Wenn Kundendaten zum Datenschutzproblem werden: KI-Nutzung und DSGVO im Konflikt

Ein Marketingmitarbeiter möchte bessere Einblicke in die Zielgruppe seines Unternehmens erhalten. Er kopiert dazu die Kundendatenbank mit Kunden- und Firmennamen, E-Mail-Adressen und der bisherigen Bestellhistorie in ein KI-Tool und lässt sich eine Analyse erstellen. Während der Mitarbeiter sich über die eingesparte Zeit freut, ist ihm nicht bewusst, dass er damit personenbezogene Daten an einen externen Anbieter übermittelt. Dieses Szenario spielt sich in den letzten Jahren im Zuge der zunehmenden Integration von KI-Tools in allerlei Prozesse immer häufiger ab. Und dabei oft ohne Auftragsverarbeitungsvertrag, ohne dokumentierte Rechtsgrundlage und ohne zu wissen, ob die Daten irgendwo gespeichert oder für das Training von KI-Modellen genutzt werden. Für den Verstoß haftet nicht der Mitarbeiter, sondern das Unternehmen.

Das eigentliche Problem: Gute Absicht, unklare Grundlage

Ein eigenes Kapitel über KI findet sich in der DSGVO noch nicht. Es gelten die allgemeinen Grundsätze wie etwa Datenminimierung, Zweckbindung sowie eine klare Rechtsgrundlage für jede Verarbeitung. Sobald personenbezogene Daten in ein KI-Tool eingegeben werden, ob bewusst oder beiläufig, greifen diese Grundsätze vollständig.

Hinzu kommt ein technisches Problem, das oft unterschätzt wird. Sind personenbezogene Daten erst einmal in ein Modell eingeflossen, lässt sich das kaum rückgängig machen. Aufsichtsbehörden weisen inzwischen selbst darauf hin, dass zuverlässige Verfahren, um Daten aus komplexen Modellen vollständig zu entfernen, bislang nicht ausreichend entwickelt sind. Löschansprüche, die die DSGVO eigentlich garantiert, lassen sich in der Praxis damit oft nur schwer erfüllen.

Viele Unternehmen versuchen, das Problem mit Maßnahmen wie unzähligen Auftragsverarbeitungsverträgen oder Trainings-Opt-out zu lösen. Das ist zwar wichtig, allerdings ginge es auch ohne Bürokratie und Papierarbeit. Wir stellen uns deshalb die Frage: Warum überhaupt echte Kundendaten in ein System eingeben, wenn es auch ohne geht?

Wie STAT-UP das umsetzt

Mit unserer Synthetic Data Engine lassen sich synthetische Datensätze erzeugen, die sich statistisch wie echte Daten verhalten, ohne dass eine Rückführung auf einzelne Personen möglich ist. Für Analysen, Modelltraining oder Simulationen entsteht damit eine Datengrundlage, die dieselben Muster und Zusammenhänge abbildet wie das Original, allerdings ohne Risiko für die Datensicherheit. 

Das bedeutet nicht, dass Datenschutz-Grundlagen wie Rechtsgrundlage oder Auftragsverarbeitung plötzlich überflüssig werden. Für viele Anwendungsfälle, gerade bei Analysen, Tests oder Microsimulationen, verschwindet jedoch das Risiko, da keine echten personenbezogenen Daten mehr verarbeitet werden.

Wie kann das aussehen?

Ein Unternehmen möchte ein neues Analyse-Tool mit KI-Unterstützung testen, bevor es eingesetzt wird. Bisher wurden dafür reale Kundendaten verwendet, mit allen damit verbundenen Fragen zur Rechtsgrundlage und zur Auftragsverarbeitung. Mit der Synthetic Data Engine lässt sich stattdessen ein synthetischer Datensatz erzeugen, der realistische Muster und Verteilungen enthält, jedoch keine echten Personen abbildet. Das Team kann testen, ohne bei jedem Schritt eine neue Datenschutzprüfung einzuplanen.

Fazit

KI-Nutzung und Datenschutz müssen nicht unvereinbar sein. Aber die Lösung liegt selten allein in noch mehr Verträgen und Checklisten. Wer die Frage schon an der Datengrundlage selbst stellt, statt erst beim Tool, spart sich viele Diskussionen, bevor sie überhaupt entstehen.

Sie möchten wissen, wo in Ihrem Unternehmen echte Kundendaten durch synthetische Daten ersetzt werden könnten? Wir schauen uns das gemeinsam mit Ihnen an. Kontaktieren Sie uns.