Verwendung von KI-Tools gemäß DSGVO: Ein praktischer Leitfaden für EU-Teams
Was die DSGVO tatsächlich von Ihnen verlangt, wenn Mitarbeiter Kundendaten in KI-Tools einfügen – die rechtliche Checkliste, die ich Kunden gebe, plus die Einstellungen, die den größten Teil der Arbeit erledigen.
Ich bin kein Anwalt und dies ist keine Rechtsberatung – aber ich habe auf beiden Seiten gesessen und Teams dabei geholfen, KI-Tools in der EU einzurichten, und dieselben vier Fragen entscheiden darüber, ob ein Tool auf dem Arbeitslaptop erlaubt ist: Welche Daten gehen ein, wo werden sie verarbeitet, wer kann sie sonst noch sehen und wie lange werden sie aufbewahrt? Wenn ein Anbieter diese vier Fragen nicht eindeutig beantworten kann, ist das Tool nicht bereit für Kundendaten, egal wie gut das Modell ist.
Der praktische Ausgangspunkt ist, dass die meisten persönlichen Daten überhaupt nicht in ein Verbraucher-Chat-Tool gelangen sollten. Ein Name, eine E-Mail-Adresse und eine Vertragsklausel sind personenbezogene Daten im Sinne der DSGVO. Wenn Sie sie in einen allgemeinen Assistenten einfügen, landen sie normalerweise auf einer Infrastruktur, die außerhalb Ihrer Kontrolle liegt, werden für Verbesserungen zu Bedingungen verwendet, die Sie nicht ausgehandelt haben, und sind schwieriger zu löschen, als Sie erwarten. Die Standardeinstellung, die für die meisten Teams funktioniert, ist: Verbrauchertools für interne, nicht sensible Arbeiten, Unternehmensvereinbarungen für alles, was Kunden berührt.
Die Einstellung, die mehr Arbeit macht als jedes Richtliniendokument, ist das Deaktivieren des Trainings für Ihre Daten. Es existiert in den meisten Unternehmensebenen und häufig auch in Verbraucherumgebungen und ist der Unterschied zwischen Ihren Eingabeaufforderungen, die Trainingsdaten sind und nicht. Wenn in einem Geschäftskonto nicht klar angegeben ist, ob Eingabeaufforderungen für Schulungen verwendet werden, behandeln Sie dies als Nein, bis Sie es schriftlich erhalten.
Die Datenresidenz ist in Europa wichtiger, als die Marketingseiten vermuten lassen. Wenn Ihr Team auf einer in der EU gehosteten Verarbeitung besteht, überprüfen Sie die Region, anstatt einem Flaggensymbol zu vertrauen, und überprüfen Sie die Liste der Unterauftragsverarbeiter auf die Anbieter, die Sie tatsächlich verwenden – Modellanbieter, Transkriptionsdienste und jedes dazwischen liegende Automatisierungstool. Jede davon ist eine separate Übertragungsfrage und sie vervielfachen sich.
Bei der Bindung sind die meisten Teams überrascht. Chatverläufe, die jahrelang in einem Arbeitsbereich verbleiben, stellen eine Belastung dar, die das Projekt überdauert, und die Löschanforderung, die nach achtzehn Monaten eintrifft, wird schwieriger, wenn die Daten nie so konzipiert sind, dass sie ablaufen. Erkundigen Sie sich bei Ihrem Anbieter nach Aufbewahrungsfristen und Löschgarantien, bevor Sie diese benötigen, und legen Sie Ihre eigene interne Regel fest, die festlegt, was überhaupt nicht eingefügt werden sollte.
Was mich letztendlich davon überzeugt hat, Richtlinien statt Ratschläge zu schreiben, war die Beobachtung, wie ein kleines Team seine eigenen Regeln erfand – keine Kundendaten in Verbrauchertools, kein Quellcode aus privaten Repositories, keine Gesundheitsinformationen und ein fünfminütiger Genehmigungsschritt, bevor etwas an ein Modell außerhalb der genehmigten Liste geht. Einfach genug, um es sich zu merken, spezifisch genug, um es durchzusetzen, und es hat die erste Prüfung überstanden.
Häufig gestellte Fragen:
F: Ist die Verwendung von ChatGPT am Arbeitsplatz gemäß der DSGVO illegal?
A: Nicht automatisch, aber die Verwendung eines Verbraucherkontos für Kundendaten ist sehr schwer zu verteidigen, da Sie normalerweise nicht nachweisen können, wo die Daten verarbeitet wurden, ob sie für Schulungen verwendet wurden oder dass sie auf Anfrage gelöscht wurden. Für interne, nicht persönliche Arbeiten ist es im Allgemeinen in Ordnung.
F: Was muss ich mindestens tun, bevor ich einem Team ein KI-Tool zur Verfügung stelle?
A: Vier Dinge: ein Geschäftsplan mit deaktivierter Schulung zu Ihren Daten, eine Liste genehmigter Tools, eine interne No-Paste-Liste mit Kundendaten und Quellcode und ein benannter Eigentümer, der Fragen beantwortet, wenn jemand nicht weiterkommt.
F: Benötige ich einen Datenverarbeitungsvertrag mit dem Anbieter?
A: Ja, und es ist normalerweise auf Business-Ebene verfügbar. Wenn ein Anbieter dies nicht unterschreibt, ist das ein klares Signal, ihm keine personenbezogenen Daten zu übermitteln, egal wie gut das Produkt ist.