen, die sich auf eine identifizierbare natürliche Person beziehen.
Im Unternehmenskontext sind das zum Beispiel Bewerbungsunterlagen, Leistungsdaten von Mitarbeitenden, Kommunikationsverläufe oder Nutzungsprofile aus digitalen Tools. Viele dieser Daten fließen in KI-Systeme ein, ohne dass Betroffene das bewusst wahrnehmen. Das ist kein technisches Detail, sondern ein rechtlich relevanter Vorgang.
Besonders relevant ist dabei die Art der Verarbeitung: KI-Systeme können Daten nicht nur speichern, sondern auch kombinieren, gewichten und daraus Schlussfolgerungen ziehen, die über die ursprünglichen Eingaben hinausgehen. Ein Beispiel: Ein KI-gestütztes Recruiting-Tool analysiert Lebensläufe und bewertet Kandidat:innen automatisch. Dabei kann es Muster aus historischen Einstellungsentscheidungen reproduzieren, die diskriminierend wirken, selbst wenn die Entwickler:innen das nicht beabsichtigt haben.
- Datenerhebung: KI-Systeme sammeln oft mehr Daten, als für den eigentlichen Zweck nötig wäre.
- Datenverknüpfung: Verschiedene Datenpunkte werden kombiniert und erzeugen neue, sensible Informationen.
- Automatisierte Schlussfolgerungen: KI trifft oder beeinflusst Entscheidungen, die Menschen direkt betreffen.
- Datenweitergabe: Viele KI-Dienste laufen auf externen Servern, was Fragen zur Datenübertragung aufwirft.
Wie DSGVO und AI Act zusammenwirken
Wer KI im Unternehmen einsetzt, bewegt sich in einem doppelten rechtlichen Rahmen: Die DSGVO regelt den Umgang mit personenbezogenen Daten, der AI Act der Europäischen Union regelt den Einsatz von KI-Systemen nach Risikoklassen. Beide Regelwerke greifen ineinander und ergänzen sich.
Die DSGVO gilt seit 2018 und ist vielen Unternehmen bekannt. Sie verlangt unter anderem eine Rechtsgrundlage für jede Datenverarbeitung, Transparenz gegenüber Betroffenen und das Prinzip der Datensparsamkeit. Für KI-Systeme bedeutet das: Jede Verarbeitung personenbezogener Daten durch ein KI-Tool muss rechtlich legitimiert sein, zum Beispiel durch eine Einwilligung, einen Vertrag oder ein berechtigtes Interesse.
Der AI Act, der seit 2024 schrittweise in Kraft tritt und ab 2026 vollständig angewendet wird, fügt eine neue Dimension hinzu. Er klassifiziert KI-Systeme nach ihrem Risikopotenzial und legt für jede Klasse spezifische Anforderungen fest.
Die Risikoklassen des AI Act im Überblick
- Inakzeptables Risiko: Verbotene Anwendungen, zum Beispiel Social Scoring durch Behörden.
- Hohes Risiko: Systeme, die in sensiblen Bereichen wie Recruiting, Kreditvergabe oder Bildung eingesetzt werden. Hier gelten strenge Anforderungen.
- Begrenztes Risiko: Systeme mit Transparenzpflichten, zum Beispiel Chatbots, die sich als KI zu erkennen geben müssen.
- Minimales Risiko: Systeme ohne besondere Auflagen, zum Beispiel einfache Spam-Filter.
Für KMU bedeutet das Zusammenspiel beider Regelwerke: Ein KI-System, das personenbezogene Daten verarbeitet und gleichzeitig als hochriskant eingestuft wird, unterliegt sowohl den Anforderungen der DSGVO als auch den zusätzlichen Pflichten des AI Act. Das ist kein Widerspruch, sondern eine Verdopplung der Sorgfaltspflicht.
Welche KI-Anwendungen im HR als hochriskant gelten
Aufbauend auf dem Verständnis der Risikoklassen lässt sich nun konkret benennen, welche HR-Anwendungen besondere Aufmerksamkeit erfordern. Der AI Act stuft KI-Systeme, die im Bereich Beschäftigung und Personalmanagement eingesetzt werden, grundsätzlich als hochriskant ein.
Das betrifft eine breite Palette von Tools, die im HR-Alltag bereits weit verbreitet sind oder gerade eingeführt werden. Hochriskante KI-Anwendungen im HR-Kontext sind zum Beispiel:
- Automatisierte Bewerber:innen-Screening-Systeme, die Lebensläufe bewerten und ranken
- KI-gestützte Interviewanalysen, die Sprache, Mimik oder Tonfall auswerten
- Leistungsbewertungssysteme, die Mitarbeitende automatisch einordnen oder Beförderungsentscheidungen beeinflussen
- Scoring-Verfahren zur Einschätzung von Kündigungsrisiken oder Fehlzeiten
- Systeme zur Überwachung von Produktivität oder Verhalten am Arbeitsplatz
Für all diese Anwendungen schreibt der AI Act vor, dass Unternehmen vor dem Einsatz eine Konformitätsbewertung durchführen, Risikomanagementmaßnahmen implementieren und Transparenz gegenüber betroffenen Personen sicherstellen. Zusätzlich verlangt die DSGVO in vielen dieser Fälle eine Datenschutz-Folgenabschätzung, kurz DSFA. Wer diese Schritte überspringt, riskiert nicht nur Bußgelder, sondern auch Vertrauensverlust bei Mitarbeitenden und Bewerber:innen.
Typische Datenschutzfehler beim KI-Einsatz vermeiden
In der Praxis entstehen Datenschutzverstöße beim KI-Einsatz selten aus böser Absicht, sondern aus Unkenntnis oder Zeitdruck. Die folgenden Fehler begegnen uns im Mittelstand besonders häufig, und sie lassen sich mit dem richtigen Wissen vermeiden.
Fehler 1: KI-Tools ohne Prüfung einführen
Viele Unternehmen testen KI-Anwendungen schnell und unkompliziert, ohne vorher zu prüfen, ob der Anbieter DSGVO-konform arbeitet. Dabei ist ein Auftragsverarbeitungsvertrag mit dem KI-Anbieter Pflicht, sobald dieser personenbezogene Daten im Auftrag des Unternehmens verarbeitet. Fehlt dieser Vertrag, liegt bereits ein Verstoß vor.
Fehler 2: Zweckbindung ignorieren
Daten, die für einen bestimmten Zweck erhoben wurden, dürfen nicht einfach für andere Zwecke genutzt werden. Wer Bewerbungsdaten, die ursprünglich für eine Stelle gesammelt wurden, in ein KI-System zur Talentpool-Analyse einspeist, muss dafür eine eigene Rechtsgrundlage haben. Das gilt auch dann, wenn die Daten bereits im Unternehmen vorhanden sind.
Fehler 3: Betroffenenrechte vergessen
Mitarbeitende und Bewerber:innen haben das Recht zu erfahren, ob und wie KI-Systeme Entscheidungen über sie beeinflussen. Werden Entscheidungen vollständig automatisiert getroffen, haben Betroffene nach Artikel 22 DSGVO das Recht auf menschliche Überprüfung. Dieses Recht muss aktiv kommuniziert und technisch ermöglicht werden.
Fehler 4: Datentransfers in Drittländer übersehen
Viele KI-Dienste werden von US-amerikanischen Anbietern betrieben. Sobald personenbezogene Daten in Länder außerhalb der EU übertragen werden, gelten besondere Anforderungen. Standardvertragsklauseln oder ein gültiger Angemessenheitsbeschluss sind dann notwendig. Das ist kein bürokratisches Detail, sondern ein rechtlich relevanter Schritt.
Datenschutzkonforme KI-Einführung im KMU strukturieren
Mit dem Wissen über Risiken und typische Fehler lässt sich nun ein strukturierter Ansatz für die datenschutzkonforme KI-Einführung im KMU entwickeln. Der Schlüssel liegt nicht in perfekter Vorbereitung, sondern in einem klaren Prozess, der Schritt für Schritt abgearbeitet wird.
Schritt 1: Bestandsaufnahme und Risikoklassifizierung
Bevor ein KI-Tool eingeführt wird, sollten Sie klären: Welche Daten verarbeitet das System? Wer ist davon betroffen? Fällt die Anwendung unter eine Risikoklasse des AI Act? Diese Fragen lassen sich oft in einem kurzen internen Workshop klären, ohne externe Expertise.
Schritt 2: Rechtliche Grundlagen schaffen
Stellen Sie sicher, dass ein Auftragsverarbeitungsvertrag mit dem Anbieter vorliegt, eine Rechtsgrundlage für die Datenverarbeitung besteht und, falls erforderlich, eine Datenschutz-Folgenabschätzung durchgeführt wurde. Bei hochriskanten Systemen ist die DSFA keine Option, sondern Pflicht.
Schritt 3: Transparenz gegenüber Betroffenen herstellen
Informieren Sie Mitarbeitende und Bewerber:innen offen darüber, welche KI-Systeme eingesetzt werden und wie diese Entscheidungen beeinflussen. Transparenz schafft Vertrauen und reduziert Widerstände, die sonst den Einführungsprozess bremsen.
Schritt 4: Pilotphase mit begrenztem Datenzugriff
Testen Sie neue KI-Anwendungen zunächst in einem kontrollierten Rahmen mit anonymisierten oder synthetischen Daten, bevor echte personenbezogene Daten verarbeitet werden. So lassen sich technische und rechtliche Probleme früh erkennen, ohne dass Betroffene einem unnötigen Risiko ausgesetzt werden.
Schritt 5: Regelmäßige Überprüfung einplanen
Datenschutz ist kein einmaliger Vorgang. KI-Systeme verändern sich, die Rechtsprechung entwickelt sich weiter und neue Anwendungsfälle entstehen. Planen Sie deshalb regelmäßige Reviews ein, mindestens einmal jährlich, um sicherzustellen, dass Ihre KI-Nutzung weiterhin rechtskonform ist.
Datenschutzkonforme KI-Einführung im Mittelstand ist kein Hindernis für Innovation. Sie ist eine Grundlage dafür, dass KI-Systeme langfristig akzeptiert werden, rechtlich sicher betrieben werden können und echten Mehrwert schaffen, ohne Vertrauen zu gefährden.
Datenschutz und KI gemeinsam gestalten: Wie wir KMU begleiten
Die Verbindung von KI-Einführung und Datenschutz ist komplex, aber gestaltbar. Genau hier setzen wir an. Als spezialisierte Personalberatung für den Mittelstand unterstützen wir Unternehmen dabei, KI nicht nur technisch einzuführen, sondern rechtlich sicher, menschenzentriert und strategisch durchdacht zu verankern.
Über unser Modell HR On Demand begleiten wir Sie flexibel und bedarfsgerecht, ohne dass Sie eine eigene große HR-Abteilung aufbauen müssen. Das bedeutet konkret:
- Wir prüfen gemeinsam mit Ihnen, welche KI-Anwendungen in Ihrem HR-Bereich unter den AI Act fallen und welche Maßnahmen daraus folgen.
- Wir unterstützen bei der Erstellung von Datenschutz-Folgenabschätzungen für hochriskante HR-Systeme.
- Wir entwickeln mit Ihnen transparente Kommunikationsformate für Mitarbeitende und Bewerber:innen.
- Wir begleiten Pilotphasen und helfen dabei, Datenschutz von Anfang an in den Einführungsprozess zu integrieren, nicht nachträglich.
- Wir verbinden rechtliche Anforderungen mit Change-Kompetenz, damit Ihre Teams den Wandel nicht als Bedrohung, sondern als Chance erleben.
Wenn Sie wissen möchten, wie das für Ihr Unternehmen konkret aussehen kann, freuen wir uns auf ein Beratungsgespräch.
